AI Act 2026 in Romania: de ce documentatia sistemelor de inteligenta artificiala trebuie pastrata 10 ani

O noua obligatie de arhivare, de data aceasta pentru sistemele de inteligenta artificiala

Pana acum, discutia despre pastrarea documentelor in Romania s-a purtat mai ales in jurul facturilor, registrelor fiscale sau dosarelor de personal. De la 2 august 2026 insa, se adauga o categorie noua, mai putin cunoscuta de departamentele juridice si financiare: documentatia tehnica a sistemelor de inteligenta artificiala. Regulamentul UE 2024/1689, cunoscut ca AI Act, devine pe deplin aplicabil pentru sistemele cu risc ridicat, iar consecinta directa este o obligatie de pastrare pe termen lung, similara ca logica cu cea pe care companiile o cunosc deja de la arhivarea electronica sau de la SAF-T.

Multe firme din Romania cred, gresit, ca AI Act le priveste doar daca dezvolta propriile modele de inteligenta artificiala. In realitate, regulamentul se aplica si companiilor care doar folosesc astfel de sisteme, denumite in text deployeri, atunci cand acestea sunt incadrate ca fiind de risc ridicat, de exemplu instrumente de selectie a personalului, de evaluare a creditului, de verificare a identitatii sau de scoring folosite in asigurari. Chiar si furnizorii de solutii software care integreaza module de inteligenta artificiala in produsele lor, inclusiv in aplicatii de gestiune documentara sau de recunoastere optica a textului cu functii de clasificare automata, trebuie sa verifice in ce categorie se incadreaza.

Cine raspunde in Romania si de ce termenul a fost deja amanat

Articolul 70 din AI Act cerea fiecarui stat membru sa desemneze autoritatile nationale competente pana la 2 august 2025. Romania a intarziat aceasta decizie cu aproape sapte luni: abia pe 12 martie 2026 Guvernul a adoptat memorandumul prin care ANCOM, Autoritatea Nationala pentru Administrare si Reglementare in Comunicatii, a fost desemnata autoritate de supraveghere a pietei si punct unic de contact pentru aplicarea regulamentului. Pentru sectoarele reglementate separat, competentele revin altor institutii: ASF si BNR pentru sistemele de risc ridicat din domeniul financiar, iar Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal pentru sistemele biometrice folosite in aplicarea legii, gestionarea frontierelor sau justitie. Practic, o companie care foloseste inteligenta artificiala in evaluarea clientilor sau angajatilor poate raspunde in fata mai multor autoritati simultan, in functie de domeniul de activitate.

Ce trebuie pastrat timp de 10 ani, conform Articolului 18

Nucleul obligatiei de arhivare se afla in Articolul 18 din AI Act. Furnizorii de sisteme de inteligenta artificiala cu risc ridicat trebuie sa tina la dispozitia autoritatilor, timp de 10 ani de la introducerea sistemului pe piata sau de la punerea lui in functiune, urmatoarele categorii de documente:

• documentatia tehnica a sistemului, inclusiv descrierea algoritmilor si a datelor de antrenare
• documentatia sistemului de management al calitatii intern
• evidenta modificarilor aprobate ale sistemului
• deciziile emise de organismele notificate, acolo unde este cazul
• declaratia UE de conformitate

Perioada de 10 ani nu este intamplatoare: ea corespunde intervalului in care un sistem de inteligenta artificiala poate continua sa produca efecte asupra unei persoane sau asupra unei decizii de afaceri, iar autoritatile trebuie sa poata reconstitui, la nevoie, modul in care sistemul a fost proiectat si validat. Pentru companiile care gestioneaza deja arhive electronice pentru facturi sau documente de personal, cerinta va fi familiara ca principiu, dar diferita ca tip de continut: nu mai vorbim de documente contabile, ci de fisiere tehnice, jurnale de testare si rapoarte de evaluare a riscurilor, care trebuie pastrate intr-un mod la fel de organizat si usor de regasit.

Amenzile care schimba prioritatile in companii

Structura sanctiunilor din AI Act este pe trei niveluri, dupa gravitatea incalcarii. Practicile interzise, cum ar fi sistemele de scoring social sau manipularea comportamentala, se sanctioneaza cu pana la 35 milioane EUR sau 7% din cifra de afaceri globala anuala, oricare suma este mai mare. Nerespectarea obligatiilor specifice sistemelor cu risc ridicat, inclusiv lipsa documentatiei prevazute de Articolul 18, poate atrage amenzi de pana la 15 milioane EUR sau 3% din cifra de afaceri. Furnizarea de informatii incorecte sau incomplete catre autoritatile de supraveghere se sanctioneaza cu pana la 7,5 milioane EUR sau 1% din cifra de afaceri. Pentru intreprinderile mici si mijlocii, inclusiv startup-uri, se aplica plafonul cel mai mic dintre suma fixa si procent, insa asta nu inseamna ca riscul este neglijabil, mai ales pentru companiile care furnizeaza software cu componente de inteligenta artificiala catre clienti din sectoare reglementate.

Ce inseamna asta, concret, pentru o companie din Romania acum

Primul pas practic este un inventar real al sistemelor de inteligenta artificiala folosite sau furnizate in companie, de la instrumente de recrutare pana la module de scoring integrate in software financiar sau de asigurari. Al doilea pas este clasificarea acestor sisteme dupa nivelul de risc definit de regulament, pentru a stabili daca se aplica obligatia de documentatie de 10 ani. Al treilea pas, adesea neglijat, este stabilirea unei persoane sau a unui departament responsabil cu pastrarea si actualizarea acestei documentatii, dupa acelasi model folosit deja pentru registrul de evidenta arhivistica sau pentru dosarele de personal. Companiile care au deja un sistem organizat de gestiune documentara au un avantaj clar: pot extinde aceleasi reguli de clasificare, termene de pastrare si control al accesului si asupra noii categorii de documente impuse de AI Act, in loc sa construiasca de la zero un proces separat doar pentru conformitatea cu inteligenta artificiala.