Impactul Regulamentului European privind Inteligența Artificială (EU AI Act) asupra achizițiilor publice

O instituție cumpără un instrument IA pentru selecția candidaților, asistența utilizatorilor sau analiza datelor. Înainte de contract, trebuie să stabilească scopul, răspunderea pentru funcționare și dovezile cerute furnizorului. Aceeași tehnologie poate avea altă categorie de risc la o altă utilizare.

AI Act este un regulament UE direct aplicabil, fără ca toate dispozițiile să se aplice imediat. Planificarea unei achiziții în octombrie 2026 trebuie să țină seama de modificarea prin Regulamentul (UE) 2026/1744. [4] [5]

Cine este furnizor și cine este implementator conform AI Act?

Potrivit art. 3, furnizorul dezvoltă sau comandă dezvoltarea unui sistem IA și îl introduce pe piață ori îl pune în funcțiune sub propriul nume sau marcă, contra cost sau gratuit. Ofertantul câștigător nu este automat furnizor: poate fi distribuitor ori integrator. Implementatorul utilizează sistemul sub propria autoritate; instituția publică îndeplinește frecvent acest rol. [6]

Art. 25 poate transforma implementatorul în furnizor dacă modifică substanțial un sistem cu risc ridicat deja comercializat, care rămâne cu risc ridicat, sau schimbă scopul unui alt sistem astfel încât acesta devine cu risc ridicat. Trebuie analizată separat și aplicarea propriului nume sau mărci. Nu orice configurare produce această schimbare de rol. [7]

Când este un sistem de IA clasificat cu risc ridicat (High-Risk)?

Conform art. 6 și anexei III, pot prezenta risc ridicat, de exemplu:

1. Evaluarea eligibilității pentru prestații și servicii esențiale de asistență publică, inclusiv sănătate, ori acordarea, reducerea, retragerea sau recuperarea lor.
2. Admiterea în educație, evaluarea rezultatelor, stabilirea nivelului educațional ori detectarea comportamentului interzis la examene.
3. Filtrarea și selecția candidaților, anumite decizii de muncă și evaluarea performanțelor.
4. Asistența pentru interpretarea judiciară a faptelor și dreptului și utilizările de aplicare a legii și migrație enumerate separat. Nu orice sprijin pentru decizia administrativă intră în categorie.
5. Componentele de siguranță ale infrastructurii digitale critice, traficului rutier și alimentării cu apă, gaz, căldură ori electricitate. [8]

Lista nu este exhaustivă. Excepția restrânsă din art. 6 alin. (3) poate fi relevantă dacă nu există un risc semnificativ pentru sănătate, siguranță sau drepturi fundamentale și este îndeplinită una dintre condițiile procedurale/pregătitoare enumerate; crearea de profiluri ale persoanelor fizice rămâne întotdeauna cu risc ridicat în acest cadru. Pentru produsele din anexa I, analizați împreună cele două condiții ale art. 6 alin. (1) și precizările alin. (1a)–(1c). [9]

Cerințe obligatorii pentru sistemele de IA cu risc ridicat (Capitolul III)

Cerințele aplicabile sistemelor cu risc ridicat includ:

• Managementul riscurilor (art. 9): proces documentat și iterativ pe durata ciclului de viață. [10]
• Calitatea datelor (art. 10): reprezentativitate, proprietăți statistice adecvate, reducerea erorilor și lacunelor pe cât posibil și gestionarea prejudecăților nocive în datele relevante de antrenare, validare și testare. Nu este o garanție absolută de absență a prejudecăților; pentru sisteme fără antrenare de modele cu date, verificați regula privind datele de testare. [11]
• Documentație și transparență (art. 11, 13): informații pentru evaluarea conformității și utilizarea corectă. [12]
• Jurnalizare și supraveghere umană (art. 12, 14): trasabilitate adecvată, interpretarea rezultatelor, ignorarea ori corectarea lor când este necesar și întreruperea sigură. Nu se cere nelimitat înregistrarea imposibil de alterat a fiecărui eveniment. [13]
• Acuratețe, robustețe, securitate cibernetică (art. 15) și evaluarea conformității, declarația UE și marcajul CE potrivit regimului aplicabil (art. 16, 43, 47–48). [14]

Când se aplică? Secțiunile 1–3 din capitolul III, cu excepția art. 6 alin. (5), se aplică din 2 decembrie 2027 pentru anexa III și din 2 august 2028 pentru anexa I. Sistemelor existente li se aplică și tranziția din art. 111, iar unor produse normele speciale de domeniu din art. 2. Amânarea nu suspendă interdicțiile și obligațiile de transparență ori protecție a datelor deja aplicabile. Art. 42 din Directiva 2014/24/UE cere acces egal în specificații; descrierea funcțională este una dintre metodele permise. [15] [2] [16]

Obligațiile autorităților contractante conform art. 26 și 27

La aplicarea normelor pentru sistemul cu risc ridicat, implementatorului îi revin:

1. Evaluarea impactului asupra drepturilor fundamentale (art. 27): organismele de drept public o efectuează înainte de prima utilizare a unui sistem din art. 6 alin. (2), exceptând infrastructura critică din punctul 2 al anexei III. Nu este o obligație generală pentru orice sistem încorporat într-un produs cu risc ridicat. Se analizează utilizarea, persoanele afectate, riscurile, supravegherea și măsurile; evaluarea se actualizează și rezultatele se notifică, de regulă. Pot fi citate părți relevante din evaluarea de protecție a datelor, fără înlocuire automată. [17]
2. Utilizare și supraveghere (art. 26): măsuri tehnice și organizatorice, persoane competente și autorizate și date de intrare relevante și reprezentative când sunt sub controlul implementatorului. [18]
3. Jurnale, riscuri, incidente: jurnalele automate aflate sub control se păstrează, de regulă, cel puțin șase luni, sub rezerva altor norme aplicabile. Riscul din art. 26 alin. (5) impune notificare fără întârziere și suspendare; pentru un incident grav există o ordine separată de notificare imediată. Nu orice rezultat inexact declanșează automat aceeași procedură. [19]

Clauzele contractuale standard ale Comisiei Europene (EU Model Contractual Clauses)

Public Buyers Community, sprijinită de Comisia Europeană, a publicat MCC-AI-High-Risk, versiunea adaptabilă MCC-AI-Light și un comentariu. Utilizarea este voluntară. Și versiunea simplificată trebuie aplicată proporțional, uneori doar parțial. [3]

Modelele oferă condiții specifice IA pentru documentație, date, verificări și cooperarea la explicarea rezultatelor. Nu sunt contracte complete: comentariul precizează că drepturile generale de proprietate intelectuală, recepția, plata, termenele, legea aplicabilă și răspunderea trebuie reglementate separat. Dreptul de utilizare a seturilor de date nu echivalează cu proprietatea asupra întregului model ori codului sursă. [20]

Corelați modelul din 2025 cu modificarea din 2026. IA de uz general necesită adaptare distinctă; simpla preluare nu garantează conformitatea. [5] [20]

Recomandări practice pentru autorități și ofertanți

Autorități contractante: documentați scopul și riscul, identificați rolurile și cerințele aplicabile la livrare/utilizare și alegeți clauze proporționale. Reglementați documentația, supravegherea umană, accesul la jurnale, schimbările și incidentele. Cereți CE și declarație de conformitate potrivit regimului legal aplicabil, nu automat pentru orice IA. Reglementați separat proprietatea intelectuală, datele, răspunderea și ieșirea din contract. [21] [20]

Ofertanți: clarificați rolul de furnizor, integrator sau distribuitor și pregătiți un plan demonstrabil de conformitate. Verificați drepturile asupra datelor, documentația și funcțiile de supraveghere/jurnalizare. Contractați accesul, suportul și răspunderea pe care le puteți efectiv asigura. [22] [20]

Utolsó szakmai felülvizsgálat: 2026-10-10