AI Act 2026 in România: de ce documentația sistemelor de inteligenta artificiala trebuie pastrata 10 ani

O noua obligație de arhivare, de data aceasta pentru sistemele de inteligenta artificiala

Pana acum, discutia despre păstrarea documentelor in România s-a purtat mai ales in jurul facturilor, registrelor fiscale sau dosarelor de personal. De la 2 august 2026 insa, se adauga o categorie noua, mai putin cunoscuta de departamentele juridice si financiare: documentația tehnica a sistemelor de inteligenta artificiala. Regulamentul UE 2024/1689, cunoscut ca AI Act, devine pe deplin aplicabil pentru sistemele cu risc ridicat, iar consecinta directa este o obligație de păstrare pe termen lung, similara ca logica cu cea pe care companiile o cunosc deja de la arhivarea electronica sau de la SAF-T.

Multe firme din România cred, greșit, ca AI Act le priveste doar daca dezvolta propriile modele de inteligenta artificiala. In realitate, regulamentul se aplica si companiilor care doar folosesc astfel de sisteme, denumite in text deployeri, atunci cand acestea sunt incadrate ca fiind de risc ridicat, de exemplu instrumente de selectie a personalului, de evaluare a creditului, de verificare a identității sau de scoring folosite in asigurări. Chiar si furnizorii de soluții software care integreaza module de inteligenta artificiala in produsele lor, inclusiv in aplicații de gestiune documentara sau de recunoastere optica a textului cu funcții de clasificare automata, trebuie sa verifice in ce categorie se incadreaza.

Cine raspunde in România si de ce termenul a fost deja amanat

Articolul 70 din AI Act cerea fiecărui stat membru sa desemneze autoritatile naționale competente pana la 2 august 2025. România a intarziat aceasta decizie cu aproape sapte luni: abia pe 12 martie 2026 Guvernul a adoptat memorandumul prin care ANCOM, Autoritatea Nationala pentru Administrare si Reglementare in Comunicatii, a fost desemnata autoritate de supraveghere a pietei si punct unic de contact pentru aplicarea regulamentului. Pentru sectoarele reglementate separat, competentele revin altor institutii: ASF si BNR pentru sistemele de risc ridicat din domeniul financiar, iar Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal pentru sistemele biometrice folosite in aplicarea legii, gestionarea frontierelor sau justitie. Practic, o companie care foloseste inteligenta artificiala in evaluarea clientilor sau angajatilor poate raspunde in fata mai multor autoritati simultan, in funcție de domeniul de activitate.

Ce trebuie păstrat timp de 10 ani, conform Articolului 18

Nucleul obligatiei de arhivare se afla in Articolul 18 din AI Act. Furnizorii de sisteme de inteligenta artificiala cu risc ridicat trebuie sa tina la dispozitia autoritatilor, timp de 10 ani de la introducerea sistemului pe piata sau de la punerea lui in functiune, urmatoarele categorii de documente:

• documentația tehnica a sistemului, inclusiv descrierea algoritmilor si a datelor de antrenare
• documentația sistemului de management al calității intern
• evidenta modificarilor aprobate ale sistemului
• deciziile emise de organismele notificate, acolo unde este cazul
• declarația UE de conformitate

Perioada de 10 ani nu este intamplatoare: ea corespunde intervalului in care un sistem de inteligenta artificiala poate continua sa produca efecte asupra unei persoane sau asupra unei decizii de afaceri, iar autoritatile trebuie sa poată reconstitui, la nevoie, modul in care sistemul a fost proiectat si validat. Pentru companiile care gestioneaza deja arhive electronice pentru facturi sau documente de personal, cerinta va fi familiara ca principiu, dar diferita ca tip de conținut: nu mai vorbim de documente contabile, ci de fișiere tehnice, jurnale de testare si rapoarte de evaluare a riscurilor, care trebuie păstrate intr-un mod la fel de organizat si usor de regasit.

Amenzile care schimba prioritatile in companii

Structura sancțiunilor din AI Act este pe trei niveluri, dupa gravitatea incalcarii. Practicile interzise, cum ar fi sistemele de scoring social sau manipularea comportamentala, se sanctioneaza cu pana la 35 milioane EUR sau 7% din cifra de afaceri globala anuala, oricare suma este mai mare. Nerespectarea obligațiilor specifice sistemelor cu risc ridicat, inclusiv lipsa documentației prevăzute de Articolul 18, poate atrage amenzi de pana la 15 milioane EUR sau 3% din cifra de afaceri. Furnizarea de informații incorecte sau incomplete către autoritatile de supraveghere se sanctioneaza cu pana la 7,5 milioane EUR sau 1% din cifra de afaceri. Pentru întreprinderile mici si mijlocii, inclusiv startup-uri, se aplica plafonul cel mai mic dintre suma fixa si procent, insa asta nu inseamna ca riscul este neglijabil, mai ales pentru companiile care furnizeaza software cu componente de inteligenta artificiala către clienți din sectoare reglementate.

Ce inseamna asta, concret, pentru o companie din România acum

Primul pas practic este un inventar real al sistemelor de inteligenta artificiala folosite sau furnizate in companie, de la instrumente de recrutare pana la module de scoring integrate in software financiar sau de asigurări. Al doilea pas este clasificarea acestor sisteme dupa nivelul de risc definit de regulament, pentru a stabili daca se aplica obligația de documentație de 10 ani. Al treilea pas, adesea neglijat, este stabilirea unei persoane sau a unui departament responsabil cu păstrarea si actualizarea acestei documentații, dupa același model folosit deja pentru registrul de evidenta arhivistica sau pentru dosarele de personal. Companiile care au deja un sistem organizat de gestiune documentara au un avantaj clar: pot extinde aceleași reguli de clasificare, termene de păstrare si control al accesului si asupra noii categorii de documente impuse de AI Act, in loc sa construiasca de la zero un proces separat doar pentru conformitatea cu inteligenta artificiala.