Fiecare reglementare, explicată.
Ce este fiecare cadru, cui se aplică, ce cere — și cum vă ajută SenecAI să îl respectați.
EU AI Act
- Legea UE bazată pe risc pentru sistemele AI și modelele AI de uz general (GPAI).
- Împarte AI-ul în categorii: interzis, cu risc ridicat, cu obligații de transparență și cu risc minim.
- Obligațiile se aplică etapizat din 2025; potrivit acordului AI Omnibus din 2026, majoritatea obligațiilor pentru riscul ridicat se mută în decembrie 2027 și august 2028.
- Furnizorilor, implementatorilor, importatorilor și distribuitorilor de sisteme AI de pe piața UE.
- Și companiilor din afara UE, atunci când AI-ul lor sau rezultatele acestuia sunt folosite în UE.
- Furnizorilor de modele AI de uz general.
- Furnizorii de sisteme cu risc ridicat: managementul riscurilor, guvernanța datelor, documentație tehnică, supraveghere umană, evaluarea conformității și marcaj CE.
- Implementatorii: alfabetizare AI, supraveghere umană și utilizare conform instrucțiunilor.
- Transparență: informarea utilizatorilor că interacționează cu AI și etichetarea conținutului generat de AI.
- Inventariem fiecare sistem AI pe care îl construiți, cumpărați sau integrați.
- Stabilim rolul dvs. și categoria de risc a fiecărui sistem.
- Pregătim documentația, mecanismele de supraveghere și lucrările de conformitate cerute de categoria dvs.
GDPR
- Legea generală a UE privind protecția datelor, pentru orice prelucrare de date cu caracter personal.
- Acoperă și datele de antrenare, de inferență și jurnalele sistemelor AI.
- Oferă persoanelor drepturi opozabile asupra datelor lor.
- Oricărei organizații care prelucrează date cu caracter personal ale persoanelor din UE, indiferent unde își are sediul.
- Atât operatorilor, cât și persoanelor împuternicite care acționează în numele lor.
- Un temei juridic documentat și evidența prelucrărilor pentru fiecare activitate.
- DPIA pentru prelucrările cu risc ridicat și acorduri de prelucrare cu furnizorii.
- Notificarea încălcărilor în 72 de ore; răspuns la cererile persoanelor vizate în termen de o lună.
- Vă mapăm fluxurile de date și analizăm temeiurile juridice.
- Realizăm DPIA și redactăm note de informare, politici și termeni și condiții.
- Analizăm contractele cu furnizorii și transferurile internaționale de date.
NIS2
- Directiva actualizată a UE privind securitatea cibernetică, care înlocuiește Directiva NIS inițială.
- Transpusă în legislația națională, astfel că detaliile diferă de la un stat membru la altul.
- Entităților „esențiale” și „importante” mijlocii și mari din 18 sectoare.
- Inclusiv energie, transport, bancar, sănătate, infrastructură digitală, servicii TIC și producție.
- Unii furnizori intră în domeniul de aplicare indiferent de mărime.
- Măsuri de gestionare a riscurilor de securitate cibernetică, inclusiv securitatea lanțului de aprovizionare.
- Raportarea incidentelor: avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final în termen de o lună.
- Conducerea aprobă măsurile și poate răspunde personal.
- Confirmăm dacă și cum vi se aplică NIS2.
- Construim guvernanța, controalele și procesul de răspuns la incidente.
- Ne aliniem la ISO 27001, astfel încât un singur cadru să le acopere pe amândouă.
DORA
- Regulamentul privind reziliența operațională digitală: cadrul UE pentru riscurile TIC din sectorul financiar.
- Se aplică direct în întreaga UE din 17 ianuarie 2025.
- Băncilor, asigurătorilor, firmelor de investiții, instituțiilor de plată și de monedă electronică, furnizorilor de servicii de criptoactive.
- Furnizorilor terți de servicii TIC care le deservesc, cei critici fiind supravegheați direct la nivelul UE.
- Un cadru de gestionare a riscurilor TIC, cu responsabilitate la nivelul consiliului de administrație.
- Clasificarea și raportarea incidentelor majore legate de TIC.
- Testarea rezilienței și un registru al contractelor cu furnizori terți de servicii TIC.
- Proiectăm cadrul de risc TIC și procesul de raportare a incidentelor.
- Planificăm un program de testare a rezilienței potrivit mărimii dvs.
- Construim registrul furnizorilor terți și analizăm contractele cu aceștia.
Cyber Resilience Act (CRA)
- Cerințe obligatorii de securitate cibernetică pentru „produsele cu elemente digitale”, hardware și software.
- Obligațiile de raportare se aplică din 11 septembrie 2026; majoritatea celorlalte cerințe din 11 decembrie 2027.
- Producătorilor de produse conectate și software vândute în UE.
- Importatorilor și distribuitorilor care introduc aceste produse pe piață.
- Dezvoltare sigură încă din faza de proiectare și actualizări de securitate pe toată perioada de asistență.
- Gestionarea vulnerabilităților, inclusiv o listă a componentelor software (SBOM).
- Raportarea vulnerabilităților exploatate activ și a incidentelor grave, cu avertizare timpurie în 24 de ore.
- Confirmăm domeniul de aplicare și clasa de risc a produsului dvs.
- Stabilim procesele de dezvoltare sigură și de gestionare a vulnerabilităților.
- Pregătim documentația tehnică, SBOM-ul și fluxurile de raportare.
ISO 27001
- Standardul internațional pentru un sistem de management al securității informației (SMSI).
- Voluntar, dar cea mai recunoscută dovadă a maturității în securitate.
- Oricărei organizații care vrea să demonstreze o securitate solidă a informației.
- Cerut adesea de clienții enterprise și de investitori, se potrivește foarte bine cu NIS2 și DORA.
- Un proces de evaluare și tratare a riscurilor, cu controalele din Anexa A și o Declarație de aplicabilitate.
- Audituri interne și analize efectuate de management.
- Audit extern de certificare, audituri anuale de supraveghere și recertificare la fiecare trei ani.
- Realizăm analiza lacunelor.
- Proiectăm și documentăm SMSI-ul și controalele dvs.
- Vă pregătim pentru audit și vă sprijinim pe parcursul certificării.
ISO 42001
- Primul standard internațional pentru un sistem de management al AI (AIMS).
- Voluntar și certificabil, completează AI Act fără să îl înlocuiască.
- Organizațiilor care dezvoltă, furnizează sau folosesc sisteme AI.
- În special furnizorilor de AI care trec prin procese de achiziție enterprise și chestionare de securitate.
- Politică AI, obiective și roluri clare de guvernanță.
- Evaluări ale riscurilor și impactului AI pe întregul ciclu de viață al sistemului.
- Controale privind furnizorii, audituri interne și audituri de certificare.
- Construim cadrul dvs. de guvernanță AI și AIMS-ul.
- Corelăm controalele sale cu obligațiile dvs. din AI Act.
- Vă pregătim pentru certificare.
Întrebări frecvente despre reglementări
Cum știu ce reglementări se aplică afacerii mele?
Depinde de produsele, clienții și sectorul dvs. și de modul în care folosiți datele și AI — nu există un răspuns universal. Majoritatea companiilor care construiesc cu AI sunt vizate cel puțin de AI Act și GDPR. Programați un apel introductiv gratuit și vă mapăm expunerea într-o sesiune de descoperire.
Se aplică aceste reguli dacă nu avem sediul în UE?
De regulă, da. GDPR, AI Act, CRA și DORA urmăresc dacă oferiți produse sau servicii în UE ori prelucrați date ale persoanelor din UE — nu unde este înregistrată compania dvs. NIS2 se aplică, în general, entităților care furnizează servicii în UE, iar detaliile sunt stabilite de regulile naționale.
Folosim doar instrumente AI ale altor companii. Ni se aplică totuși AI Act?
Adesea, da — în calitate de implementator. Obligațiile dvs. sunt mai ușoare decât ale unui furnizor: alfabetizarea AI a personalului care folosește instrumentele, utilizarea lor conform instrucțiunilor și transparență acolo unde cazul de utilizare o cere. Ele cresc dacă folosiți AI într-un domeniu cu risc ridicat, precum recrutarea sau deciziile de creditare, ori dacă modificați substanțial sau rebranduiți un sistem.
Se aplică GDPR și dacă dezvoltăm produse AI?
Da. Datele de antrenare, jurnalele de inferență și orice date cu caracter personal prelucrate de un sistem AI rămân supuse GDPR. AI-ul nu creează o excepție; de obicei adaugă obligații, cum ar fi DPIA pentru prelucrările cu risc mai mare sau un temei juridic mai clar pentru datele pe care antrenați.
Se aplică DORA doar băncilor?
Nu. DORA acoperă majoritatea entităților financiare reglementate — asigurători, firme de investiții, instituții de plată și de monedă electronică, furnizori de servicii de criptoactive și altele — și ajunge la furnizorii lor terți de TIC prin contracte, furnizorii critici fiind supravegheați direct la nivelul UE.
Sunt ISO 27001 și ISO 42001 obligatorii?
Nu, ambele sunt voluntare. Însă vă oferă un mod structurat și certificabil de a arăta că gestionați responsabil securitatea și AI-ul, se suprapun în mare măsură cu NIS2, DORA și AI Act, iar clienții enterprise le cer tot mai des.
Poate un singur program de conformitate să acopere mai multe reglementări?
Da, și chiar ar trebui. Managementul riscurilor, raportarea incidentelor, gestionarea furnizorilor și documentația se suprapun între AI Act, GDPR, NIS2, DORA, CRA și standardele ISO. Construim controalele o singură dată și le corelăm cu fiecare cadru care vi se aplică.
Ce se întâmplă dacă nu suntem conformi?
Sancțiunile diferă în funcție de reglementare: AI Act permite amenzi de până la 35 mil. EUR sau 7% din cifra de afaceri anuală la nivel mondial pentru practicile interzise, GDPR până la 20 mil. EUR sau 4%, iar NIS2 până la 10 mil. EUR sau 2% pentru entitățile esențiale, cu răspunderea personală a conducerii. Dincolo de amenzi, neconformitatea iese tot mai des la iveală în due diligence-ul investitorilor și în achizițiile enterprise — este un risc comercial, nu doar unul juridic.
Pregătiți pentru conformitate?
Spuneți-ne ce construiți și vă spunem cât de expuși sunteți
Programați un apel introductiv gratuit →