2 august 2026, data în jurul căreia s-a planificat aproape toată munca de conformitate cu Regulamentul UE privind inteligența artificială, a sosit fără obligațiile pentru care se pregătise toată lumea. Cu șase zile înainte, Regulamentul (UE) 2026/1744 - omnibusul digital privind IA, publicat în Jurnalul Oficial pe 24 iulie 2026 și în vigoare de la 27 iulie - a mutat data de aplicare pentru sistemele de sine stătătoare cu grad ridicat de risc, prevăzute la articolul 6(2) și în anexa III, la 2 decembrie 2027, iar pentru IA care acționează ca element de siguranță al unui produs reglementat, la 2 august 2028. Motivul invocat a fost că standardele armonizate nu erau gata. Articolul 26, cel care poartă obligațiile ce cad în sarcina implementatorilor, se află exact în blocul care s-a mutat.
La timp a sosit articolul 50, alături de un articol 4 care se aplica deja din 2 februarie 2025 și pe care omnibusul l-a rescris cu șase zile înainte. Niciunul dintre ele nu întreabă dacă IA ta are grad ridicat de risc. Munca pe care o creează aceste două articole este un inventar de active și o politică de retenție a jurnalelor, două artefacte pe care pachetele tale de dovezi pentru NIS2 și ISO 27001 le conțin deja pe jumătate. Nimeni nu trebuie să clasifice un model ca să producă vreunul dintre ele.
Aproape orice echipă de infrastructură este implementator, nu furnizor: folosești sisteme de IA sub propria autoritate, în cadrul unei activități profesionale, dar nu ai dezvoltat unul și nu ți-ai pus numele pe el. Asta face ca setul de obligații să fie mai îngust decât sugerează majoritatea vânzătorilor de conformitate și considerabil mai mare decât zero.
Obligațiile implementatorului și articolul care te transformă în furnizor
Articolul 25(1) transformă un implementator în furnizor, cu tot setul de obligații din capitolul III atașat, în trei situații: îți pui propriul nume sau propria marcă pe un sistem cu grad ridicat de risc aflat deja pe piață, aduci o modificare substanțială unui sistem cu grad ridicat de risc care rămâne în aceeași categorie, sau schimbi scopul preconizat al unui sistem de IA, inclusiv al unuia de uz general, astfel încât acesta devine cu grad ridicat de risc. Al treilea caz prinde echipele de platformă fără ca nimeni să atingă vreun model: să legi un asistent de uz general la o decizie listată în anexa III este o schimbare de scop, iar hârtiile care urmează nu sunt hârtiile pe care le-ai bugetat. Conversia asta merge pe același ceas amânat, deci e o constrângere de design pentru ce conectezi în 2027, nu o obligație de azi.
Cifra de amendă din titluri aparține altcuiva. Articolul 99 plasează practicile interzise de la articolul 5 la maximum 35 de milioane EUR sau 7% din cifra de afaceri anuală mondială. Încălcările obligațiilor operatorilor, acolo unde stau articolul 26 și articolul 50, se plafonează la 15 milioane EUR sau 3%, iar inducerea în eroare a unei autorități la 7,5 milioane EUR sau 1%. Articolul 99(6) inversează apoi formula pentru IMM-uri și start-up-uri, plafonând amenda la cea mai mică dintre cele două cifre, nu la cea mai mare.
Inventarul sistemelor de IA este artefactul pe care se sprijină tot restul
O analiză IAPP publicată pe 6 mai 2026 enumeră cinci lucruri pe care implementatorii nu le pot produce atunci când li se cer: un registru al sistemelor de IA, o justificare scrisă a modului în care a fost clasificat fiecare sistem, supravegherea umană documentată altfel decât printr-o organigramă, o politică de retenție care să acopere sisteme de IA anume și un prag definit de escaladare sau de suspendare pentru incidente. Fiecare dintre aceste cinci lucruri este ceva ce construiește o echipă de infrastructură, iar patru sunt imposibile fără primul. Un registru al sistemelor de IA se scrie pe baza unui inventar de mașini, iar Sencai construiește a doua listă interogând conturile la sursă, la unsprezece furnizori cloud și pe hardware-ul on-premise la care ajunge un agent gazdă, deci este datat de rulare, nu de cine l-a editat ultima dată.
Shadow AI e locul unde registrul greșește, și are un preț. Raportul IBM Cost of a Data Breach 2025 a constatat că una din cinci organizații studiate a raportat o breșă care implica IA neaprobată de nimeni, iar acolo unde implicarea shadow AI era ridicată acele breșe au costat cu aproximativ 670.000 USD peste media globală de 4,44 milioane USD. Legătura legală e directă: articolul 50 îți cere să dezvălui că o persoană interacționează cu un sistem de IA, și nu poți dezvălui un sistem despre care nu știi că rulează.
Cerințele de jurnalizare din regulament impun un prag de șase luni pentru două părți
Articolul 26(6) cere implementatorilor să păstreze jurnalele generate automat de un sistem de IA cu grad ridicat de risc care se află sub controlul lor pe o perioadă adecvată scopului preconizat, dar cel puțin șase luni, cu excepția cazului în care dreptul Uniunii sau cel național prevede altfel. Articolul 19 pune obligația în oglindă în sarcina furnizorilor, cu același prag de șase luni, deci cifra apare de două ori în regulament, la două părți care vor presupune fiecare că cealaltă ține evidența.
Articolul 12(3), scris despre identificarea biometrică, este cel mai util paragraf din regulament pentru oricine proiectează un format de jurnal. El numește data și ora de început și de sfârșit ale fiecărei perioade de utilizare, baza de date de referință consultată, datele de intrare care au produs o potrivire și identitatea persoanelor care au verificat rezultatul. Citit ca o specificație, nu ca o regulă despre biometrie, descrie ce conține o linie de jurnal pe care o poți apăra: când, față de ce, pe ce intrare și cu ce autoritate.
Același audit trail răspunde și pentru NIS2, și pentru ISO 27001
Nimic din toate astea nu e muncă nouă de dovezi dacă ești deja sub NIS2. Directiva a cerut transpunerea până la 17 octombrie 2024 și pornește un ceas în trei etape pentru incidentele semnificative: o avertizare timpurie în 24 de ore, o notificare mai completă în 72, un raport final într-o lună. Respectarea acelui ceas e un exercițiu de reconstituire, adică o problemă de jurnale. ISO/IEC 27001:2022 poartă controalele corespunzătoare de la publicare: anexa A 8.15 despre producerea, stocarea și protejarea jurnalelor, 8.16 despre monitorizarea comportamentului anormal. ISO/IEC 42001:2023, standardul pentru sisteme de management al IA publicat pe 18 decembrie 2023, nu este încă un standard european armonizat, deci certificarea pe el îți cumpără un răspuns credibil pentru un client și nicio prezumție de conformitate cu regulamentul.
Suprapunerea asta e argumentul pentru a jurnaliza o acțiune asistată de IA la fel ca orice altă schimbare, în loc să ridici o a doua evidență de guvernanță a IA care se învechește până în trimestrul doi. Sencai ia asta literal: o remediere propusă de un model și aprobată de un om se depune lângă o regulă de firewall editată manual de cineva, iar actualizările și ștergerile sunt refuzate de stratul de storage, nu descurajate printr-o politică. Citește articolul 26(6) în raport cu acel design și rostul lui se ascute. Șase luni de jurnale sunt șase luni de dovezi doar dacă retenția e o proprietate a depozitului; o înregistrare pe care un operator o poate edita discret în luna a patra are o politică de retenție în același fel în care o ușă proptită are o încuietoare.
Chestionarul de furnizor ajunge cu mult înaintea reglementatorului
Și clienții tăi sunt în scop, iar programul lor de conformitate ajunge la tine sub forma unei cereri de documente cu luni înainte de orice reglementator. Întrebările sunt constante: ce furnizori de modele ne procesează datele, când sunt angajați, cu ce retenție și ce oprește consumul care o ia razna. La trei dintre cele patru se poate răspunde dintr-un document scris o dată și publicat, și exact așa răspundem noi. A patra nu se lasă, pentru că un răspuns onest are nevoie de o cifră, nu de un paragraf: al nostru e un buget per persoană cu o limită superioară fixă, singura formă pe care un client o poate verifica față de o factură. O listă de subprocesatori numește companii; DPA-ul tău și propria ta justificare de clasificare decid dacă e suficient să le numești.
Ce construiești primul și ce poate aștepta până în 2027
Începe cu registrul: articolul 50 obligă de azi, iar tot ce vine mai târziu depinde de a ști ce rulezi. Marcarea în format care poate fi citit automat a conținutului sintetic produs de sisteme generative aflate pe piață înainte de 2 august 2026 are o perioadă de grație care se închide pe 2 decembrie 2026, iar obligațiile de etichetare pentru deepfake-uri și pentru textul generat de IA pe teme de interes public cad în sarcina implementatorului, nu a vânzătorului care ți-a vândut modelul. Apoi stabilește retenția: șase luni sunt un prag minim pentru sistemele cu grad ridicat de risc, nu o țintă, și se vor ciocni de o regulă de protecție a datelor pe care ai scris-o deja.
Articolul 4 costă cel mai puțin dintre cele trei. Omnibusul l-a înmuiat, de la a asigura un nivel suficient de alfabetizare în materie de IA la a lua măsuri care îi sprijină dezvoltarea, cu text expres că nu trebuie garantat niciun nivel anume la vreo persoană, deci o listă de prezență datată pentru o sesiune de o oră este cel mai ieftin artefact conform din tot regulamentul. Fă munca asta pe parcursul lui 2027 și 2 decembrie sosește cu registrul scris și cu regula de retenție deja aplicată sistemelor pe care le numește, în loc să fie redactată în aceeași lună în care acele sisteme intră în scop. Registrul rămâne primul.