Cine verifică AI-ul pe care îl cumpără statul?

Răspunsul scurt: în acest moment, de cele mai multe ori — nimeni cu adevărat calificat s-o facă. Duminică, 2 august 2026, era ziua în care Regulamentul european privind inteligența artificială (AI Act) devenea pe deplin aplicabil, inclusiv pentru sistemele cu risc înalt. Termenul pentru acestea a fost amânat, prin Regulamentul (UE) 2026/1744 („Digital Omnibus on AI"), publicat în Jurnalul Oficial la 24 iulie 2026 — adoptat final de Parlamentul European la 16 iunie și de Consiliu la 29 iunie 2026, în vigoare din iulie — până la 2 decembrie 2027. Mulți au citit amânarea ca pe o pauză. E o lectură periculoasă: instituțiile publice cumpără deja soluții „cu AI" prin achiziții publice, iar evaluarea lor se face cu criterii scrise pentru software clasic, de comisii care nu au — și nu aveau de ce să aibă până acum — competența de a verifica un model de inteligență artificială. Amânarea obligațiilor nu amână riscurile. Le lasă doar nesupravegheate mai mult timp.

Unde suntem, exact, cu AI Act (fără mituri)

Regulamentul (UE) 2024/1689 a intrat în vigoare la 1 august 2024, cu aplicare eșalonată. Calendarul, pe scurt:

Ce s-a amânat este, așadar, blocul cel mai greu. Ce e deja obligatoriu — și se aplică astăzi, nu în 2027 — nu s-a mișcat.

Două precizări utile la zi: sistemele aflate deja pe piață înainte de 2 august 2026 au termen până la 2 decembrie 2026 pentru marcarea machine-readable a conținutului generat (art. 50 alin. 2), iar Omnibus a adăugat direct în art. 5 o interdicție nouă, aplicabilă de la 2 decembrie 2026: sistemele AI care creează imagini intime non-consensuale („nudifiers").

Pentru instituțiile publice care implementează sisteme cu risc înalt, lista de la art. 26 e concretă: utilizare conform instrucțiunilor, supraveghere umană desemnată și competentă, păstrarea jurnalelor generate de sistem cel puțin 6 luni, informarea persoanelor afectate de decizii. Iar art. 27 adaugă, specific pentru organismele publice: evaluarea impactului asupra drepturilor fundamentale înainte de utilizare.

Și unde e România

Guvernul a adoptat abia în martie 2026 — cu șapte luni după termenul european — memorandumul prin care propune autoritățile naționale: ANCOM ca autoritate de supraveghere a pieței și punct unic de contact, ASF și BNR pentru sectorul financiar, ANSPDCP pentru domeniile sensibile, ADR ca autoritate de notificare. Verbul contează: documentul propune, nu desemnează, iar desemnarea propriu-zisă cere o lege organică.

În comunicatul din 24 iulie 2026, ANCOM confirmă consecința: autoritățile competente „vor putea verifica și sancționa nerespectarea obligațiilor din Regulament doar ulterior intrării în vigoare a actului normativ național aflat în proces de elaborare". Legea e încă în lucru, iar autoritățile propuse nu au publicat până acum ghiduri pentru organizații.

Important de reținut, așa cum s-a subliniat și în dezbaterea publică: regulamentul e direct aplicabil — absența procedurilor naționale operaționale nu suspendă obligațiile deja în vigoare.

Tradus pentru o autoritate contractantă: cadrul care ar trebui să te ajute să verifici AI-ul e el însuși în construcție. Autoritățile de supraveghere abia își recrutează experții tehnici. Dacă aștepți ca verificarea să vină „de sus", vei aștepta mult după ce soluțiile au intrat deja în producție la tine în instituție.

Golul de guvernanță: când furnizorul se evaluează singur

Problema nu e românească; e documentată la nivel european și internațional, iar mecanismul ei merită înțeles precis.

Deciziile de guvernanță asupra tehnologiei se iau, în practică, în etapa de achiziție — atunci se stabilește ce cumpără instituția, cu ce cerințe și cu ce mecanisme de control. Analizele construite pe rapoartele Oficiului Național de Audit britanic arată că o supraveghere reală presupune funcționari capabili să interpreteze afirmațiile furnizorilor despre performanța modelelor, să evalueze documentația despre datele de antrenament și să identifice riscurile deciziilor algoritmice. Acolo unde aceste competențe lipsesc, responsabilitatea evaluării migrează, de facto, la furnizor. Adică: furnizorul se evaluează singur.

OECD, în raportul „Governing with AI" (2025), identifică golurile de competențe digitale drept unul dintre obstacolele majore ale folosirii AI în achiziții publice. Comitetul de Conturi Publice al Parlamentului britanic a cerut guvernului să explice cum rezolvă deficitul de competențe digitale, constatând inclusiv absența unui mecanism sistematic de a învăța din proiectele-pilot. Iar în SUA, evaluarea Code for America a găsit statele cel mai slab pregătite exact la capitolul construirii capacității interne pe AI. Concluzia comună, formulată de Open Contracting Partnership, e simplă și incomodă: a cumpăra AI nu e suficient; trebuie să-l și înțelegi.

România nu are un studiu echivalent — dar are toate ingredientele problemei: digitalizare accelerată cu fonduri europene, furnizori care adaugă „AI" în orice propunere tehnică pentru punctaj, comisii de evaluare formate pe legislația achizițiilor, nu pe evaluarea modelelor, și un cadru de supraveghere încă în șantier.

Ce poate face o instituție acum — fără să aștepte 2027

Partea bună: nimic din ce urmează nu cere expertiză de laborator AI. Cere disciplină de achiziții — exact competența pe care instituțiile o au deja.

1. Inventarul

Înainte de orice: ce sisteme cu componente AI există deja în instituție — cumpărate, livrate în alte contracte, sau folosite informal de angajați? Peste jumătate dintre organizații nu au un inventar sistematic al sistemelor AI. Nu poți guverna ce nu știi că ai.

2. Cerințe verificabile în documentația de atribuire

„Soluția folosește inteligență artificială" nu e o cerință; e un slogan. Cerințe verificabile sunt:

• descrierea funcției AI și a limitelor ei;
• proveniența și drepturile asupra datelor de antrenament;
• metricile de performanță măsurate și condițiile de măsurare;
• jurnalizarea deciziilor (cine, ce, când — minim 6 luni, aliniat la art. 26);
• mecanismul de supraveghere umană;
• dreptul instituției de a audita;
• planul de ieșire — ce rămâne instituției dacă contractul încetează.

3. Trei competențe interne, nu un departament nou

O persoană care poate citi critic o fișă tehnică de model și pune întrebările de mai sus; una care evaluează riscurile pe procesul instituției (nu pe tehnologie în abstract); una care monitorizează sistemul în exploatare. Pot fi roluri parțiale, pot fi formate prin training — dar nu pot fi externalizate integral către exact partea evaluată.

4. Pregătirea pentru evaluarea de impact

Pentru organismele publice, evaluarea impactului asupra drepturilor fundamentale (art. 27) devine obligatorie pentru sistemele cu risc înalt. Instituțiile care încep acum exercițiul — pe sistemele deja folosite — vor avea în decembrie 2027 o rutină; celelalte vor avea o criză.

Concluzia

Amânarea din Digital Omnibus a mutat termenele, nu întrebarea. Sistemele intră în instituții acum, prin contracte semnate acum, evaluate cu criterii de acum. Diferența dintre o instituție pregătită și una expusă nu o face regulamentul — o face capacitatea de a pune, la momentul achiziției, întrebările pe care furnizorul nu le poate evita.

Achizițiile publice au fost întotdeauna despre asta: decizii care rezistă la control. AI-ul nu schimbă principiul. Îi ridică doar miza.