La 24 iulie 2026 a fost publicat în Jurnalul Oficial al Uniunii Europene Regulamentul (UE) 2026/1744, care modifică, printre altele, obligația de alfabetizare prevăzută de Actul privind Inteligența Artificială (Actul IA).

Potrivit noii modificări, obligația de alfabetizare a personalului nu mai este o obligație de rezultat, ci o obligație de mijloace, însă companiile rămân obligate să își instruiască personalul în domeniul utilizării legale și responsabile a inteligenței artificiale.

Ce s-a schimbat în art. 4 din Actul IA?

În forma inițială a Actului IA, furnizorii și implementatorii trebuiau să ia măsuri pentru a asigura, „în cea mai mare măsură posibilă, un nivel suficient de alfabetizare în domeniul IA”.² Art. 1 pct. 5 din Omnibusul Digital înlocuiește această formulare cu obligația de a lua măsuri pentru a sprijini dezvoltarea alfabetizării.¹

În sensul Actului IA, furnizorul este cel care dezvoltă un sistem AI, iar implementatorul este cel care utilizează sistemul AI. De exemplu, pentru ChatGPT, furnizorul este OpenAI, iar implementatorii sunt toate firmele care folosesc acest sistem AI, inclusiv atunci când sistemul AI e utilizat în mod neoficial de către angajați.

Pachet cărți GDPR & AI! Economisește și comandă aici – >>

Cu alte cuvinte, obligația de alfabetizare a rămas, atât pentru furnizori, cât și pentru implementatori, dar nu mai este o obligație de rezultat, ci una de mijloace. Inițial, companiile trebuiau să ia măsuri pentru a asigura, în cea mai mare măsură posibilă, un nivel suficient de alfabetizare. În forma modificată, în schimb, ele trebuie să sprijine dezvoltarea alfabetizării, fără să fie obligate prin lege să garanteze un anumit nivel individual de cunoștințe.

Ce obligații de instruire au firmele conform GDPR?

GDPR devine relevant atunci când utilizarea IA implică prelucrarea datelor cu caracter personal. De exemplu, un CV încărcat pentru analiză internă, corespondența cu un client introdusă într-un asistent conversațional sau transcrierea unei consultații sunt exemple în care trebuie examinată și conformitatea cu GDPR.

GDPR impune implementarea unor măsuri tehnice și organizatorice adecvate pentru protecția datelor. În ultimii ani, ANSPDCP a impus numeroase măsuri corective privind instruirea personalului privind protecția datelor cu caracter personal. În plus, numeroase incidente de securitate au avut drept cauză lipsa instruirii adecvate a personalului care, din eroare, a divulgat date cu caracter personal, a trimis parole sau a accesat link-uri malițioase.

GDPR nu impune un curs universal de IA, cu o durată sau o certificare prestabilită. Instruirea certificată, sub programul ANC, este doar pentru responsabilul cu protecția datelor. Însă, conform legislației și practicii ANSPDCP, toți angajații care prelucrează date trebuie instruiți, iar instruirea trebuie să fie adecvată rolurilor și responsabilităților și urmată de o verificare reală a cunoștințelor. Angajații care nu trec testul de instruire trebuie reinstruiți și retestați. Instruirea se poate realiza de responsabilul cu protecția datelor, dacă a fost numit, sau de către un furnizor extern. Pentru instruiri ale personalului de către noi, ne puteți contacta aici.

Ce se întâmplă dacă un angajat trimite date către un instrument AI neaprobat?

Într-o asemenea situație, compania trebuie să analizeze ce date au fost transmise, către cine, în ce condiții și dacă a avut loc un incident de securitate în sensul GDPR.

Dacă se constată un astfel de incident de securitate și el poate genera riscuri pentru drepturile și libertățile unor persoane, incidentul trebuie notificat către ANSPDCP. Notificarea se face fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de la luarea la cunoștință, cu excepția situației în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor fizice.⁴ Dacă incidentul poate prezenta riscuri ridicate, el trebuie adus și la cunoștința persoanelor vizate afectate.

Ce recomand companiilor?

Pentru a respecta atât GDPR, cât și AI Act, dar și pentru eficientizare, recomand un program comun de alfabetizare în IA și instruire GDPR, în care obiectivele fiecărui regulament să rămână identificabile. Înainte de orice instruire, sistemele IA trebuie inventariate. Obligația de inventariere se aplică atât instrumentelor aprobate, cât și celor neaprobate oficial de angajator, dar folosite de angajați. Totodată, instruirea trebuie adaptată pe rolurile și responsabilitățile fiecărui angajat sau, dacă nu este posibil, personalizată pe departamente.

🎓 Ești DPO, avocat sau consultant și ai nevoie de un sistem de implementare GDPR corelat cu Actul IA? Consultă produsul nostru KIT GDPR Premium aici.

📘 Ai nevoie de documentația GDPR de la A la Z, corelată cu AI Act, gata în maximum 45 de zile? Solicită o ofertă aici!

✅ Vrei un audit al instrumentelor IA folosite în companie sau un program de instruire GDPR și IA pentru echipă? Scrie-mi la av.ruxandra.sava@gmail.com.

Pe data viitoare!

Av. Ruxandra SAVA