Digital Omnibus: ce schimbă UE la EU AI Act și GDPR în 2026

Actualizare (24 septembrie 2026): Partea privind EU AI Act a devenit lege: Regulamentul (UE) 2026/1744 („Omnibus digital privind IA”), publicat în Jurnalul Oficial al UE la 24 iulie 2026 și în vigoare din 27 iulie 2026, a amânat obligațiile pentru sistemele de IA cu risc ridicat la 2 decembrie 2027 pentru cele din Anexa III și la 2 august 2028 pentru cele din Anexa I (produse reglementate). Datele sunt fixe: mecanismul condiționat („stop-the-clock”) din propunere nu a fost păstrat. Art. 50 (transparență) NU a fost amânat și se aplică din 2 august 2026; numai furnizorii de sisteme generative introduse pe piață înainte de 2 august 2026 au termen până la 2 decembrie 2026 pentru marcajul prevăzut la art. 50 alin. (2). Art. 4 cere acum măsuri pentru a sprijini dezvoltarea alfabetizării AI a personalului, fără garantarea unui anumit nivel de cunoștințe. Modificările propuse la GDPR și la regulile de cookies erau încă în procedură legislativă la 24 septembrie 2026. Mai jos, articolul inițial, cu afirmațiile despre stadiul actual corectate.

Cea mai mare ajustare a regulilor AI din Europa de la adoptarea EU AI Act

Pe 19 noiembrie 2025, Comisia Europeană a propus pachetul Digital Omnibus — un set de modificări care simplifică simultan EU AI Act, GDPR, regulile de cookies din Directiva ePrivacy, Data Act și alte reglementări digitale. Pe scurt: termenele dure pentru sistemele AI cu risc ridicat se amână, obligațiile de documentare pentru companii se reduc, iar tratarea datelor personale în proiectele de inteligență artificială primește un cadru mai clar. Pentru orice firmă din România care folosește AI, este cea mai importantă veste de conformitate a anului.

Atenție însă la o capcană de interpretare: „simplificare" nu înseamnă „anulare". Reglementarea rămâne în vigoare, iar amânarea termenelor este, de fapt, timp suplimentar de pregătire — nu o scuză de a ignora subiectul. Acest articol explică exact ce se schimbă, ce statut legislativ are fiecare modificare la data publicării și ce ar trebui să facă o companie românească acum.

Ce este Digital Omnibus și de ce apare acum

Digital Omnibus face parte din agenda mai largă de simplificare a Uniunii Europene, menită să reducă povara administrativă asupra companiilor și să crească competitivitatea economică a Europei. Ideea de „omnibus" este să atingi mai multe legi printr-un singur pachet de modificări, în loc să redeschizi fiecare reglementare separat.

Comisia a estimat că măsurile de simplificare ar putea aduce economii de până la 5 miliarde de euro în costuri administrative până în 2029. Comisarul Valdis Dombrovskis a vorbit despre cel puțin 1 miliard de euro economii anuale pentru companii, administrații și cetățeni din momentul intrării în vigoare. Sunt cifre comunicate de Comisie, nu rezultate auditate — le tratăm ca obiective declarate, nu ca fapte împlinite.

Important pentru acuratețe: pachetul are două componente cu ritmuri legislative diferite.

• Modificările la EU AI Act (partea „Digital Omnibus pe AI") au avansat rapid. Parlamentul European și Consiliul au ajuns la un acord politic provizoriu pe 7 mai 2026, confirmat ulterior de reprezentanții statelor membre în Consiliu. Textul a fost apoi adoptat formal (votul final al Parlamentului pe 16 iunie, decizia Consiliului pe 29 iunie 2026) și publicat în Jurnalul Oficial al UE la 24 iulie 2026, ca Regulamentul (UE) 2026/1744, în vigoare din 27 iulie 2026.
• Modificările la GDPR, cookies și Data Act fac obiectul unei propuneri separate, COM(2025) 837, aflată încă în procedură legislativă la 24 septembrie 2026. Sunt propuneri, nu reguli finale.

Distincția contează: planifică-ți conformitatea pe ce e deja agreat, dar nu trata propunerile încă nedecise ca pe lege.

Ce se schimbă la EU AI Act: termenele se mută

Cea mai concretă modificare este calendarul de aplicare a obligațiilor pentru sistemele AI cu risc ridicat (high-risk). Inițial, multe dintre aceste obligații trebuiau să devină aplicabile pe 2 august 2026. Digital Omnibus le amână semnificativ.

Sistemele din Anexa III (autonome)

Pentru sistemele AI high-risk „autonome" listate în Anexa III a EU AI Act — printre care cele folosite în recrutare și ocuparea forței de muncă, biometrie, scoring de credit, infrastructură critică sau servicii publice — obligațiile se amână de la 2 august 2026 la 2 decembrie 2027. Este o amânare de aproximativ 16 luni.

Sistemele din Anexa I (produse)

Pentru AI integrat în produse reglementate deja de legislația UE de siguranță (Anexa I) — de exemplu dispozitive medicale, mașini industriale, jucării — termenul se mută la 2 august 2028, o amânare de circa 12 luni.

Mecanismul „stop-the-clock"

Propunerea Comisiei condiționa amânarea printr-un mecanism de tip „stop-the-clock": obligațiile ar fi devenit aplicabile la 6 luni (Anexa III), respectiv 12 luni (Anexa I) după o decizie a Comisiei care confirma că măsurile de sprijin pentru conformitate, în special standardele, sunt disponibile, cu 2 decembrie 2027 și 2 august 2028 ca termene maxime. Textul final nu a păstrat acest mecanism: Regulamentul (UE) 2026/1744 stabilește date fixe, fără condiții legate de standarde. Chiar și așa, o firmă serioasă nu pariază pe „mai am timp până în decembrie 2027".

Transparența conținutului generat de AI (art. 50)

Obligațiile de transparență pentru conținutul generat artificial — marcarea („watermarking") output-urilor AI, astfel încât oamenii să știe când interacționează cu sau consumă conținut produs de AI — nu au fost amânate: articolul 50 se aplică din 2 august 2026. Singura tranziție privește marcajul prevăzut la alineatul (2): furnizorii de sisteme generative introduse pe piață înainte de 2 august 2026 au termen până la 2 decembrie 2026. Practic, transparența rămâne prima obligație majoră pe care firmele o vor simți, mult înaintea regimului complet pentru high-risk.

În plus, pachetul extinde o serie de ușurări care erau rezervate IMM-urilor și către companiile mici cu capitalizare medie (small mid-caps) — documentație tehnică simplificată și sancțiuni proporționale cu dimensiunea organizației. Înregistrarea în baza de date a UE se păstrează, în formă simplificată: propunerea de a elimina înregistrarea sistemelor exceptate prin articolul 6 alineatul (3) nu a fost adoptată.

Ce se schimbă la GDPR și la regulile de cookies

Aici vorbim despre propuneri aflate încă în negociere, deci formulările pot evolua. Direcțiile principale, așa cum au fost prezentate de Comisie pe 19 noiembrie 2025:

O definiție mai „relativă" a datelor personale

Propunerea clarifică articolul 4 din GDPR printr-o abordare centrată pe operator: o informație nu devine automat „dată personală" pentru o entitate doar pentru că un eventual destinatar ulterior ar putea, teoretic, să identifice persoana. Contează ce mijloace de identificare are efectiv la dispoziție entitatea care deține datele. Scopul declarat este să reducă incertitudinea juridică legată de date pseudonimizate.

Un temei mai clar pentru antrenarea modelelor AI

Propunerea introduce temeiuri mai explicite pentru procesarea datelor în contextul AI, cu garanții obligatorii (minimizarea datelor, securitate, dreptul persoanei de a se opune). Sunt prevăzute și situații în care se pot procesa categorii speciale de date strict pentru detecția și corecția bias-ului din sistemele AI — o problemă reală: nu poți corecta o discriminare pe care nu ai voie nici măcar să o măsori. Se conturează și folosirea „interesului legitim" ca temei pentru antrenare, condiționată de măsuri de protecție.

Cookies și raportarea incidentelor

Pe partea de cookies, intenția este simplificarea „oboselii de consimțământ": mutarea unei părți din reguli sub umbrela GDPR, mecanisme de opt-out cu un singur clic, respectate pe o perioadă de aproximativ 6 luni, și mai puține bannere repetitive pentru categorii de cookies cu risc redus. În paralel, se propune un punct unic de raportare a incidentelor, ca firmele să nu mai notifice aceeași breșă către mai multe autorități după reguli diferite.

Ce înseamnă concret pentru firmele din România

EU AI Act și GDPR sunt regulamente europene cu aplicabilitate directă în România — nu necesită o lege națională de transpunere pentru a fi obligatorii. În practică, asta înseamnă:

• Termenele se aplică și firmelor românești. Dacă dezvolți, integrezi sau folosești un sistem AI care intră în categoria high-risk (de exemplu un instrument de screening al candidaților în HR), noul orizont de conformitate este 2 decembrie 2027, nu august 2026, dată fixată prin Regulamentul (UE) 2026/1744.
• Autoritatea de protecție a datelor rămâne ANSPDCP. Pentru orice prelucrare de date personale în proiecte AI, cadrul GDPR și supravegherea ANSPDCP rămân valabile. Modificările propuse nu desființează GDPR.
• Supravegherea EU AI Act la nivel național este în curs de organizare. Prin memorandumul adoptat de Guvern la 12 martie 2026, ANCOM a fost desemnată autoritate de supraveghere a pieței și punct unic de contact, alături de ASF și BNR (servicii financiare), ANSPDCP (biometrie, justiție, migrație) și autoritățile sectoriale, iar ADR autoritate de notificare. Legea națională care stabilește atribuțiile și sancțiunile era încă în elaborare la 24 septembrie 2026; până la intrarea ei în vigoare, ANCOM nu poate verifica și sancționa încălcările.
• Transparența vine prima. Dacă generezi conținut cu AI (texte, imagini, voce, video) pentru public, obligația de marcare (art. 50) este termenul apropiat de care să te ocupi.

Pentru context complet despre obligațiile de bază și sancțiuni, vezi articolul nostru despre EU AI Act pentru companiile românești și cel despre obligația de educație AI din Articolul 4, care rămâne relevantă: alfabetizarea AI a angajaților este o cerință pe care nicio amânare nu o face inutilă.

Greșeala de evitat: „relaxare" nu înseamnă „anulare"

Cea mai costisitoare interpretare a Digital Omnibus ar fi „gata, am scăpat de EU AI Act, mai vorbim peste doi ani". Este greșit din trei motive.

Întâi, amânarea are date fixe și nu anulează nimic: obligațiile pentru risc ridicat se aplică de la 2 decembrie 2027 (Anexa III) și 2 august 2028 (Anexa I). Al doilea, transparența și alfabetizarea AI se aplică deja, de la 2 august 2026, respectiv 2 februarie 2025, și nu sunt afectate de amânarea high-risk. Al treilea, pregătirea durează: cartografierea sistemelor AI din firmă, clasificarea pe niveluri de risc, documentația tehnică și guvernanța datelor nu se fac într-o săptămână. Companiile care folosesc timpul câștigat ca să se organizeze vor avea un avantaj real față de cele care îl irosesc.

Cum te pregătești — un checklist practic

1. Inventariază sistemele AI pe care le dezvolți, integrezi sau folosești și notează scopul fiecăruia.
2. Clasifică-le pe niveluri de risc conform EU AI Act (interzis / high-risk / risc limitat / risc minim). Majoritatea uneltelor de productivitate sunt risc limitat sau minim, dar verifică atent zonele de HR, credit, biometrie.
3. Tratează întâi transparența: stabilește cum marchezi conținutul generat de AI destinat publicului.
4. Adoptă o politică internă de utilizare AI care acoperă confidențialitatea datelor și „shadow AI" — instrumentele folosite de angajați fără aprobare.
5. Pregătește documentația și guvernanța datelor pentru orice sistem high-risk, fără să aștepți termenul-limită.
6. Urmărește sursele oficiale (EUR-Lex, Comisia Europeană, ANSPDCP): partea privind EU AI Act e publicată ca Regulamentul (UE) 2026/1744, iar propunerile privind GDPR și cookies se pot modifica în negocieri.

Cum te ajută cursurile de pe Cursuri AI

Conformitatea AI nu este doar o problemă de avocați — este o competență de leadership și de operațiuni. Cursul AI pentru lideri de business tratează exact felul în care o organizație trece de la „folosim ChatGPT pe ici-colo" la o strategie AI guvernată, cu roluri și responsabilități clare. Pentru partea de reguli interne, cursul despre politica de utilizare AI și shadow AI îți oferă un model concret de politică pe care îl poți adapta firmei tale. Iar pentru echipele juridice și de compliance, cursul AI pentru avocați și juriști acoperă felul în care profesioniștii din drept folosesc AI responsabil și urmăresc cadrul de reglementare.

Toate cursurile sunt în limba română, structurate practic, cu un profesor AI care îți răspunde la întrebări pe parcurs — exact ce îți trebuie ca să transformi un subiect aparent arid de reglementare în pași clari de acțiune.

Întrebări frecvente

Î: Digital Omnibus anulează EU AI Act? Nu. Pachetul simplifică și amână aplicarea anumitor obligații, în special pentru sistemele high-risk, dar reglementarea rămâne în vigoare. Interdicțiile pentru practicile AI inacceptabile și obligațiile deja intrate în vigoare nu sunt eliminate.

Î: Care este noul termen pentru sistemele AI high-risk? Pentru sistemele autonome din Anexa III, 2 decembrie 2027. Pentru AI integrat în produse reglementate (Anexa I), 2 august 2028. Sunt date fixe, stabilite prin Regulamentul (UE) 2026/1744, în vigoare din 27 iulie 2026; mecanismul „stop-the-clock" din propunere, care ar fi putut grăbi aplicarea, nu a fost păstrat.

Î: Modificările sunt deja lege? Cele privind EU AI Act, da: Regulamentul (UE) 2026/1744 a fost publicat în Jurnalul Oficial al UE la 24 iulie 2026 și este în vigoare din 27 iulie 2026. Modificările la GDPR și cookies erau încă propuneri, în procedură legislativă, la 24 septembrie 2026.

Î: Ce se întâmplă cu obligația de alfabetizare AI (Articolul 4)? Rămâne în sarcina companiilor, în formă relaxată. Art. 4, în forma modificată prin Regulamentul (UE) 2026/1744 (de la 27 iulie 2026), le cere furnizorilor și implementatorilor să ia măsuri pentru a sprijini dezvoltarea alfabetizării în domeniul IA a personalului lor. Nu le cere să garanteze un anumit nivel de cunoștințe. Comisia și statele membre sprijină aceste eforturi. Obligația există din 2 februarie 2025.

Î: Trebuie să marchez conținutul generat de AI? Da, când conținutul generat artificial poate fi confundat cu unul real. Obligațiile de transparență din Articolul 50 se aplică din 2 august 2026 și nu au fost amânate; numai furnizorii de sisteme generative introduse pe piață înainte de această dată au termen până la 2 decembrie 2026 pentru marcajul prevăzut la alineatul (2).

Concluzie

Digital Omnibus este o veste bună pentru companiile care se pregătesc serios și o capcană pentru cele care interpretează „simplificare" drept „nu mai contează". Termenele pentru AI high-risk s-au mutat la 2 decembrie 2027 și 2 august 2028, transparența se aplică deja din 2 august 2026 (cu termen până la 2 decembrie 2026 doar pentru marcajul sistemelor generative aflate deja pe piață), iar GDPR ar putea primi clarificări utile pentru proiectele AI — propuneri încă în negociere.

Mesajul pentru o firmă din România este simplu: folosește timpul câștigat ca să te organizezi, nu ca să amâni. Inventariază-ți sistemele AI, ocupă-te de transparență și de politica internă, și ține-te aproape de sursele oficiale. Iar dacă vrei să transformi reglementarea într-un avantaj competitiv, nu într-o sperietoare, structura potrivită de învățare face toată diferența.

Surse oficiale

• Comisia Europeană — Simpler EU digital rules (19 nov. 2025)
• Comisia Europeană — Digital Omnibus on AI Regulation Proposal
• Consiliul UE — acord de simplificare a regulilor AI (7 mai 2026)
• Regulamentul (UE) 2026/1744 („Omnibus digital privind IA”), textul publicat în Jurnalul Oficial — EUR-Lex
• EU AI Act — Regulamentul (UE) 2024/1689
• GDPR — Regulamentul (UE) 2016/679
• ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal

Acest articol are caracter informativ și educativ și nu constituie consultanță juridică. Modificările privind EU AI Act au fost adoptate prin Regulamentul (UE) 2026/1744; cele privind GDPR și cookies sunt încă în proces legislativ și se pot modifica. Pentru obligațiile concrete ale organizației tale, verifică textele oficiale adoptate și consultă un specialist în conformitate sau protecția datelor.