Obligațiile de transparență din articolul 50 al EU AI Act încep pe 2 august 2026, iar obligațiile de conformitate pentru sistemele cu risc ridicat urmează pe 2 decembrie 2027, după votul Parlamentului din 16 iunie 2026 și adoptarea de către Consiliu pe 29 iunie 2026. Între timp, piața uneltelor de conformitate a explodat. Fiecare furnizor promite că „te face conform" cu un dashboard și câteva căsuțe de bifat.
Cele mai multe nu folosesc la nimic.
Mai jos e ce am învățat lucrând cu firme care chiar ajung la conformitate, nu doar cumpără unelte ca să se simtă mai liniștite.
Problema ciclului de conformitate
Majoritatea uneltelor rezolvă o felie din problema de conformitate. Niciuna nu o rezolvă pe toată. Contează mai mult să înțelegi unde se potrivește fiecare unealtă decât să o alegi pe „cea mai bună".
Ciclul arată așa:
- Clasificarea: în ce categorie de risc intră sistemul tău AI?
- Analiza de decalaj: ce cerințe concrete se aplică și unde nu le îndeplinești?
- Documentația: documentație tehnică, evaluări de risc, evaluări de conformitate
- Implementarea: construirea efectivă a controalelor, a monitorizării, a supravegherii umane
- Urma de audit: dovada, în fața autorităților, că ai făcut tot ce e mai sus
Firmele care se blochează cumpără de obicei o unealtă pentru pasul 3 și sar complet peste pașii 1 și 2.
Pasul 1: clasificarea. Află cu ce ai de-a face
Înainte să dai bani pe unelte de conformitate, trebuie să-ți știi categoria de risc. Sistemele cu risc ridicat au peste 30 de cerințe specifice. Sistemele cu risc minim nu au aproape niciuna. Dacă nu-ți știi categoria, tot restul e ghicit.
Ce funcționează: o evaluare de risc țintită, care pune întrebările potrivite despre scopul sistemului tău AI, domeniul în care lucrează și cât de autonom e. Am construit o evaluare de risc EU AI Act, fără cost, care îți clasifică sistemul în sub 5 minute. Fără cont obligatoriu, doar răspunsuri.
Pasul 2: analiza de decalaj. Unde nu îndeplinești cerințele?
După ce îți știi categoria de risc, ai nevoie de un raport de decalaj specific. Nu o listă de verificare generică, ci un document care pune starea ta actuală lângă cerințele care se aplică categoriei tale.
Ce funcționează: AuditPulse generează un diagnostic complet de conformitate AI în aproximativ 4 minute. Îți mapează decalajele simultan pe EU AI Act, NIST RMF, ISO 42001 și SOC 2. Rezultatul e un PDF bun de pus pe masa consiliului de administrație, pe care îl poți da investitorilor, auditorilor sau echipei de conformitate. Acoperă trimiterile exacte la reglementări, calculul expunerii la amenzi și prioritățile de remediere, adică exact ce lipsește din listele generice.
Dacă faci întâi clasificarea (îți știi categoria) și apoi analiza de decalaj (îți știi decalajele concrete), nu mai ghicești ce ai de reparat. Ai un document scris înainte să începi să cheltui bani pe implementare.
Pasul 3: documentația. Partea plictisitoare care contează cel mai mult
Art. 11 cere documentație tehnică extinsă pentru sistemele AI cu risc ridicat. Aici se blochează cele mai multe firme, pentru că volumul e chiar mare:
- Descrierea sistemului și scopul prevăzut
- Documentația sistemului de management al riscului
- Documentația de guvernanță a datelor
- Metricile de performanță și metodologia de testare
- Măsurile de supraveghere umană
- Specificațiile de acuratețe, robustețe și securitate cibernetică
Ce funcționează: șabloanele ajută, dar nu sunt suficiente. Ai nevoie de cineva care înțelege și regulamentul, și arhitectura tehnică, ca să le completeze. Un șablon care spune „descrieți practicile de guvernanță a datelor" nu ajută la nimic dacă nimeni din echipă nu știe ce cere de fapt Art. 10.
Pasul 4: implementarea. Construirea controalelor
Aici conformitatea devine muncă de inginerie. Monitorizarea modelelor, trasabilitatea datelor, detectarea biasului, sisteme cu om în buclă, infrastructură de logare. Nu sunt căsuțe de bifat, sunt sisteme de producție.
Ce nu funcționează: să cumperi un dashboard de guvernanță și să speri că acoperă implementarea. Dashboardurile urmăresc starea. Nu construiesc infrastructura de dedesubt.
Ce funcționează: tratezi cerințele de conformitate ca cerințe de inginerie. Le integrezi în pipeline-ul de MLOps. Construiești monitorizare care prinde automat deriva modelului, problemele de calitate a datelor și degradarea echității, ca parte din operațiunile obișnuite și nu ca exercițiu de conformitate.
Pasul 5: urma de audit. Dovada că ai făcut treaba
Când vine autoritatea, dashboardul tău nu o interesează. Vrea dovezi: loguri cu marcaj de timp, documentație sub control de versiune, rezultate de teste, rapoarte de incident.
Ce funcționează: integrezi dovezile de conformitate în uneltele de CI/CD și MLOps pe care le ai deja. Intrările din registrul de modele, logurile rulărilor de pipeline, rezultatele testelor automate există deja în majoritatea platformelor de ML. Ce lipsește de obicei e legătura dintre ele și cerințele concrete din reglementare.
Combinația care chiar funcționează
După ce am lucrat cu firme aflate în diverse etape ale conformității, asta e combinația care acoperă tot ciclul:
| Etapă | Unealtă/abordare | Cost | |-------|--------------|------| | Clasificare | Evaluarea de risc DeviDevs | Fără cost | | Analiză de decalaj | Diagnosticul AuditPulse | De la 500 de dolari | | Documentație | Șabloane + revizie de specialist | Variază | | Implementare | Stack-ul tău de MLOps existent + controale de conformitate | Timp de inginerie | | Urmă de audit | Integrare în CI/CD + logare de conformitate | Timp de inginerie |
Partea scumpă nu sunt uneltele. E timpul de inginerie pentru implementarea controalelor și expertiza de a ști care controale satisfac efectiv cerințele.
Ce faci săptămâna asta
Dacă nu ai început încă munca de conformitate:
- Completează evaluarea de risc EU AI Act ca să-ți afli categoria de risc
- Dacă ești în risc ridicat sau risc limitat, fă o analiză de decalaj detaliată, ca să știi exact ce trebuie reparat
- Prioritizează decalajele după data aplicării și după expunerea la amenzi
- Începe cu documentația, durează mai mult decât crezi
Ai cam 100 de zile. Firmele care încep acum termină de obicei în 3-4 luni. Firmele care încep în iunie nu vor reuși.