Multă vreme, respectarea legilor a fost văzută ca responsabilitate a departamentului juridic. Odată cu EU AI Act, lucrurile încep să se schimbe. Respectarea legilor devine o preocupare și pentru echipele de software, deoarece anumite cerințe trebuie luate în considerare încă din etapa de proiectare.
EU AI Act este primul cadru legal din lume care reglementează inteligența artificială. A intrat în vigoare la 1 august 2024 și se aplică direct în toate statele membre, inclusiv în România.
Ca echivalent, EU AI Act este pentru inteligența artificială ceea ce este GDPR pentru datele personale: un set de reguli care stabilește cum trebuie dezvoltate și utilizate sistemele IA și ce responsabilități au organizațiile care le folosesc.
EU AI Act intră treptat în etapa în care regulile trebuie transformate în practică. Echipele au mai mult timp până când fiecare obligație majoră devine aplicabilă, dar pregătirea trebuie să înceapă de acum. Sistemele IA sunt proiectate, dezvoltate și puse în producție chiar acum, iar deciziile luate în această etapă pot face diferența atunci când va trebui demonstrată conformitatea.
Pentru software managers, provocarea nu este doar să livreze un sistem care funcționează bine, ci să se asigure că acesta este construit și într-un mod responsabil. Unde sunt stocate datele? Cum poate fi explicată o decizie luată de sistem? Cine intervine atunci când modelul oferă un rezultat neașteptat? Sunt întrebări care țin deja și de arhitectură, nu doar de zona juridică.
Aici intervine rolul managerului. Nu este nevoie ca el să scrie codul pentru fiecare cerință din AI Act. Este însă responsabilitatea lui să se asigure că aceste cerințe ajung la oamenii potriviți și sunt luate în calcul încă de la începutul proiectului, nu când sistemul este deja aproape de producție.
Aplicarea EU AI Act se face treptat, în funcție de nivelul de risc al fiecărui sistem. Nu toate obligațiile urmează să se aplice în viitor, unele se aplică deja, iar amenzile pot ajunge până la 35 mil. EUR sau 7% din cifra de afaceri. Primele reguli sunt deja active:
Practici interzise (februarie 2025) - Unele utilizări ale IA sunt considerate prea riscante și sunt interzise, precum "scoringul social" al cetățenilor.
AI literacy (februarie 2025) - Angajații care lucrează cu sisteme IA trebuie să aibă un nivel adecvat de competență în domeniu, astfel încât să poată utiliza aceste sisteme în mod responsabil.
Modele de uz general (august 2025) - Companiile care dezvoltă modele de uz general, precum cel din spatele ChatGPT, trebuie să ofere documentație tehnică și să fie transparente cu privire la datele folosite pentru antrenare.
Termenele pentru sistemele cu risc ridicat au fost amânate prin Digital Omnibus:
Sisteme cu risc ridicat (decembrie 2027) - Sistemele de sine stătătoare care influențează decizii importante despre oameni, precum recrutarea, scoringul de credit sau educația, trebuie să respecte cerințe stricte de conformitate.
Pe scurt, regulamentul nu interzice inteligența artificială, ci stabilește pentru ce ești responsabil atunci când o construiești sau o folosești. Rămâne întrebarea cea mai importantă pentru orice echipă: cum transformi aceste obligații în ceva concret, în arhitectură și în cod?
Pentru software managers, cea mai mare provocare va fi integrarea sistemelor de inteligență artificială într-un mod care să fie nu doar eficient, ci și responsabil. Asta înseamnă că cerințe precum transparența deciziilor, guvernanța datelor și supravegherea umană trebuie luate în calcul încă din faza de arhitectură, nu adăugate la final ca un strat suplimentar.
Managerul, împreună cu tech leadul, se asigură că obligațiile legale sunt transpuse în decizii concrete de arhitectură și dezvoltare. Nu este vorba de a scrie efectiv codul, ci de a se asigura că cerințele sunt înțelese, împărțite între membrii echipei și implementate la momentul potrivit. Pentru a vedea cum se traduc aceste cerințe în practică, putem porni de la patru piloni importanți: guvernanța datelor, robustețea, loggingul și supravegherea umană.
Guvernanța datelor presupune verificarea datelor folosite pentru antrenarea sistemului și dezvoltarea sistemului. Pentru sistemele cu risc ridicat, datele trebuie să îndeplinească cerințe privind calitatea, relevanța și să fie gestionate în mod corespunzător.
Robustețea se referă la capacitatea sistemului de a funcționa în mod fiabil și sigur, inclusiv atunci când primește date la care nu se așteptă sau este supus unor tentative de manipulare. Pentru sistemele cu risc ridicat, AI Act stabilește cerințe privind acuratețea, robustețea și securitatea cibernetică.
Loggingul înseamnă înregistrarea automată a anumitor evenimente și operațiuni, astfel încât funcționarea sistemului să poată fi monitorizată și analizată ulterior. Pentru sistemele cu risc ridicat, AI Act prevede cerințe privind păstrarea automată a logurilor.
Supravegherea umană presupune existența unei persoane care să poată înțelege, verifica și, la nevoie, opri sau corecta sistemul. Ideea este ca deciziile importante să nu fie lăsate complet pe seama sistemului IA.
Unul dintre instrumentele care merită cunoscute este ISO 42001, standardul pentru managementul sistemelor de inteligență artificială. Nu este încă armonizat cu EU AI Act, deci nu garantează conformitatea, dar oferă un cadru de lucru care poate ajuta organizațiile să își structureze procesele.
Practic, ISO 42001 te îndrumă spre trei lucruri pe care un manager le poate pune în practică imediat: un inventar al sistemelor IA, verificări integrate în CI/CD și un ciclu de tip plan-do-check-act.
Totul pleacă de la o întrebare: de unde ar trebui să înceapă un manager care vrea să-și pregătească echipa din timp, fără să aștepte termenul-limită? Nu este nevoie să începi cu un proces complex. Câțiva pași simpli pot face diferența.
Checklist de pornire:
Pregătește un inventar al sistemelor IA. Începe cu o listă simplă: ce sisteme IA folosiți sau construiți și ce date folosesc acestea.
Clasifică fiecare sistem după risc. Pentru o primă evaluare, poți porni de la cele patru categorii: risc interzis, risc ridicat, risc limitat(obligație de transparență) și risc minim.
Integrează teste în pipeline-ul CI/CD. Testele automate pot rula la fiecare modificare de cod, astfel încât anumite verificări să devină parte din procesul normal de dezvoltare, nu o etapă separată făcută manual la final.
Dacă checklistul pare prea mult, începe cu trei lucruri pe care le poți face chiar de luni dimineața:
Programează o discuție de 30 de minute cu echipa despre ce sisteme IA folosiți. Pe baza discuției, creează un document simplu cu sistemele identificate.
Desemnează un owner. Cineva din echipă trebuie să răspundă de guvernanța IA.
Amânarea acestor termene îți oferă timp în plus. Folosește-l pentru a te organiza din timp, cu pași mici și concreți.
de Mihai Matei
de Horatiu Marc
de Diana Gabor
de Crina Boitor
