Agenții AI din compania ta, sub GDPR și AI Act

AI Act: ce se aplică acum

Verificat în septembrie 2026. E o privire de ansamblu practică, nu consultanță juridică. Pentru deciziile care contează, vorbește cu un avocat sau cu responsabilul cu protecția datelor.

AI Act a intrat în vigoare în 2024 și se aplică pe etape. În iulie 2026, Digital Omnibus on AI (Regulamentul (UE) 2026/1744) a amânat termenele pentru sistemele cu grad ridicat de risc. Calendarul de azi:

De când	Ce se aplică
Februarie 2025	Practicile interzise în materie de IA nu mai sunt permise
August 2025	Obligații pentru furnizorii de modele de IA de uz general
2 august 2026	Obligații de transparență (articolul 50)
2 decembrie 2026	Marcarea conținutului generat de IA, pentru sistemele aflate pe piață înainte de august 2026
2 decembrie 2027	Obligații pentru sistemele de IA cu grad ridicat de risc (anexa III)
2 august 2028	Obligații pentru IA din produsele acoperite de legislația UE privind siguranța produselor (anexa I)

Transparența: ți se aplică de azi

Dacă oamenii vorbesc cu agentul tău, trebuie să știe că vorbesc cu o IA, dacă nu e evident. Un bot de suport pe site-ul tău, un asistent în WhatsApp, un agent care răspunde la emailuri: fiecare trebuie să spună ce e.

Conținutul pe care îl generează agentul tău, audio sintetic, imagini sau video, iar în unele cazuri text publicat pentru informarea publicului, vine cu propriile obligații de marcare.

Agentul tău are grad ridicat de risc?

Cei mai mulți agenți din companii nu au. Un agent care triază tichete de suport, îți rulează testele, scrie ciorne de rapoarte sau răspunde la întrebări despre produsul tău e în afara listei cu grad ridicat de risc.

Se schimbă dacă agentul ajută la decizii care schimbă viața oamenilor. Domeniile cu grad ridicat de risc includ:

Ocuparea forței de muncă: trierea CV-urilor, ierarhizarea candidaților, evaluarea performanței, decizii de promovare sau de concediere
Credit: evaluarea bonității unei persoane
Asigurări: tarifarea sau evaluarea riscului la asigurările de viață și de sănătate
Educație: admitere, notare, monitorizarea studenților în timpul testelor
Servicii esențiale: decizii privind accesul la prestații publice și la servicii similare

Dacă agentul tău lucrează într-unul dintre aceste domenii, pregătește-te de pe acum pentru decembrie 2027. Managementul riscului, guvernanța datelor, documentația tehnică, jurnalizarea, supravegherea umană și cerințele de acuratețe cer timp.

GDPR: agentul tău prelucrează date cu caracter personal

Nimic dintr-un agent nu e exceptat de la GDPR. Dacă citește un nume, o adresă de email, un număr de telefon sau fișa unui client, prelucrează date cu caracter personal, iar regulile obișnuite se aplică.

Ce înseamnă asta pentru un agent

Un temei legal pentru fiecare utilizare. Motivul pentru care ții datele clienților nu acoperă automat trimiterea lor către un model AI pentru un scop nou.
Doar datele de care are nevoie sarcina. Un agent care răspunde la întrebări despre facturi nu are nevoie de tot istoricul clientului în fiecare prompt.
Un acord de prelucrare a datelor cu fiecare persoană împuternicită de operator. Furnizorul modelului de IA, furnizorul de găzduire și platforma de mesagerie prelucrează fiecare date cu caracter personal în numele tău.
Transferuri în afara UE. Dacă o cerere ajunge la un furnizor de model din afara UE, e un transfer internațional și are nevoie de un temei valabil.
Un DPIA când riscul e ridicat. Tehnologie nouă folosită la scară largă, date sensibile sau monitorizare sistematică cer de regulă o evaluare a impactului asupra protecției datelor.
Oameni în deciziile care contează. Persoanele au dreptul de a nu face obiectul unei decizii bazate exclusiv pe prelucrarea automată, care produce efecte juridice asupra lor sau care le afectează în mod similar într-o măsură semnificativă.
Reguli de păstrare pentru transcrieri și memorie. Agenții țin jurnale de conversații și fișiere de memorie. Au nevoie de un termen de păstrare ca orice altă evidență.
Drepturile persoanelor vizate includ agentul. Când cineva cere acces la datele lui sau ștergerea lor, jurnalele și memoria agentului fac parte din răspuns.

Urmărește datele

Înainte de orice, desenează pe unde trece o singură cerere. Pentru un agent care răspunde clienților pe WhatsApp, ar putea arăta așa:

One request, end to end

The customer sends a messageAnother company
The messaging platform
It reaches the agentYour hosting, EU
The machine the agent runs on
A routine request is handled locallyNobody else
A local model on the same machine
A hard request goes to a cloud modelMay leave the EU
The provider's servers
The agent acts in your applicationYou
Your application and database
The conversation is storedNeeds a retention period
Logs and agent memory

Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.

Șase pași, patru companii, una dintre ele posibil peste ocean.

Fiecare rând în care apare altă companie are nevoie de un acord de prelucrare. Fiecare rând din afara UE are nevoie de un temei de transfer. Fiecare rând care stochează date are nevoie de un termen de păstrare.

Alegeri de proiectare care ușurează conformarea

Lasă un model local să vadă primul datele cu caracter personal. Un model mic, pe mașina ta, poate clasifica cererile, extrage câmpuri și scoate nume sau numere de identificare înainte să plece ceva spre un model din cloud.
Găzduiește agentul în UE. Mașina care ține transcrierile, memoria și credențialele rămâne sub legea europeană.
Alege termeni de API potriviți pentru datele companiei. Verifică la fiecare furnizor ce spun termenii pentru API despre păstrarea datelor și antrenare, și dacă poți avea prelucrarea datelor în UE.
Cere aprobare pentru acțiunile cu consecințe. Trimiterea unei facturi, modificarea unei înregistrări, răspunsul la o reclamație: lasă agentul să pregătească și un om să confirme.
Ține o pistă de audit. Pentru fiecare acțiune: ce cerere a declanșat-o, ce a decis agentul, ce tool a apelat, ce s-a schimbat și cine a aprobat.
Dă-i agentului credențiale limitate. Doar citire unde se poate, restrânse la sistemele de care are nevoie treaba, ușor de revocat.

Modele AI locale pe un Mac mini: ce rulează pe fiecare treaptă de memorie, pentru prima dintre ele

Checklist

AI Act

Utilizatorii sunt anunțați când interacționează cu agentul
Conținutul generat de IA e marcat unde se cere
Ai verificat dacă vreo utilizare intră într-un domeniu cu grad ridicat de risc
Dacă intră, ai un plan pentru decembrie 2027

GDPR

Știi ce date cu caracter personal citește, stochează și trimite agentul
Fiecare utilizare are un temei legal
Sunt semnate acorduri de prelucrare cu fiecare persoană împuternicită de operator
Transferurile în afara UE sunt acoperite
Există un DPIA acolo unde riscul o cere
Deciziile cu efecte semnificative trec pe la un om
Transcrierile și memoria au un termen de păstrare
Cererile de acces și de ștergere acoperă datele agentului

Operare

Fiecare acțiune a agentului e jurnalizată
Acțiunile cu consecințe cer aprobare
Credențialele sunt limitate și revocabile
Politica ta de confidențialitate numește furnizorii de IA pe care îi folosești

De ce MacDuty

Găzduit în UE. Mac-ul tău, discurile lui și toate copiile de siguranță rămân în Uniunea Europeană, operate de o companie din UE.
Un acord de prelucrare a datelor, la cerere.
Un singur client pe Mac. Transcrierile, memoria și credențialele agentului tău stau pe hardware pe care nu-l mai folosește nimeni.
Modele locale pe aceeași mașină. Ții cererile de rutină, și datele cu caracter personal din ele, departe de serviciile AI terțe.