Digital Omnibus: ce schimbă UE la EU AI Act și GDPR în 2026

Cea mai mare ajustare a regulilor AI din Europa de la adoptarea EU AI Act

Pe 19 noiembrie 2025, Comisia Europeană a propus pachetul Digital Omnibus — un set de modificări care simplifică simultan EU AI Act, GDPR, regulile de cookies din Directiva ePrivacy, Data Act și alte reglementări digitale. Pe scurt: termenele dure pentru sistemele AI cu risc ridicat se amână, obligațiile de documentare pentru companii se reduc, iar tratarea datelor personale în proiectele de inteligență artificială primește un cadru mai clar. Pentru orice firmă din România care folosește AI, este cea mai importantă veste de conformitate a anului.

Atenție însă la o capcană de interpretare: „simplificare" nu înseamnă „anulare". Reglementarea rămâne în vigoare, iar amânarea termenelor este, de fapt, timp suplimentar de pregătire — nu o scuză de a ignora subiectul. Acest articol explică exact ce se schimbă, ce statut legislativ are fiecare modificare la data publicării și ce ar trebui să facă o companie românească acum.

Ce este Digital Omnibus și de ce apare acum

Digital Omnibus face parte din agenda mai largă de simplificare a Uniunii Europene, menită să reducă povara administrativă asupra companiilor și să crească competitivitatea economică a Europei. Ideea de „omnibus" este să atingi mai multe legi printr-un singur pachet de modificări, în loc să redeschizi fiecare reglementare separat.

Comisia a estimat că măsurile de simplificare ar putea aduce economii de până la 5 miliarde de euro în costuri administrative până în 2029. Comisarul Valdis Dombrovskis a vorbit despre cel puțin 1 miliard de euro economii anuale pentru companii, administrații și cetățeni din momentul intrării în vigoare. Sunt cifre comunicate de Comisie, nu rezultate auditate — le tratăm ca obiective declarate, nu ca fapte împlinite.

Important pentru acuratețe: pachetul are două componente cu ritmuri legislative diferite.

• Modificările la EU AI Act (partea „Digital Omnibus pe AI") au avansat rapid. Parlamentul European și Consiliul au ajuns la un acord politic provizoriu pe 7 mai 2026, confirmat ulterior de reprezentanții statelor membre în Consiliu. Modificările produc efecte juridice doar după adoptarea formală și publicarea în Jurnalul Oficial al UE — așteptată înainte de 2 august 2026.
• Modificările la GDPR, cookies și Data Act sunt încă în negociere (procesul de trilog) la data publicării acestui articol. Sunt propuneri, nu reguli finale.

Distincția contează: planifică-ți conformitatea pe ce e deja agreat, dar nu trata propunerile încă nedecise ca pe lege.

Ce se schimbă la EU AI Act: termenele se mută

Cea mai concretă modificare este calendarul de aplicare a obligațiilor pentru sistemele AI cu risc ridicat (high-risk). Inițial, multe dintre aceste obligații trebuiau să devină aplicabile pe 2 august 2026. Digital Omnibus le amână semnificativ.

Sistemele din Anexa III (autonome)

Pentru sistemele AI high-risk „autonome" listate în Anexa III a EU AI Act — printre care cele folosite în recrutare și ocuparea forței de muncă, biometrie, scoring de credit, infrastructură critică sau servicii publice — obligațiile se amână de la 2 august 2026 la 2 decembrie 2027. Este o amânare de aproximativ 16 luni.

Sistemele din Anexa I (produse)

Pentru AI integrat în produse reglementate deja de legislația UE de siguranță (Anexa I) — de exemplu dispozitive medicale, mașini industriale, jucării — termenul se mută la 2 august 2028, o amânare de circa 12 luni.

Mecanismul „stop-the-clock"

Amânarea nu este necondiționată. Modificările introduc un mecanism de tip „stop-the-clock": dacă instrumentele de sprijinire a conformității (în special standardele tehnice armonizate, la care lucrează organisme precum CEN-CENELEC, plus ghidurile oficiale) sunt confirmate ca fiind disponibile mai devreme, obligațiile pot deveni aplicabile mai repede — la câteva luni după acea confirmare. Cu alte cuvinte, termenul-limită urmărește disponibilitatea reală a standardelor, nu o dată fixă imuabilă. O firmă serioasă nu pariază pe „mai am timp până în decembrie 2027".

Transparența conținutului generat de AI (art. 50)

Obligațiile de transparență pentru conținutul generat artificial — marcarea („watermarking") output-urilor AI, astfel încât oamenii să știe când interacționează cu sau consumă conținut produs de AI — au un termen distinct. Aici amânarea a fost mai scurtă, iar aplicarea este vizată pentru 2 decembrie 2026. Practic, transparența rămâne prima obligație majoră pe care firmele o vor simți, mult înaintea regimului complet pentru high-risk.

În plus, pachetul extinde o serie de ușurări care erau rezervate IMM-urilor și către companiile mici cu capitalizare medie (small mid-caps) — documentație tehnică simplificată și sancțiuni proporționale cu dimensiunea organizației. Se discută și consolidarea unui registru/bază de date la nivel UE pentru sistemele high-risk, care să centralizeze evidența.

Ce se schimbă la GDPR și la regulile de cookies

Aici vorbim despre propuneri aflate încă în negociere, deci formulările pot evolua. Direcțiile principale, așa cum au fost prezentate de Comisie pe 19 noiembrie 2025:

O definiție mai „relativă" a datelor personale

Propunerea clarifică articolul 4 din GDPR printr-o abordare centrată pe operator: o informație nu devine automat „dată personală" pentru o entitate doar pentru că un eventual destinatar ulterior ar putea, teoretic, să identifice persoana. Contează ce mijloace de identificare are efectiv la dispoziție entitatea care deține datele. Scopul declarat este să reducă incertitudinea juridică legată de date pseudonimizate.

Un temei mai clar pentru antrenarea modelelor AI

Propunerea introduce temeiuri mai explicite pentru procesarea datelor în contextul AI, cu garanții obligatorii (minimizarea datelor, securitate, dreptul persoanei de a se opune). Sunt prevăzute și situații în care se pot procesa categorii speciale de date strict pentru detecția și corecția bias-ului din sistemele AI — o problemă reală: nu poți corecta o discriminare pe care nu ai voie nici măcar să o măsori. Se conturează și folosirea „interesului legitim" ca temei pentru antrenare, condiționată de măsuri de protecție.

Cookies și raportarea incidentelor

Pe partea de cookies, intenția este simplificarea „oboselii de consimțământ": mutarea unei părți din reguli sub umbrela GDPR, mecanisme de opt-out cu un singur clic, respectate pe o perioadă de aproximativ 6 luni, și mai puține bannere repetitive pentru categorii de cookies cu risc redus. În paralel, se propune un punct unic de raportare a incidentelor, ca firmele să nu mai notifice aceeași breșă către mai multe autorități după reguli diferite.

Ce înseamnă concret pentru firmele din România

EU AI Act și GDPR sunt regulamente europene cu aplicabilitate directă în România — nu necesită o lege națională de transpunere pentru a fi obligatorii. În practică, asta înseamnă:

• Termenele se aplică și firmelor românești. Dacă dezvolți, integrezi sau folosești un sistem AI care intră în categoria high-risk (de exemplu un instrument de screening al candidaților în HR), noul orizont de conformitate este 2 decembrie 2027, nu august 2026 — sub rezerva adoptării formale.
• Autoritatea de protecție a datelor rămâne ANSPDCP. Pentru orice prelucrare de date personale în proiecte AI, cadrul GDPR și supravegherea ANSPDCP rămân valabile. Modificările propuse nu desființează GDPR.
• Supravegherea EU AI Act la nivel național este în curs de organizare. România își desemnează autoritățile competente pentru aplicarea regulamentului; verifică sursele oficiale pentru stadiul exact înainte de a lua decizii de conformitate.
• Transparența vine prima. Dacă generezi conținut cu AI (texte, imagini, voce, video) pentru public, obligația de marcare (art. 50) este termenul apropiat de care să te ocupi.

Pentru context complet despre obligațiile de bază și sancțiuni, vezi articolul nostru despre EU AI Act pentru companiile românești și cel despre obligația de educație AI din Articolul 4, care rămâne relevantă: alfabetizarea AI a angajaților este o cerință pe care nicio amânare nu o face inutilă.

Greșeala de evitat: „relaxare" nu înseamnă „anulare"

Cea mai costisitoare interpretare a Digital Omnibus ar fi „gata, am scăpat de EU AI Act, mai vorbim peste doi ani". Este greșit din trei motive.

Întâi, amânarea este condiționată de disponibilitatea standardelor; dacă acestea apar mai devreme, ceasul pornește. Al doilea, transparența și alfabetizarea AI au termene apropiate și nu sunt afectate de amânarea high-risk. Al treilea, pregătirea durează: cartografierea sistemelor AI din firmă, clasificarea pe niveluri de risc, documentația tehnică și guvernanța datelor nu se fac într-o săptămână. Companiile care folosesc timpul câștigat ca să se organizeze vor avea un avantaj real față de cele care îl irosesc.

Cum te pregătești — un checklist practic

1. Inventariază sistemele AI pe care le dezvolți, integrezi sau folosești și notează scopul fiecăruia.
2. Clasifică-le pe niveluri de risc conform EU AI Act (interzis / high-risk / risc limitat / risc minim). Majoritatea uneltelor de productivitate sunt risc limitat sau minim, dar verifică atent zonele de HR, credit, biometrie.
3. Tratează întâi transparența: stabilește cum marchezi conținutul generat de AI destinat publicului.
4. Adoptă o politică internă de utilizare AI care acoperă confidențialitatea datelor și „shadow AI" — instrumentele folosite de angajați fără aprobare.
5. Pregătește documentația și guvernanța datelor pentru orice sistem high-risk, fără să aștepți termenul-limită.
6. Urmărește sursele oficiale (EUR-Lex, Comisia Europeană, ANSPDCP) pentru forma finală adoptată — propunerile se pot modifica în trilog.

Cum te ajută cursurile de pe Cursuri AI

Conformitatea AI nu este doar o problemă de avocați — este o competență de leadership și de operațiuni. Cursul AI pentru lideri de business tratează exact felul în care o organizație trece de la „folosim ChatGPT pe ici-colo" la o strategie AI guvernată, cu roluri și responsabilități clare. Pentru partea de reguli interne, cursul despre politica de utilizare AI și shadow AI îți oferă un model concret de politică pe care îl poți adapta firmei tale. Iar pentru echipele juridice și de compliance, cursul AI pentru avocați și juriști acoperă felul în care profesioniștii din drept folosesc AI responsabil și urmăresc cadrul de reglementare.

Toate cursurile sunt în limba română, structurate practic, cu un profesor AI care îți răspunde la întrebări pe parcurs — exact ce îți trebuie ca să transformi un subiect aparent arid de reglementare în pași clari de acțiune.

Întrebări frecvente

Î: Digital Omnibus anulează EU AI Act? Nu. Pachetul simplifică și amână aplicarea anumitor obligații, în special pentru sistemele high-risk, dar reglementarea rămâne în vigoare. Interdicțiile pentru practicile AI inacceptabile și obligațiile deja intrate în vigoare nu sunt eliminate.

Î: Care este noul termen pentru sistemele AI high-risk? Pentru sistemele autonome din Anexa III, 2 decembrie 2027. Pentru AI integrat în produse reglementate (Anexa I), 2 august 2028. Ambele sub rezerva adoptării formale și a mecanismului „stop-the-clock", care poate grăbi aplicarea dacă standardele sunt gata mai devreme.

Î: Modificările sunt deja lege? Modificările la EU AI Act au un acord politic (7 mai 2026) și sunt în curs de adoptare formală, așteptată înainte de 2 august 2026. Modificările la GDPR și cookies sunt încă propuneri în negociere la data publicării.

Î: Ce se întâmplă cu obligația de alfabetizare AI (Articolul 4)? La momentul publicării, poziția finală privind obligația generală de AI literacy nu era pe deplin clarificată în comunicările oficiale. Indiferent de formă, pregătirea angajaților pentru a folosi AI corect și sigur rămâne o practică recomandată — verifică sursele oficiale pentru forma finală.

Î: Trebuie să marchez conținutul generat de AI? Da, când conținutul generat artificial poate fi confundat cu unul real. Obligațiile de transparență din Articolul 50 sunt vizate pentru aplicare în jurul datei de 2 decembrie 2026.

Concluzie

Digital Omnibus este o veste bună pentru companiile care se pregătesc serios și o capcană pentru cele care interpretează „simplificare" drept „nu mai contează". Termenele pentru AI high-risk se mută la 2 decembrie 2027 și 2 august 2028, transparența rămâne pe orizontul apropiat (2 decembrie 2026), iar GDPR primește clarificări utile pentru proiectele AI — multe încă în negociere.

Mesajul pentru o firmă din România este simplu: folosește timpul câștigat ca să te organizezi, nu ca să amâni. Inventariază-ți sistemele AI, ocupă-te de transparență și de politica internă, și ține-te aproape de sursele oficiale. Iar dacă vrei să transformi reglementarea într-un avantaj competitiv, nu într-o sperietoare, structura potrivită de învățare face toată diferența.

Surse oficiale

• Comisia Europeană — Simpler EU digital rules (19 nov. 2025)
• Comisia Europeană — Digital Omnibus on AI Regulation Proposal
• Consiliul UE — acord de simplificare a regulilor AI (7 mai 2026)
• EU AI Act — Regulamentul (UE) 2024/1689
• GDPR — Regulamentul (UE) 2016/679
• ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal

Acest articol are caracter informativ și educativ și nu constituie consultanță juridică. Reglementările descrise sunt în proces legislativ și se pot modifica; pentru obligațiile concrete ale organizației tale, verifică textele oficiale adoptate și consultă un specialist în conformitate sau protecția datelor.