Knowledgebase bocp.ro

Temeiul legal pentru utilizarea unui asistent AI împreună cu ERP-ul

Definiții și noțiuni de bazăActualizat la

Introducere

Întrebarea „am voie să conectez un asistent AI la ERP-ul firmei?" are un răspuns care depinde aproape în întregime de ce date ajung la asistent. Nu de ce marcă de AI folosești, nu de cât de deștept este, ci de natura informației care iese din firmă.

Articolul explică temeiul legal concret pe care se sprijină funcționalitatea Agenți AI din modulul Conectori AI, cu exemple exacte de date expuse. Este articolul de citit înainte de a răspunde unui contabil, unui auditor sau unui client care întreabă „pe ce bază faceți asta?".

Pentru explicația generală despre cum funcționează GDPR și ce trebuie verificat la furnizorul AI, vezi articolul GDPR și asistenții AI conectați la BOCP. Aici mergem direct pe temeiuri și exemple.

Ce găsești în acest articol

Rolurile juridice — cine este cine

Orice discuție legală despre AI și ERP începe cu stabilirea rolurilor. Fără ele, nimic nu se poate încadra.

  • Firma ta — operator de date (articolul 4 punctul 7 GDPR). Tu stabilești scopul și mijloacele prelucrării datelor clienților și angajaților tăi. Tu decizi dacă și ce conectezi la un AI.
  • BOCP — persoană împuternicită (articolul 4 punctul 8 GDPR). Prelucrăm datele exclusiv pe baza instrucțiunilor tale documentate, conform articolului 28 alineatul (3) litera (a). Bifele pe care le pui în ecranul de configurare al conectorului sunt acea instrucțiune documentată, iar sistemul le păstrează.
  • Furnizorul AI — persoană împuternicită a firmei tale. Pentru că tu conectezi propriul tău cont, prin ecranul de aprobare, relația contractuală este între tine și el. Nu este un subîmputernicit al BOCP.
  • Furnizorul AI — furnizor de sistem AI în sensul articolului 3 punctul 3 din AI Act. Obligațiile de transparență ale unui furnizor îi revin lui.
  • Firma ta — utilizator al sistemului AI, în sensul articolului 3 punctul 4 din AI Act, atunci când îl folosești în activitatea profesională.

Notă: faptul că furnizorul AI este împuternicitul tău, nu al nostru, este un avantaj juridic real. Înseamnă că lanțul de răspundere este scurt și clar, că nu depinzi de un lanț de subîmputerniciți și că poți schimba sau opri furnizorul AI fără să afectezi relația cu BOCP.

Temeiul legal pentru exportul de date agregate

1. Datele agregate nu sunt date cu caracter personal

Articolul 4 punctul 1 din GDPR definește datele cu caracter personal ca informații privind o persoană fizică identificată sau identificabilă. Considerentul 26 precizează că principiile protecției datelor nu se aplică informațiilor anonime, adică celor care nu permit identificarea unei persoane.

O valoare zilnică calculată pe întreaga firmă — de exemplu totalul facturat într-o zi — nu se referă la nicio persoană și nu permite izolarea niciunei înregistrări individuale.

Consecință: GDPR nu se aplică acestor date. Nu este vorba de o excepție sau de o derogare, ci de faptul că informația se află în afara domeniului de aplicare al regulamentului.

2. Criteriul practic de anonimitate

Ghidul 02/2026 privind anonimizarea, adoptat de Comitetul European pentru Protecția Datelor la 7 iulie 2026, stabilește testul: datele sunt anonime dacă nu se poate izola o înregistrare individuală, nu se pot corela înregistrări despre aceeași persoană și nu se poate deduce o informație despre o persoană anume. Evaluarea se face din perspectiva destinatarului, luând în calcul și mijloacele pe care acesta le-ar putea obține de la terți.

Un total zilnic pe firmă trece testul: nicio operațiune matematică nu îl poate descompune înapoi în tranzacții individuale.

3. Nu este necesar act adițional de prelucrare și nici mecanism de transfer

Articolul 28 din GDPR impune un contract de prelucrare atunci când un împuternicit prelucrează date cu caracter personal. Capitolul V impune un mecanism de transfer atunci când date cu caracter personal ajung în afara Uniunii Europene. Ambele obligații se declanșează de la aceeași premisă — existența datelor personale — care aici lipsește.

Atenție: aceasta este valabil strict pentru ce transmite conectorul. Dacă tu introduci manual date personale în conversația cu asistentul, ambele obligații devin aplicabile, iar respectarea lor este responsabilitatea firmei tale.

4. Principiile se respectă prin construcție

  • Minimizare (articolul 5 alineatul (1) litera (c)): se transmite cifra, niciodată înregistrarea din care provine. Excepțiile sunt două: piloții, care trimit la documentul cu o problemă deschisă doar prin tipul și numărul lui, fără conținut, și catalogul de produse, care conține date despre produse, nu despre persoane.
  • Protecția datelor din faza de proiectare și implicit (articolul 25): cifrele firmei, adică indicatorii zilnici și valorile la zi, sunt oprite implicit, iar fiecare element se acordă individual de un administrator. Uneltele piloților sunt pornite implicit, pentru că nu conțin date despre persoane și nici cifre financiare; ele apar în lista din ecranul de aprobare și pot fi oprite oricând, inclusiv prin alegerea opțiunii „Fără acces" pentru piloți. La reaprobarea unui conector existent, opțiunea implicită păstrează permisiunile pe care le avea, fără să le extindă.
  • Responsabilitate (articolul 5 alineatul (2)): fiecare cerere este jurnalizată, iar permisiunile acordate sunt vizibile și verificabile oricând. Propunerile de modificare rămân înregistrate, cu cine a propus, cine a decis și când.
  • Fără decizii automate (articolul 22): în răspuns nu există persoane, deci nu poate exista creare de profiluri sau decizie automată cu efecte asupra cuiva. Propunerile asistentului privesc fișe de produs și se aplică numai după decizia unui om.

Ce ar fi necesar dacă s-ar exporta date cu caracter personal

Funcționalitatea nu permite acest lucru în prezent. Explicăm totuși ce ar presupune, pentru că este întrebarea firească a oricărui auditor și pentru că explică de ce limita este unde este.

  1. Un temei legal pentru prelucrare (articolul 6). Pentru analiza propriilor date de business, interesul legitim este de regulă temeiul potrivit.
  2. Un act adițional de prelucrare cu furnizorul AI, conform articolului 28 alineatul (3).
  3. Un mecanism de transfer internațional valabil, dacă prelucrarea are loc în afara Uniunii Europene — decizie de adecvare sau clauze contractuale standard, împreună cu o evaluare a transferului.
  4. Actualizarea informării persoanelor vizate (articolele 13 și 14), cu menționarea furnizorului AI ca destinatar.
  5. Actualizarea registrului activităților de prelucrare (articolul 30).
  6. O evaluare a impactului (articolul 35), probabil necesară dacă prelucrarea este sistematică și pe scară largă.

Notă: pseudonimizarea nu scutește de niciuna dintre acestea. Datele pseudonimizate rămân date cu caracter personal (articolul 4 punctul 5) — reduc riscul, nu obligațiile.

Încadrarea în AI Act

Regulamentul (UE) 2024/1689, modificat prin Regulamentul (UE) 2026/1744 în vigoare din 27 iulie 2026, se aplică sistemelor de inteligență artificială. Definiția din articolul 3 punctul 1 cere ca sistemul să deducă, din datele primite, cum să genereze rezultate — predicții, conținut, recomandări sau decizii.

Conectorul BOCP nu deduce nimic. El verifică o permisiune, execută o interogare și transmite rezultatul. Când primește o propunere de modificare, o verifică și o păstrează până decide un om. Orientările Comisiei Europene privind definiția unui sistem de inteligență artificială, publicate la 6 februarie 2025, exclud explicit din definiție sistemele de prelucrare de bază a datelor, tocmai pentru că nu analizează tipare și nu își ajustează autonom rezultatul.

Consecință: conectorul nu este un sistem de inteligență artificială, iar BOCP nu are, în privința lui, calitatea de furnizor în sensul regulamentului. Sistemul AI este asistentul, iar furnizorul lui este cel care poartă obligațiile de transparență din articolul 50, aplicabile din 2 august 2026.

Ce este interzis complet

Articolul 5 din AI Act enumeră practici interzise, în vigoare din 2 februarie 2025, pentru care nu există remediu prin consimțământ sau contract. Două sunt relevante pentru un ERP:

  • Deducerea emoțiilor la locul de muncă — articolul 5 alineatul (1) litera (f). Folosirea unui sistem AI pentru a deduce emoțiile angajaților este interzisă, cu excepții limitate pentru motive medicale sau de siguranță. Practic: nu analiza „moralul echipei" din tichete, conversații interne sau înregistrări de apeluri. Analiza sentimentului clienților nu intră în interdicție — aceasta se aplică doar la locul de muncă și în educație.
  • Punctarea socială — articolul 5 alineatul (1) litera (c). Clasificarea persoanelor pe baza comportamentului, urmată de tratament defavorabil într-un context fără legătură cu cel în care datele au fost colectate.

Ce ar deveni sistem cu grad ridicat de risc

Anexa III la AI Act enumeră domeniile cu grad ridicat de risc. Obligațiile aferente au fost amânate până la 2 decembrie 2027 prin Regulamentul (UE) 2026/1744 — amânate, nu eliminate. Două puncte ating direct un ERP:

  • Punctul 4 litera (b) — sisteme destinate monitorizării și evaluării performanței și comportamentului persoanelor aflate în raporturi de muncă. Un indicator defalcat pe agent de vânzări, pe tehnician sau pe operator de depozit intră aici.
  • Punctul 5 litera (b) — evaluarea bonității persoanelor fizice. Limitele de credit pentru clienți persoane juridice sunt în afara acestui punct; aceleași date despre un PFA nu sunt.

Din acest motiv, conectorul transmite exclusiv valori la nivel de firmă și nu permite defalcarea niciunui indicator pe utilizator, pe angajat sau pe client. Piloții respectă aceeași regulă: nu spun niciodată cine a rezolvat o problemă, iar istoricul propunerilor nu este expus asistentului.

Cele patru feluri de date expuse

Ceea ce poate citi un asistent se împarte în patru familii. Distincția este tehnică, dar are o consecință juridică pe care merită să o înțelegi înainte de exemple.

  • Indicatori zilnici — cât s-a întâmplat într-o zi: valoarea facturată, încasările, comenzile primite, marja brută, costul mărfii vândute, valoarea intrărilor și a ieșirilor din stoc, comenzile anulate, valoarea retururilor către furnizori.
  • Valori la zi — cât este la un moment dat: valoarea stocului, marja potențială din stocul existent, soldul de încasat de la clienți, numărul total de clienți, numărul total de produse și câte au stoc.
  • Activitatea și problemele piloților — ce au făcut automatizările ERP-ului într-o perioadă: numărul de acțiuni, problemele deschise și rezolvate, cozile de lucru, lista uneltelor fiecărui pilot și, dacă se acordă separat, ce automatizări sunt pornite.
  • Catalogul de produse — prin uneltele pilotului Catalog, active implicit pe fiecare conector: fișele produselor (coduri, denumire, descriere scurtă, grupă, producător, caracteristici, categorii, linkurile pozelor), lista categoriilor, a caracteristicilor și a producătorilor. Asistentul poate filtra și produsele cu probleme de catalog, de exemplu fără poze, fără descriere, fără categorie, fără producător, fără caracteristici sau cu coduri duplicate.

Primele două sunt totaluri la nivel de firmă și niciuna nu se poate defalca pe client, pe produs, pe document sau pe angajat. Încadrarea juridică este aceeași pentru amândouă familiile: date anonime, în afara domeniului de aplicare al GDPR, dar informație comercială confidențială.

Piloții trimit tot numere pe perioadă, cu o singură excepție: pentru fiecare problemă încă deschisă se trimite tipul documentului afectat, numărul lui așa cum apare în BOCP (de exemplu seria și numărul facturii, numărul comenzii, adresa magazinului la problemele de conectare sau codul produsului la cele de publicare), un link către document și un link către lista problemelor de același fel. Linkurile se deschid doar după autentificarea în contul firmei. Nu se trimit conținutul documentului, clientul, textul problemei sau persoana care a rezolvat-o. Din perspectiva destinatarului, numărul unei facturi sau al unei comenzi nu identifică pe nimeni: pentru a afla la cine se referă, ar fi nevoie de acces la contul BOCP al firmei. Încadrarea rămâne aceeași: date anonime pentru destinatar.

Catalogul de produse nu conține date despre persoane: descrie produse, iar în mare parte sunt datele publicate oricum în magazinul online. Nu conține prețuri, costuri, stocuri, vânzări sau furnizori. Codurile adiționale pot include codurile sub care furnizorii numesc produsul pe facturile lor, fără numele furnizorului. Încadrare: în afara GDPR. Singura rezervă practică este textul liber introdus de utilizatori în descrierea scurtă: dacă cineva a scris acolo date despre o persoană, ele pleacă odată cu descrierea. Uneltele catalogului sunt active implicit și pot fi debifate oricând. O permisiune separată, tot activă implicit, îi permite asistentului să afle ce produse nu au avut vânzări, bonuri de consum sau conversii în ultimele luni și care dintre ele au stoc; transferurile nu se iau în calcul. Asistentul primește doar lista produselor care corespund filtrului, fără cantități, valori, clienți sau documente. Încadrare: date despre produse, în afara GDPR.

Notă: o valoare la zi se calculează din documentele firmei — soldul de încasat, de exemplu, este suma resturilor de plată de pe facturile emise și neanulate. Asistentul primește numai suma. Nu primește nicio factură, niciun client, nicio scadență și nu poate cere descompunerea totalului. Este exact același raport ca între „valoarea facturată azi" și facturile din spatele ei.

Propunerile de modificare

Cu licența separată Conector MCP citire și operare, tipul de acces Citire și scriere pe conector și doar pe uneltele bifate explicit, asistentul poate propune modificări în fișele produselor: o descriere scurtă, o caracteristică, o categorie, o poză. O propunere nu modifică nimic. Ea apare la pilot și se aplică doar după ce un utilizator al firmei o aprobă. Juridic, decizia rămâne a firmei, luată de un om; propunerile privesc produse, nu persoane, deci nu ating articolul 22 GDPR.

Exemple concrete de date expuse

Ce urmează sunt exemple reale de răspunsuri pe care le poate primi un asistent AI, dacă elementul respectiv a fost bifat în configurarea conectorului.

Exemplul 1 — valoarea facturată pe zi

Întrebare: „cum au evoluat vânzările în ultimele trei luni?"

Ce primește asistentul: o listă de perechi dată–valoare, de tipul 2026-08-13 → 14.320,50, 2026-08-12 → 9.845,00, pentru fiecare zi din interval, plus totalul perioadei și moneda.

Ce nu primește: nicio factură, niciun client, niciun produs, niciun agent de vânzări, nicio localitate.

Încadrare: dată anonimă, în afara GDPR. Informație comercială confidențială.

Exemplul 2 — număr de comenzi din magazinul online

Întrebare: „în ce zi a săptămânii primesc cele mai multe comenzi online?"

Ce primește asistentul: numărul de comenzi pe fiecare zi, de tipul 2026-08-13 → 47.

Ce nu primește: cine a comandat, ce a comandat, la ce valoare, unde s-a livrat.

Încadrare: dată anonimă, fără componentă financiară.

Exemplul 3 — clienți noi pe zi

Întrebare: „câți clienți noi am atras luna trecută?"

Ce primește asistentul: un număr pe fiecare zi, de tipul 2026-07-15 → 3.

Ce nu primește: cine sunt acei clienți, datele lor de contact, ce au cumpărat.

Notă: chiar dacă indicatorul se referă la persoane, cifra „3" nu identifică niciuna dintre ele. Aceasta este exact distincția dintre o informație despre persoane și o informație care identifică persoane.

Exemplul 4 — încasări și plăți

Întrebare: „cum arată fluxul de numerar în trimestrul acesta?"

Ce primește asistentul: totalul încasat și totalul plătit, pe fiecare zi.

Ce nu primește: de la cine s-a încasat, către cine s-a plătit, prin ce cont bancar, cu ce instrument.

Încadrare: dată anonimă, dar puternic confidențială din punct de vedere comercial. Merită acordată doar dacă întrebarea o cere.

Exemplul 5 — valoarea stocului la un moment dat

Întrebare: „cât valorează stocul acum față de acum trei luni?"

Ce primește asistentul: o singură valoare curentă, de tipul 412.780,00, plus aceeași valoare reconstituită pentru acum 7, 30, 90 de zile și pentru anul trecut, cu procentul de variație. Reconstituirea se face din mișcările zilnice de stoc, nu dintr-o listă de produse.

Ce nu primește: ce produse compun stocul, în ce cantități, în ce gestiune, la ce preț, de la ce furnizor.

Încadrare: dată anonimă, în afara GDPR. Puternic confidențială comercial — valoarea stocului este una dintre cifrele cele mai sensibile ale unei firme.

Exemplul 6 — soldul de încasat de la clienți

Întrebare: „cât am de încasat în total?"

Ce primește asistentul: o singură sumă, de tipul 87.450,25, identică cu cea afișată în rapoartele proprii ale ERP-ului.

Ce nu primește: care clienți datorează, cât datorează fiecare, ce facturi sunt neachitate, ce scadențe au, care sunt restante.

Notă: aceasta este distincția juridică esențială. Un total de creanțe este o cifră contabilă despre firmă. O listă de clienți cu sumele datorate ar fi cu totul altceva — date cu caracter personal atunci când clientul este persoană fizică sau PFA, și potențial evaluare de bonitate în sensul anexei III punctul 5 litera (b) din AI Act. Conectorul nu poate produce a doua variantă, indiferent ce se bifează.

Încadrare: dată anonimă, în afara GDPR. Confidențială comercial.

Exemplul 7 — activitatea și problemele unui pilot

Întrebare: „ce probleme are Pilot Facturare în această săptămână?"

Ce primește asistentul: câte acțiuni a făcut pilotul (de exemplu 26), câte probleme a deschis și câte a rezolvat, câte sunt încă deschise și de ce fel (de exemplu factură respinsă de ANAF: 2), iar pentru fiecare problemă deschisă data, tipul documentului, numărul lui (de exemplu FCT 1234 / 10.10.2026) și linkul către el. Primește și numărul de elemente din fiecare coadă de lucru și lista uneltelor pilotului.

Ce nu primește: descrierea problemei, clientul facturii, produsele, valorile, persoana care a rezolvat problema. Linkul nu deschide nimic fără autentificare în contul BOCP al firmei.

Încadrare: dată anonimă pentru destinatar; trimiterea la document este o referință, nu un conținut. Nu evaluează nicio persoană, deci nu atinge anexa III punctul 4 litera (b).

Exemplul 8 — o fișă de produs

Întrebare: „ce produse din categoria Lavoare nu au descriere scurtă?"

Ce primește asistentul: pentru fiecare produs codul, codul de bare, denumirea, grupa, producătorul, caracteristicile, categoriile și linkurile pozelor.

Ce nu primește: prețul, costul, stocul, furnizorul, cine a cumpărat produsul.

Încadrare: date despre produse, în afara GDPR.

Exemplul 9 — produse fără vânzări

Întrebare: „ce produse cu stoc nu s-au vândut de 6 luni?"

Ce primește asistentul: lista produselor care nu au avut vânzări, bonuri de consum sau conversii în ultimele 6 luni și au stoc, cu aceleași câmpuri de catalog ca în exemplul anterior: codul, denumirea, grupa, producătorul și celelalte.

Ce nu primește: cantitatea în stoc, valoarea, prețul, clienții, documentele.

Încadrare: date despre produse, în afara GDPR. Informație comercială.

Ce însoțește orice răspuns

  • Denumirea contului, pentru ca asistentul să știe la ce firmă este conectat.
  • Denumirea conectorului și lista permisiunilor acordate.
  • La indicatorii zilnici: perioada cerută și numărul de zile pentru care există date calculate.
  • La valorile la zi: data la care se referă valoarea și, dacă istoricul nu poate fi reconstituit exact, motivul pentru care lipsesc comparațiile.

Atenție: la persoanele fizice autorizate și la întreprinderile individuale, denumirea firmei conține de regulă numele titularului. Este singura informație transmisă care, în acest caz particular, poate identifica o persoană — și este chiar titularul contului, care a decis el însuși să activeze conectorul.

Exemple de date care nu se expun niciodată

Următoarele nu pot fi obținute prin conector, indiferent ce se bifează:

  • Identitatea partenerilor: nume și denumiri de clienți sau furnizori, persoane de contact, cod fiscal, număr de înregistrare.
  • Date de contact și financiare personale: adrese de livrare și facturare, e-mail, telefon, IBAN, date de card.
  • Conținutul documentelor: facturi, comenzi, avize, recepții, bonuri, contracte — liniile, partenerul, valorile, textul, integral sau parțial. Singura trimitere permisă este numărul documentului din răspunsul piloților, descris mai sus.
  • Prețuri și vânzări pe produs: ce s-a vândut, la ce preț, cu ce marjă, către cine. Catalogul de produse nu conține prețuri, costuri sau stocuri.
  • Text liber: note, observații, corespondență, atașamente, descrierile problemelor semnalate de piloți. Excepția este descrierea scurtă și pozele produselor, care fac parte din catalog.
  • Date despre angajați: performanță individuală, pontaje, evaluări, date de personal, cine a rezolvat o problemă.
  • Date de sănătate și din dosarele SSM, care fac parte din categoriile speciale protejate de articolul 9 GDPR.
  • Codul numeric personal și copii ale actelor de identitate, care beneficiază de protecție suplimentară prin Legea nr. 190/2018.
  • Parole, chei de acces și setări de securitate ale contului.
  • Datele altor conturi din platformă.

„Nu se expun documente" înseamnă documentul, nu cifra calculată din el. Aproape orice indicator se calculează, în spate, din documente: valoarea facturată dintr-un set de facturi, valoarea stocului din fișele de magazie și recepții, soldul de încasat din facturile neachitate. Ce iese din firmă este exclusiv totalul la nivel de firmă. Documentul rămâne înăuntru: nu se transmit data lui, partenerul, liniile, valorile individuale, și nu există niciun mod de a cere descompunerea unui total înapoi în documentele care îl compun. Numărul unui document apare doar în răspunsul piloților, pentru documentele cu o problemă deschisă.

În plus, asistentul AI nu poate modifica direct nimic: nu poate emite, modifica, anula sau șterge documente și nu poate schimba nicio setare. Cel mult poate propune modificări ale fișelor de produs, aplicate numai după aprobarea unui om, așa cum este descris mai sus.

Ce ar schimba încadrarea juridică

Util de știut dacă vei evalua în viitor o extindere a funcționalității. Fiecare dintre situațiile de mai jos ar muta discuția într-un alt regim:

  • Defalcarea unui indicator pe angajat — intră sub anexa III punctul 4 litera (b) din AI Act, cu obligații de sistem cu grad ridicat de risc.
  • Defalcarea pe client individual — cifra devine izolabilă la o singură entitate; dacă entitatea este o persoană fizică sau un PFA, devine dată cu caracter personal.
  • Expunerea documentelor sau a textului liber — date cu caracter personal, cu tot pachetul de obligații din secțiunea anterioară.
  • Modificări aplicate de asistent fără aprobarea unui om, sau propuneri care privesc persoane — ar aduce în discuție articolul 22 GDPR și răspunderea pentru decizii automate.
  • Analiza tonului conversațiilor interne — potențial practică interzisă prin articolul 5 alineatul (1) litera (f).
  • Scoring de bonitate pentru clienți persoane fizice sau PFA — anexa III punctul 5 litera (b).

Notă: programul este construit astfel încât nicio extindere de acest fel să nu poată apărea din greșeală. Fiecare element expus trebuie descris complet, iar declarația AI se generează automat din aceste descrieri. Dacă un element nu poate fi descris, întregul conector încetează să funcționeze, în loc să transmită ceva nedeclarat.

Ce documente ar trebui să ai în firmă

  1. Decizia de a activa funcționalitatea, cu motivul de business — analiza propriilor indicatori și, dacă e cazul, întreținerea catalogului de produse.
  2. Lista permisiunilor acordate fiecărui conector. Se regăsește oricând în aplicație, dar o captură la momentul deciziei ajută la audit.
  3. Verificarea termenilor furnizorului AI, cu data verificării: folosirea datelor la antrenare, retenția, localizarea prelucrării.
  4. Actualizarea registrului activităților de prelucrare — necesară doar dacă vei ajunge să transmiți date personale, dar merită notat că ai analizat problema și ai concluzionat că nu este cazul.
  5. O regulă internă despre ce au voie angajații să introducă manual în conversațiile cu asistenți AI. Aici apar, în practică, cele mai multe scurgeri de date.

Întrebări frecvente

  • Trebuie să cer consimțământul clienților? Nu, pentru datele agregate și datele de catalog transmise de conector — ele nu sunt date cu caracter personal, deci nu există persoane vizate care să consimtă.
  • Trebuie să anunț autoritatea de supraveghere? Nu. Nu există o obligație de notificare prealabilă pentru acest tip de prelucrare.
  • Furnizorul AI devine subîmputernicit al BOCP? Nu. Conectezi contul tău, deci relația este între firma ta și furnizorul AI.
  • Ce se întâmplă dacă abonamentul expiră? Accesul se oprește complet, inclusiv pentru asistenții deja conectați. Verificarea se face la fiecare cerere, nu doar la afișarea paginii. La fel, la expirarea licenței de operare, propunerile de modificare se opresc imediat.
  • Pot dovedi ce a citit sau a propus asistentul? Da. Jurnalul de accesări păstrează fiecare cerere, cu dată, tip, rezultat și adresă IP, inclusiv cererile respinse, iar lista propunerilor păstrează fiecare propunere și decizia luată.

De știut

Atenție: Acest articol descrie cadrul legal aplicabil funcționalității așa cum este ea construită și nu constituie consultanță juridică. Pentru decizii cu miză — în special dacă intenționezi să prelucrezi date cu caracter personal prin instrumente AI — consultă un specialist în protecția datelor.

Notă: Legislația în domeniu se află în schimbare. Regulamentul (UE) 2026/1744 a modificat AI Act-ul în iulie 2026, iar alte propuneri se află încă în dezbatere. Verifică sursele oficiale înainte de a te baza pe un termen anume.

Referințe

  • Regulamentul (UE) 2016/679 (GDPR) — articolele 4, 5, 6, 9, 13, 14, 22, 25, 28, 30, 35, capitolul V, considerentele 14 și 26: eur-lex.europa.eu
  • Regulamentul (UE) 2024/1689 (AI Act) — articolele 3, 5, 6, 50, anexa III: eur-lex.europa.eu
  • Regulamentul (UE) 2026/1744 — modificarea AI Act, în vigoare din 27 iulie 2026, amânarea obligațiilor pentru sistemele cu grad ridicat de risc: eur-lex.europa.eu
  • Comisia Europeană — Orientări privind definiția unui sistem de inteligență artificială, 6 februarie 2025: digital-strategy.ec.europa.eu
  • Comisia Europeană — Orientări privind obligațiile de transparență (articolul 50), adoptate la 20 iulie 2026: digital-strategy.ec.europa.eu
  • Comitetul European pentru Protecția Datelor — Ghidul 02/2026 privind anonimizarea: edpb.europa.eu
  • Legea nr. 190/2018 privind măsuri de punere în aplicare a GDPR în România: dataprotection.ro
  • Directiva (UE) 2016/943 privind protecția secretelor comerciale: eur-lex.europa.eu

Vezi și

Ți-a fost util acest articol?

★ ★ ★ ★ ★