Întrebarea care pică prost într-un audit nu este „aveți o politică de utilizare AI?". Este mult mai simplă: „câte sisteme AI folosiți și unde?". Majoritatea companiilor din România nu pot răspunde în mai puțin de câteva zile, pentru că informația e împrăștiată între facturi, abonamente personale, extensii de browser și integrări pe care le-a activat cineva acum opt luni. Un inventar de sisteme AI rezolvă exact acest gol: nu e un document de conformitate scris ca să stea în sertar, ci evidența operațională din care decurg toate celelalte obligații.
Acest ghid îți dă structura concretă a registrului — ce coloane are și de ce fiecare există —, cine îl ține în organizație, cum îl populezi realist în două săptămâni și ce evenimente obligă la actualizarea lui.
De ce ai nevoie de inventar înainte de orice altă măsură
Ordinea corectă este contraintuitivă. Multe companii încep cu politica de utilizare AI, apoi cu instruirea, și abia la final descoperă că nu știu pe ce se aplică politica. Este invers: inventarul este precondiția, pentru că fără el nu poți răspunde la niciuna dintre întrebările care contează.
Nu poți spune ce date personale trec prin instrumente AI dacă nu știi ce instrumente ai. Nu poți stabili cine face supravegherea umană dacă nu ai atribuit un responsabil pe fiecare sistem. Nu poți evalua dacă un sistem intră într-o categorie reglementată dacă nu i-ai descris scopul. Și, foarte practic, nu poți negocia un contract-cadru cu un furnizor dacă nu știi că trei departamente plătesc separat același instrument.
Mai există un motiv, mai puțin discutat: inventarul este singurul instrument care transformă Shadow AI dintr-o problemă difuză într-o listă finită. Dacă ai deja o politică scrisă, dar nu ai evidența, politica se aplică doar instrumentelor pe care le știai deja — adică exact cele care nu erau problema.
Ce cere, de fapt, cadrul legal — și ce nu cere
Aici trebuie multă precizie, pentru că se scriu multe imprecizii pe subiect.
Regulamentul (UE) 2024/1689 (AI Act) nu impune, ca atare, un „registru al sistemelor AI" pentru orice companie care folosește AI. Obligația generală de înregistrare într-o bază de date europeană privește anumite categorii de sisteme și anumiți actori, nu utilizatorul obișnuit de instrumente de birou. Dacă cineva îți spune că „legea te obligă să ții un registru AI", cere-i articolul — de cele mai multe ori nu există în forma aceea.
Ce este adevărat, însă, este că mai multe obligații reale devin imposibil de îndeplinit fără o evidență internă:
- Articolul 4 — alfabetizarea AI. Furnizorii și utilizatorii de sisteme AI trebuie să ia măsuri pentru un nivel adecvat de alfabetizare AI în rândul personalului care operează aceste sisteme. Textul a fost simplificat prin pachetul Digital Omnibus privind AI, intrat în vigoare la 27 iulie 2026, care mută accentul spre rolul Comisiei și al statelor membre în promovarea alfabetizării AI; obligația rămâne în sarcina furnizorilor și utilizatorilor, fără a se impune un nivel anume. Supravegherea și aplicarea revin autorităților naționale de supraveghere a pieței. Practic: ca să știi pe cine instruiești și pentru ce sistem, îți trebuie lista sistemelor și a utilizatorilor.
- Articolul 26 — obligațiile utilizatorilor de sisteme cu risc ridicat. Aici intră folosirea conform instrucțiunilor, atribuirea supravegherii umane unor persoane cu competența și autoritatea necesare, monitorizarea funcționării și păstrarea jurnalelor generate automat, în măsura în care sunt sub controlul tău, pentru o perioadă adecvată scopului și de cel puțin șase luni, dacă alte prevederi nu dispun altfel. Fiecare dintre acestea presupune că știi care sisteme intră în categorie.
- Articolul 50 — obligațiile de transparență, aplicabile din 2 august 2026, privind informarea persoanelor care interacționează cu un sistem AI și marcarea anumitor conținuturi generate artificial. Ca să le aplici, trebuie să știi care dintre sistemele tale produc conținut sau vorbesc cu publicul.
- GDPR, articolul 30 — registrul activităților de prelucrare. Aceasta este o obligație de evidență explicită, cu excepțiile prevăzute pentru organizațiile cu mai puțin de 250 de angajați — excepție care, atenție, nu se aplică atunci când prelucrarea riscă să genereze un risc pentru drepturile persoanelor, nu este ocazională sau vizează categorii speciale de date. Un instrument AI care procesează date de clienți sau de angajați intră, de regulă, în una dintre aceste situații.
- GDPR, articolul 35 — evaluarea impactului asupra protecției datelor (DPIA), obligatorie când o prelucrare riscă să genereze un risc ridicat.
Concluzia corectă: inventarul nu este cerut de un singur articol, ci este infrastructura fără de care nu poți dovedi conformitatea cu mai multe. Este și motivul pentru care merită construit chiar dacă nu ai niciun sistem cu risc ridicat.
Nu este consultanță juridică. Calificarea unui sistem, aplicabilitatea excepțiilor și obligațiile concrete depind de situația ta. Verifică textele oficiale citate la final și, pentru decizii cu miză, consultă un avocat.
Cele 18 coloane ale registrului
Am grupat coloanele pe șase blocuri. Recomandarea practică: începe cu blocurile 1–3 pentru toate sistemele, apoi completează 4–6 doar pentru cele care ating date personale sau decizii despre oameni. Un registru perfect pe 20% dintre sisteme e inutil; unul acceptabil pe 100% e util imediat.
Bloc 1 — Identificare
| # | Coloană | De ce există |
|---|---|---|
| 1 | ID intern | Cod scurt și stabil (ex. AI-014). Îți trebuie ca să referențiezi sistemul în DPIA, contracte și tichete, fără să depinzi de numele comercial, care se schimbă. |
| 2 | Denumire și furnizor | Numele produsului și entitatea juridică furnizoare. Nu „ChatGPT", ci produsul și planul exact — diferența dintre un plan individual și unul de organizație schimbă complet regimul datelor. |
| 3 | Modul de acces | Aplicație web, API, extensie de browser, funcție încorporată într-un produs pe care îl ai deja. Ultima categorie e cea mai des uitată: multe suite de birou au căpătat funcții AI fără ca nimeni să fi „achiziționat AI". |
Bloc 2 — Context de utilizare
| # | Coloană | De ce există |
|---|---|---|
| 4 | Scopul declarat | O propoziție, în limbaj de business: „redactarea primei versiuni a răspunsurilor către clienți". Scopul determină încadrarea, nu tehnologia. |
| 5 | Departament și proces | Unde se folosește efectiv. Un instrument poate apărea de trei ori în registru, cu trei scopuri diferite și trei niveluri de risc diferite. |
| 6 | Utilizatori | Număr aproximativ și tip (angajați, colaboratori, furnizori). Baza pentru planul de instruire. |
| 7 | Rolul organizației | Ești utilizator al unui sistem terț sau furnizor, pentru că îl dezvolți ori îl pui pe piață sub marca ta? Rolurile atrag seturi complet diferite de obligații, iar o integrare pe care o oferi clienților tăi te poate muta din prima categorie în a doua. |
Bloc 3 — Date
| # | Coloană | De ce există |
|---|---|---|
| 8 | Categorii de date introduse | Publice, interne, confidențiale, date cu caracter personal, categorii speciale. Aceasta e coloana care declanșează cele mai multe decizii. |
| 9 | Persoane vizate | Clienți, angajați, candidați, terți. Determină cine trebuie informat. |
| 10 | Localizarea prelucrării și transferurile | Unde se procesează și dacă există transfer în afara SEE, cu temeiul aferent. |
| 11 | Utilizarea pentru antrenare | Datele tale sunt folosite pentru antrenarea modelului furnizorului? Dacă există opțiune de excludere, notează dacă e activată și cine a activat-o. |
| 12 | Retenție și jurnale | Cât timp păstrează furnizorul conținutul conversațiilor și ce jurnale rămân sub controlul tău. Coloană direct relevantă pentru cerința de păstrare a jurnalelor în cazul sistemelor cu risc ridicat. |
Bloc 4 — Încadrare și risc
| # | Coloană | De ce există |
|---|---|---|
| 13 | Încadrare preliminară | Practică interzisă, risc ridicat, obligații de transparență, sau niciuna dintre acestea. Marchează explicit dacă încadrarea e „de verificat" — un semn de întrebare onest e mai valoros decât o bifă falsă. |
| 14 | Impact asupra persoanelor | Sistemul contribuie la decizii despre oameni (angajare, evaluare, acces la servicii, preț)? Dacă da, tratează-l ca sensibil chiar dacă încadrarea formală e încă neclară. |
| 15 | DPIA necesară / efectuată | Da/nu, cu data și link către document. |
Bloc 5 — Guvernanță
| # | Coloană | De ce există |
|---|---|---|
| 16 | Proprietar de business | Persoana care răspunde de utilizarea sistemului. Nu IT, nu juridic — funcția care beneficiază de el. Fără această coloană, registrul devine al nimănui. |
| 17 | Supraveghere umană | Cine verifică rezultatele, la ce moment din proces și cu ce autoritate de a le respinge. Formulează-l operațional: „coordonatorul de suport aprobă orice răspuns înainte de trimitere". |
Bloc 6 — Ciclu de viață
| # | Coloană | De ce există |
|---|---|---|
| 18 | Stare, data ultimei revizuiri și contract | Activ / pilot / retras, cine a revizuit ultima dată și trimitere la contract, DPA și condițiile furnizorului. Un sistem retras nu se șterge din registru — se marchează, ca să rămână trasabil. |
Dacă ai nevoie de un punct de plecare minim, primele opt coloane plus proprietarul de business îți acoperă deja majoritatea conversațiilor cu un auditor sau cu un client care îți trimite un chestionar de securitate.
Cine ține registrul
Aici eșuează cele mai multe încercări. Registrul ajunge la o singură persoană, de obicei din IT sau juridic, care nu are cum să știe ce face marketingul cu un instrument de generare de imagini.
Modelul care funcționează separă trei roluri:
Proprietarul registrului — o singură persoană, de regulă din zona de conformitate, risc sau operațiuni. Nu completează ea toate rândurile; deține formatul, calendarul de revizuire și decizia finală de încadrare. Într-o firmă mică, e adesea directorul de operațiuni.
Proprietarii de business — câte unul pe fiecare sistem, din departamentul care îl folosește. Ei răspund de acuratețea rândului lor: scop, utilizatori, ce date intră. Este singura structură în care informația vine de la cine o are.
Funcțiile de sprijin — IT pentru accesul tehnic și integrări, responsabilul cu protecția datelor sau juridicul pentru încadrare și DPIA, achizițiile pentru contracte. Ei consultă și avizează, nu completează în locul altora.
Regula pe care merită să o impui de la început: niciun sistem AI nou nu primește buget sau acces la datele companiei fără un rând în registru și un proprietar de business numit. Este singurul mecanism care ține evidența vie fără efort administrativ suplimentar.
Cum îl populezi în două săptămâni
Nu porni de la un chestionar trimis tuturor. Rata de răspuns va fi mică și vei afla doar ce își amintesc oamenii.
Zilele 1–3: descoperire din surse obiective. Extrage lista de plăți recurente și abonamente din contabilitate, filtrând după furnizori de software. Cere din IT lista aplicațiilor conectate prin autentificare unică și lista extensiilor de browser aprobate. Verifică ce funcții AI sunt deja active în suitele pe care le folosești. Aceste trei surse îți dau, de obicei, mai multe sisteme decât se așteaptă conducerea.
Zilele 4–7: interviuri scurte pe departament. Treizeci de minute cu fiecare șef de departament, cu o singură întrebare deschisă: „arată-mi ce instrumente folosește echipa ta într-o săptămână obișnuită". Nu întreba „folosiți AI?" — răspunsul va fi „nu", pentru că oamenii nu numesc AI ceea ce li se pare o funcție normală a unui program.
Zilele 8–10: consolidare și deduplicare. Același instrument, folosit în două departamente cu scopuri diferite, rămâne pe două rânduri. Instrumente diferite cu același scop se marchează pentru raționalizare — de aici vin, de regulă, primele economii care justifică efortul.
Zilele 11–14: încadrare și priorități. Parcurgi rândurile cu juridicul sau cu responsabilul de date și marchezi ce e clar, ce e „de verificat" și ce oprești până la clarificare. Rezultatul nu e un registru perfect, ci unul complet și onest.
Un semnal bun că ai făcut treaba corect: apar cel puțin două-trei sisteme despre care nimeni din conducere nu știa.
Ce declanșează o actualizare
Un registru revizuit „anual" e mort după trei luni. Leagă actualizarea de evenimente, nu de calendar:
- se achiziționează sau se activează un instrument nou, inclusiv o funcție AI apărută într-un produs existent;
- se schimbă scopul unui sistem deja înregistrat — cea mai frecventă sursă de risc necontrolat, pentru că nimeni nu simte nevoia să anunțe;
- furnizorul modifică termenii privind datele, retenția sau antrenarea;
- se schimbă proprietarul de business ori persoana care face supravegherea umană;
- sistemul începe să atingă date personale sau decizii despre persoane;
- apare un incident, o reclamație sau o întrebare de la o persoană vizată.
Peste aceste declanșatoare, o revizuire completă la șase luni, cu proprietarii de business, este un ritm realist pentru majoritatea organizațiilor.
Greșeli frecvente
Registrul ținut de o singură persoană. Devine o listă de instrumente cunoscute de IT, nu evidența reală.
Coloane prea multe de la început. Un formular cu 40 de câmpuri garantează că nu se completează nimic. Începe cu blocurile 1–3.
Confuzia dintre instrument și utilizare. Nu înregistra „un instrument AI", ci o utilizare a lui, cu scop și departament. Un singur produs poate genera trei rânduri cu trei niveluri de risc diferite.
Încadrare optimistă. Tentația de a marca totul drept „risc redus" ca să scapi de muncă. Un „de verificat" cinstit e mai apărabil decât o încadrare greșită.
Uitarea instrumentelor gratuite și a conturilor personale. Sunt exact cele care nu apar în contabilitate și, tocmai de aceea, cele mai riscante.
Registrul fără legătură cu politica. Dacă politica de utilizare AI și registrul trăiesc în documente separate, care nu se referă unul la altul, ai două documente și zero guvernanță. Dacă nu ai încă politica scrisă, ghidul despre politica de utilizare AI și Shadow AI acoperă acea parte.
Cum te ajută cursurile de pe Cursuri AI
Registrul este un instrument de guvernanță, iar completarea corectă a coloanelor de încadrare cere o înțelegere reală a cadrului european, nu doar bunăvoință.
Cursul Politică de Utilizare AI și Securitatea Datelor în Companie tratează exact perechea politică–evidență: cum clasifici instrumentele, ce date nu intră niciodată într-un serviciu public și cum construiești mecanismul prin care regulile chiar se aplică.
Pentru partea de transparență — coloanele legate de conținut generat și de interacțiunea cu publicul —, cursul Etichetare și Transparență Conținut AI: Conformitate EU AI Act Art. 50 parcurge obligațiile aplicabile din august 2026 și modul de implementare pe fluxurile de marketing și comunicare.
Iar dacă în echipă există un jurist care preia încadrarea sistemelor, cursul AI pentru Avocați și Juriști acoperă cadrul aplicabil în practica din România.
Întrebări frecvente
Sunt obligat prin lege să țin un registru al sistemelor AI? Nu există, ca regulă generală, o obligație de a ține un „registru al sistemelor AI" pentru orice companie care folosește instrumente AI. Există însă obligații care presupun această evidență: registrul activităților de prelucrare prevăzut de articolul 30 din GDPR, obligațiile utilizatorilor de sisteme cu risc ridicat din articolul 26 al AI Act, obligațiile de transparență din articolul 50 aplicabile din 2 august 2026 și măsurile de alfabetizare AI din articolul 4. Inventarul este mijlocul prin care le poți îndeplini și dovedi, nu o obligație de sine stătătoare.
Care e diferența dintre registrul AI și registrul GDPR de la articolul 30? Sunt documente diferite, cu suprapunere parțială. Registrul de la articolul 30 descrie activități de prelucrare a datelor personale, indiferent dacă implică AI. Inventarul de sisteme AI descrie sisteme și utilizări, inclusiv acolo unde nu se prelucrează date personale. În practică, cele două se referă unul la altul: coloana de date din inventar trimite la activitatea de prelucrare corespunzătoare, dacă există.
Trebuie să includ instrumentele gratuite și conturile personale ale angajaților? Da, dacă sunt folosite pentru munca organizației. Din perspectiva riscului, un cont personal gratuit folosit pentru documente de serviciu este mai problematic decât un abonament corporate, pentru că nu ai control asupra termenilor, retenției sau accesului. Tocmai aceste utilizări nu apar în evidențele financiare, deci trebuie descoperite prin interviuri și prin analiza aplicațiilor conectate.
Cine ar trebui să dețină registrul într-o firmă mică, fără departament de conformitate? Directorul de operațiuni sau administratorul, cu proprietari de business numiți pe fiecare sistem. Important nu este titlul, ci ca o singură persoană să răspundă de format și de calendarul de revizuire, iar informația de conținut să vină de la cei care folosesc efectiv instrumentele.
Cât de des trebuie actualizat? Leagă actualizarea de evenimente — instrument nou, schimbare de scop, modificare a termenilor furnizorului, schimbare de proprietar, incident — și adaugă o revizuire completă la șase luni. O revizuire strict anuală este, în practică, prea rară pentru ritmul în care se schimbă aceste instrumente.
Concluzie
Inventarul de sisteme AI nu este documentul cu care începi pentru că ți-l cere cineva. Este documentul cu care începi pentru că fără el toate celelalte măsuri se aplică pe o realitate presupusă, nu pe cea existentă. Optsprezece coloane par multe până observi că primele opt răspund deja la majoritatea întrebărilor pe care ți le pune un auditor, un client sau propriul consiliu de administrație.
Începe cu sursele obiective — plăți, autentificare unică, funcții deja active în produsele pe care le ai —, numește un proprietar pe fiecare rând și impune regula ca niciun instrument nou să nu primească acces la date fără un rând în registru. În două săptămâni ai o evidență reală. Restul guvernanței devine, brusc, o problemă rezolvabilă.
Surse
- Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act), EUR-Lex: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=OJ:L_202401689
- Articolul 4 — Alfabetizarea în domeniul IA: https://artificialintelligenceact.eu/article/4/
- Articolul 26 — Obligațiile utilizatorilor de sisteme AI cu grad ridicat de risc: https://artificialintelligenceact.eu/article/26/
- AI Omnibus — intrare în vigoare, Comisia Europeană: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
- Regulamentul (UE) 2016/679 (GDPR), EUR-Lex: https://eur-lex.europa.eu/legal-content/RO/TXT/?uri=CELEX:32016R0679
- Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal: https://www.dataprotection.ro/