Regulamentul e în vigoare. Cei care trebuie să-l aplice, nu.
Până pe 2 august 2025, fiecare stat membru UE trebuia să-și desemneze autoritățile naționale care răspund de aplicarea AI Act. Termenul a trecut acum șapte luni. Potrivit unui raport al Think Tank-ului Parlamentului European, publicat pe 18 martie 2026, doar 8 din cele 27 de state membre și-au desemnat punctele unice de contact.
Asta înseamnă că 19 țări, printre care România, Ungaria, Cehia și Bulgaria, nu au o autoritate operațională pentru AI Act. Nimeni căruia să-i notifici ceva. Nimeni la care să depui o plângere. Nimeni care să verifice dacă sistemul tău AI e conform.
Și totuși, AI Act e un regulament UE, nu o directivă. Se aplică direct în toate statele membre, fără transpunere națională. Obligațiile sunt în vigoare, fie că țara ta are o autoritate, fie că nu.
Cine e pregătit și cine nu
Țările care s-au mișcat cel mai repede au ales modele diferite, dar s-au mișcat.
Finlanda a devenit primul stat membru UE cu puteri complete de aplicare a AI Act, pe 1 ianuarie 2026. A ales o abordare descentralizată: Traficom (Agenția pentru Transport și Comunicații) coordonează, iar 10 autorități sectoriale existente se ocupă fiecare de domeniul ei. Un nou Consiliu de Sancțiuni aplică amenzile de peste 100.000 EUR. Sandboxul lor de reglementare e pe drum să pornească în august 2026.
Spania a desemnat AESIA (Agenția Spaniolă pentru Supravegherea Inteligenței Artificiale) ca autoritate centrală, cu 21 de autorități de sprijin și un sandbox de reglementare funcțional care găzduiește deja 12 furnizori de AI.
Italia a adoptat o lege națională a AI, în vigoare din 10 octombrie 2025, care desemnează AgID ca autoritate de notificare și Agenția Națională de Securitate Cibernetică (ACN) ca autoritate de supraveghere a pieței.
Germania plănuiește să folosească Bundesnetzagentur (Agenția Federală pentru Rețele) ca principală autoritate de supraveghere a pieței, cu BaFin pe AI-ul din serviciile financiare. Dar proiectul german de lege de implementare a venit după termenul din august 2025, deci oficial l-a ratat.
Franța construiește un model descentralizat, cu DGCCRF ca punct unic de contact și CNIL pe practicile AI interzise la locul de muncă și în educație.
Apoi sunt țări ca România, unde un memorandum guvernamental publicat pe 12 martie 2026 propune ANCOM ca autoritate centrală de supraveghere a pieței, dar e un memorandum, nu o lege. Nicio autoritate nu e operațională. Nu există sandbox. Firmele românești care folosesc AI nu au niciun ghid intern.
De ce contează pentru firma ta
Partea incomodă: lipsa unei autorități naționale nu îți reduce obligațiile.
AI Act se aplică direct. Dacă operezi un sistem AI cu risc ridicat în scoring de credit, recrutare, aplicarea legii sau dispozitive medicale, cerințele din articolele 9-15 ți se aplică chiar acum. Documentație tehnică, sisteme de management al riscului, supraveghere umană, monitorizarea acurateței, toate.
Regimul de sancțiuni din articolul 99 e la fel de clar:
- 35 de milioane EUR sau 7% din cifra de afaceri globală pentru practicile AI interzise (articolul 5)
- 15 milioane EUR sau 3% din cifra de afaceri globală pentru obligațiile sistemelor cu risc ridicat
- 7,5 milioane EUR sau 1% din cifra de afaceri globală pentru furnizarea de informații false
Pentru IMM-uri și startupuri se aplică valoarea mai mică dintre suma fixă și procent. Tot nu sunt bani mărunți.
Comisia Europeană urmărește statele membre care au ratat termenul din august 2025 și se așteaptă proceduri de constatare a neîndeplinirii obligațiilor. Când autoritățile vor fi în sfârșit înființate, vor avea nevoie să arate rezultate. Firmele care au ignorat conformitatea în perioada de gol vor fi țintele cele mai ușoare.
Digital Omnibus face situația mai rea, nu mai bună
Dacă ai urmărit Digital Omnibus, știi că Parlamentul European a votat pe 16 iunie 2026 (423-57-174) mutarea termenului pentru risc ridicat pe 2 decembrie 2027 pentru sistemele de sine stătătoare din Anexa III și pe 2 august 2028 pentru sistemele încorporate din Anexa I. Consiliul a adoptat schimbarea pe 29 iunie 2026.
Unele firme au citit titlurile astea și au pus pe pauză munca de conformitate. E o greșeală.
Termenul pentru risc ridicat s-a mutat, dar obligațiile de transparență din articolul 50 nu. Informarea că vorbești cu un chatbot, etichetarea deepfake-urilor și notificările pentru recunoașterea emoțiilor se aplică în continuare din 2 august 2026, fără perioadă de tranziție, iar obligațiile GPAI rămân în vigoare din 2 august 2025. Amânarea pentru risc ridicat e acum lege: Parlamentul a adoptat-o pe 16 iunie 2026, iar Consiliul și-a dat acordul final pe 29 iunie 2026. Mai rămâne doar publicarea în Jurnalul Oficial, care e o formalitate, nu o întrebare deschisă.
Și partea pe care n-o pomenește nimeni: amânarea schimbă termenele, nu cerințele. Fie că trebuie să fii conform până în 2027, fie mai devreme, evaluarea de conformitate, documentația tehnică, sistemul de management al riscului sunt aceeași muncă. Dacă începi mai târziu, doar alergi mai târziu.
Ce faci dacă țara ta nu are o autoritate
Dacă ești într-unul din cele 19 state membre fără o autoritate AI Act operațională, poate crezi că ai timp să respiri. Nu ai. Iată ce se schimbă de fapt și ce rămâne la fel:
Ce se schimbă: nu ai un sandbox național în care să testezi. Nu ai o autoritate locală căreia să-i pui întrebări. Nu ai ghiduri naționale.
Ce rămâne la fel: fiecare obligație din AI Act. Oficiul european pentru AI aplică direct prevederile GPAI. Consiliul european pentru AI coordonează aplicarea transfrontalieră. Iar când autoritatea ta națională va începe în sfârșit să funcționeze, se va uita la ce ai făcut în perioada de gol, nu doar la ce faci din prima zi.
Pași practici:
- Fă un inventar AI. Cartografiază fiecare sistem AI pe care îl construiești, îl folosești sau îl cumperi. Nu poți clasifica riscul dacă nu știi ce ai.
- Clasifică după Anexa III. Categoriile cu risc ridicat sunt definite. Scoring de credit, unelte de recrutare, sisteme biometrice, AI medical. Verifică dacă sistemele tale intră acolo.
- Începe documentația acum. Articolul 11 cere documentație tehnică pentru sistemele cu risc ridicat. Articolul 13 cere păstrarea evidențelor. Durează luni, nu zile.
- Verifică-ți expunerea GPAI. Dacă folosești modele de la OpenAI, Anthropic, Google sau Meta, ai obligații în aval conform articolului 53. Conformitatea furnizorului tău nu o acoperă pe a ta.
- Ia Finlanda drept reper. Modelul lor descentralizat, cu autorități pe sectoare, e cea mai completă implementare de până acum. Ghidurile Traficom oferă repere practice.
Încotro merge totul
Golul de aplicare e temporar. Nu e permanent. Finlanda, Spania, Italia, Germania și Franța sunt deja operaționale sau aproape. Comisia împinge statele rămase în urmă. Când toate cele 27 de autorități vor funcționa, primul val de aplicare va ținti încălcările evidente: practici interzise, documentație lipsă, conținut generat cu AI nedeclarat.
Firmele care au început devreme vor avea gata documentația, evaluările de risc și urmele de audit. Firmele care au așteptat se vor agita să producă, sub presiunea timpului, luni de muncă de conformitate retroactivă.
Pe AI Act nu-l interesează dacă guvernul tău a fost pregătit. Îl interesează dacă ești tu.
Despre DeviDevs: construim platforme de ML și sisteme AI securizate și ajutăm firmele să se conformeze cu EU AI Act. devidevs.com