Guvernanta si conformitate AI pentru companii

Contabila copiaza un contract intr-un chatbot gratuit ca sa-i faca rezumat. Agentul de vanzari lipeste lista de clienti intr-un instrument de scris emailuri. Nimeni nu a facut-o cu rea intentie. Si nimeni din conducere nu stie ca s-a intamplat.

Asta e shadow AI: instrumente de inteligenta artificiala folosite in companie fara aprobare si fara control. Nu e o problema de viitor. E in calculatoarele angajatilor tai de luni bune, fie ca ai cumparat licente, fie ca nu.

Din 2 februarie 2025, AI Act cere companiilor care folosesc sisteme AI sa ia masuri pentru instruirea oamenilor care lucreaza cu ele (articolul 4). Textul a fost modificat de Regulamentul (UE) 2026/1744, in vigoare din 27 iulie 2026: nu mai trebuie garantat un anumit nivel de cunostinte pentru fiecare angajat, dar obligatia de a lua masuri a ramas. Din 2 august 2026, autoritatile nationale o pot verifica.

Ce facem, concret

Pornim de la ce exista deja in companie, nu de la un sablon.

Inventarul vine primul. Aflam ce instrumente AI se folosesc, de catre cine si cu ce date. O parte se vede din loguri: firewall, DNS, proxy, Microsoft 365. Restul aflam vorbind cu oamenii, pentru ca jumatate din raspunsuri nu apar in niciun log.

Pe baza inventarului scriem politica de utilizare AI. Un document scurt, pe care angajatii il pot citi intr-o pauza de cafea: ce instrumente sunt aprobate, ce date nu au voie sa plece din companie, cine aproba un instrument nou. O politica de 40 de pagini nu o citeste nimeni, deci nu protejeaza pe nimeni.

Apoi trecem la masurile tehnice, partea care tine politica in picioare. Blocam sau limitam instrumentele neaprobate la nivel de firewall si DNS. Unde licentele Microsoft 365 permit, configuram reguli de prevenire a scurgerilor de date (DLP) care opresc copierea informatiilor sensibile in aplicatii AI. Daca o companie foloseste agenti sau extensii conectate la sistemele interne (plugin-uri, servere MCP), le evaluam din punct de vedere al securitatii inainte sa primeasca acces la date.

La final, instruirea. Sesiuni practice, pe roluri: contabilitatea are alte riscuri decat vanzarile, iar IT-ul altele decat amandoua. Pastram evidenta sesiunilor si a participantilor, pentru ca asta e dovada ca masurile cerute de articolul 4 chiar au fost luate.

Legatura cu NIS2 si GDPR

Pentru o entitate NIS2, un instrument AI care primeste date interne e un furnizor ca oricare altul. Intra in analiza de risc a lantului de aprovizionare, cu aceleasi intrebari: unde ajung datele, cine le poate citi, ce se intampla la un incident. Politica de utilizare AI se pune la dosarul de conformitate NIS2, langa celelalte politici.

Pe partea de GDPR, intrebarea e mai simpla si mai incomoda: datele personale introduse intr-un chatbot public au un temei legal? De cele mai multe ori, nu.

Detalii pe paginile Conformitate NIS2 si Conformitate GDPR.

Ce nu facem

Nu dam avize juridice. Unde e nevoie de interpretarea legii pe un caz anume, de exemplu daca un sistem intra la risc ridicat, lucram impreuna cu juristul companiei.

Nu vindem nici frica. Regulile pentru sistemele AI cu risc ridicat (recrutare, evaluarea creditului, infrastructura critica) au fost amanate prin acelasi regulament din 2026: la 2 decembrie 2027 pentru sistemele independente si la 2 august 2028 pentru cele integrate in produse reglementate. Cine iti spune ca maine vine controlul pentru asta te sperie degeaba. Instruirea si politica interna, in schimb, sunt obligatii de acum.

Pentru cine are sens

Marimea companiei conteaza mai putin decat datele cu care lucreaza oamenii. O clinica cu 15 angajati si un distribuitor cu 1.000 au aceeasi problema: date de clienti, contracte sau fise medicale care pot ajunge intr-un chatbot public. La o companie mica, o singura scapare costa scump. La una mare, riscul se multiplica cu fiecare departament.

Daca esti entitate NIS2, guvernanta AI se poate adauga la abonamentul de conformitate existent, fara contract separat.

Intrebari frecvente