2026, anul în care „suntem conformi” a încetat să mai însemne ceva

Cum trei regulamente europene schimbă simultan ce înseamnă conformitatea — și de ce companiile care au dosare perfecte pot fi cele mai expuse.

Trei companii conforme. Trei companii în risc.

Un importator de aluminiu din România primește de la furnizorul turcesc o declarație de emisii. O include în raportarea CBAM. Dosarul e complet. Doar că nimeni n-a verificat dacă cifrele din declarație corespund emisiilor reale ale instalației — iar de la 1 ianuarie 2026, importatorul e cel care plătește diferența.

Un operator care plasează produse din lemn pe piața UE depune o declarație de diligență prin sistemul informatic al Comisiei. Coordonatele GPS ale parcelei de producție sunt cele declarate de furnizor. Declarația e acceptată. Doar că furnizorul a declarat coordonatele cooperativei, nu ale parcelei efective — iar semnatarul răspunde juridic pentru acuratețea fiecărui punct GPS.

O companie de software lansează un chatbot pentru servicii clienți. Pune în footer „Powered by AI". Obligația de transparență din AI Act, bifată. Doar că Ghidul Comisiei Europene, adoptat pe 20 iulie 2026, spune explicit: dacă informația poate fi ușor trecută cu vederea sau ignorată în condițiile normale de utilizare, obligația nu e îndeplinită — indiferent că notificarea există tehnic undeva în interfață.

Trei companii. Trei dosare complete. Trei expuneri reale. Ce au în comun?

Ce s-a schimbat: de la „ai completat” la „s-a produs efectul”

Dacă privești CBAM, EUDR și AI Act separat, vezi trei regulamente în trei domenii diferite — carbon, defrișare, inteligență artificială. Dacă le privești împreună, vezi un singur tipar de design legislativ pe care UE îl aplică simultan pe mai multe fronturi: standardul de conformitate se mută de la input la rezultat.

Nu mai e suficient să demonstrezi că ai completat documentul cerut. Trebuie să demonstrezi că informația din document corespunde realității — și că rezultatul urmărit de regulament s-a produs efectiv. Concret:

CBAM

Regulamentul (UE) 2023/956 a intrat în faza definitivă la 1 ianuarie 2026. Importatorii nu mai doar raportează emisiile — acumulează obligații financiare reale, iar certificatele se cumpără din februarie 2027. Art. 9 permite deducerea prețului carbonului plătit în țara de origine, dar cu o condiție: prețul trebuie demonstrat printr-un mecanism obligatoriu de tarifare a carbonului — sistem de comercializare a emisiilor sau taxă — fie la valoarea implicită publicată de Comisie, fie la valoarea efectivă, certificată independent. Declarația furnizorului nu e suficientă. Dacă furnizorul declară un preț pe care nu-l poate proba, importatorul plătește integral.

Partea care se discută cel mai puțin nu sunt însă certificatele, ci emisiile. Pentru a declara valori reale, emisiile încorporate trebuie verificate de un verificator acreditat în UE. Lanțul arată așa: operatorul instalației din afara Uniunii își angajează verificatorul, îi pune la dispoziție datele de monitorizare și transmite raportul de verificare prin registrul CBAM, către toți importatorii pe care îi aprovizionează. Tu primești, o dată pe an, un fișier de emisii auditat — dar nu tu ai ales verificatorul și nu tu controlezi calitatea monitorizării din spatele lui.

Declarația anuală o depui însă tu. Declarantul autorizat e cel care o semnează și restituie certificatele, deci răspunderea rămâne la importator, indiferent cine a plătit verificarea. Asta e mutarea descrisă mai sus, în forma ei cea mai clară: primești un document formal complet — raport de verificare, acreditat, semnat — și tot tu porți riscul dacă cifrele din el nu rezistă unui control. Un raport de verificare pe care nu l-ai citit critic e un dosar, nu o probă.

Peste asta se suprapune un decalaj de calendar cu efect direct pe trezorerie. Din 2027, la finalul fiecărui trimestru trebuie să deții certificate pentru cel puțin 50% din emisiile încorporate ale mărfurilor importate de la începutul anului — dar raportul auditat vine după închiderea anului, iar declarația se depune pe 30 septembrie a anului următor. Regulamentul acoperă parțial problema: pentru calculul trimestrial folosești valorile implicite publicate de Comisie, fără majorarea din Anexa IV, sau certificatele restituite anul anterior, dacă se potrivesc codurile NC și țara de origine. Practic, plătești pe estimare tot anul și reglezi pe date auditate la final — cu riscul de diferență pe care îl presupune.

EUDR

Regulamentul (UE) 2023/1115 devine aplicabil la 30 decembrie 2026 pentru operatorii mari și mijlocii. Fiecare declarație de diligență trebuie să conțină coordonate GPS exacte — punct pentru parcelele sub 4 hectare, poligon peste 4 hectare, la șase zecimale de precizie. Coordonatele se confruntă cu stratul de referință al Observatorului JRC — harta acoperirii forestiere din 2020, la rezoluție de 10 metri — și cu alertele de defrișare Global Forest Watch.

Verificarea nu e însă o poartă automată la depunere. Declarația primește număr de referință, iar confruntarea propriu-zisă se face prin controalele bazate pe risc ale autorităților naționale, în cote obligatorii de 1%, 3% sau 9% din operatori pe an, în funcție de clasificarea de risc a țării de origine stabilită de Comisie. La vamă te oprește absența numărului de referință; discrepanța dintre coordonate și hartă te ajunge la control. Răspunderea juridică o poartă semnatarul, chiar dacă eroarea vine de la furnizor, iar art. 25 impune amenzi al căror plafon trebuie să fie de cel puțin 4% din cifra de afaceri anuală în UE, plus confiscare și interdicție de acces pe piață. Am detaliat aceste mecanisme — și diferențele mari dintre statele membre — în articolul „Cine te verifică, de fapt”.

AI Act

Obligațiile de transparență din art. 50 al Regulamentului (UE) 2024/1689 se aplică din 2 august 2026. Ghidul final al Comisiei, adoptat pe 20 iulie 2026, schimbă explicit standardul: transparența nu se măsoară prin existența notificării, ci prin percepția utilizatorului. Informația trebuie să fie vizibilă, distinctă și inteligibilă în condiții reale de utilizare — nu îngropată în manuale sau în termeni și condiții. Iar excepția „e evident că vorbești cu un AI" trebuie interpretată restrictiv: dacă nu poți demonstra că utilizatorul mediu ar recunoaște imediat natura AI a interacțiunii, notifici.

Trei regulamente. Trei domenii. Același mesaj: dosarul complet nu mai e suficient.

De ce e diferit de tot ce a fost înainte

GDPR a fost prima generație a acestei mutări. A cerut organizațiilor să declare ce fac cu datele personale — politici de confidențialitate, baze legale, registre de activități. A fost un exercițiu de documentare masiv, și multe organizații l-au tratat ca atare: politici redactate de avocați, publicate pe site, bifate în checklist.

2026 e a doua generație. Nu mai e suficient să declari. Trebuie să demonstrezi că declarația corespunde realității — și că rezultatul urmărit s-a produs. Diferența nu e doar de intensitate, ci de natură:

CBAM verifică emisiile declarate contra dovezii prețului plătit. EUDR confruntă geolocalizarea cu un strat satelitar de referință. AI Act cere demonstrarea percepției, nu a existenței notificării. Iar Directiva (UE) 2024/1203 privind protecția mediului prin dreptul penal, cu termen de transpunere în mai 2026, adaugă răspundere penală personală pentru încălcările grave — pedepse cu închisoarea pentru persoane fizice și amenzi al căror plafon trebuie să fie de cel puțin 5% din cifra de afaceri mondială pentru persoane juridice.

Trecerea de la directive la regulamente — direct aplicabile, fără transpunere națională — elimină și ultimul strat de variație: nu mai poți argumenta că „în transpunerea noastră națională, cerința se interpretează altfel".

Ce nu funcționează încă

Tiparul legislativ e clar. Ecosistemul de implementare — nu.

• CBAM: Comisia a publicat proiectul de regulament privind deducerea prețului carbonului abia pe 13 mai 2026, la peste patru luni de la intrarea în faza definitivă, cu consultare până la 10 iunie. Importatorii au acumulat obligații financiare de la 1 ianuarie fără să știe exact cum se calculează deducerile — iar regulile se vor aplica retroactiv pentru tot anul 2026. Mai grav: verificarea acreditată a emisiilor e obligatorie din 1 ianuarie 2026, dar primii verificatori CBAM sunt așteptați să fie acreditați abia în jurul lui septembrie 2026. Obligația a început cu nouă luni înaintea infrastructurii care o face posibilă.
• EUDR: sistemul informatic a fost în regim restricționat din 16 februarie 2026 până în iulie, fără a accepta declarații. Regulamentul de punere în aplicare (UE) 2026/1565, care formalizează funcționalitățile sistemului, a fost adoptat pe 13 iulie 2026 — la cinci luni și jumătate de termen. Între timp, majoritatea micilor fermieri din lanțurile de aprovizionare nu au avut niciodată terenul cartografiat GPS.
• AI Act: Ghidul final pe art. 50 a fost publicat pe 20 iulie 2026, iar obligațiile devin aplicabile pe 2 august 2026. Treisprezece zile între ghid și termen.

Dacă tiparul sună familiar, e pentru că este: legislație completă, ecosistem de implementare absent. Legea există. Instrumentul care face legea aplicabilă — nu.

Ce faci concret — un cadru, nu un checklist

Reacția naturală la convergența de regulamente din 2026 e să construiești checklist-uri separate pe fiecare. E greșit — și e scump. Cele trei cer, fiecare în felul lui, același lucru: infrastructură de date verificabile, nu documente completate. Trei pași, în ordine:

1. Întâi: clasifică. Înainte de orice raportare, identifică ce activități intră sub ce regulament. Imporți aluminiu din Turcia? CBAM. Plasezi mobilier din lemn pe piața UE? EUDR. Ai un chatbot de relații cu clienții? Art. 50 din AI Act. Ai un sistem de punctare a candidaților? Anexa III, risc ridicat. Clasificarea e gratuită, nu necesită software și nu e opțională — e precondiția oricărei conformități. Și e pasul pe care majoritatea companiilor nu l-au făcut.
2. Al doilea: mapează lacunele de date, nu de documentație. Nu întrebarea „avem politica?", ci „avem datele verificabile?". Pe CBAM: avem emisiile reale ale instalației furnizorului sau o declarație nevalidată? Pe EUDR: avem coordonate la nivel de parcelă, la șase zecimale, sau numele cooperativei? Pe AI Act: avem dovada că utilizatorul a perceput notificarea sau un banner în footer?
3. Al treilea: construiește infrastructura de date înainte de cea de raportare. Rapoartele și declarațiile sunt rezultate. Intrările sunt datele — verificate, trasabile, auditabile. Dacă construiești raportarea fără canalul de date, produci dosare pe care le completezi cu ce ai, nu cu ce trebuie.

Următoarele 12 luni

2026 e anul în care mai multe regulamente europene majore converg pe aceleași companii, cu termene suprapuse, sancțiuni nesincronizate și niciun organism comun de aplicare. „Oboseala de conformitate" nu e o expresie retorică — e descrierea unei realități operaționale.

Dar convergența are și un avantaj pe care puțini îl văd: datele cerute de un regulament servesc și altora. Emisiile verificate pentru CBAM alimentează și raportarea de sustenabilitate. Trasabilitatea construită pentru EUDR satisface și cerințele de diligență din lanțul de aprovizionare. Clasificarea făcută pentru AI Act informează și evaluarea de risc pe securitatea rețelelor. Cine construiește infrastructura de date o dată, corect, rezolvă mai multe conformități simultan. Cine construiește dosare separate pe fiecare regulament le rezolvă pe fiecare individual, incomplet și scump.

Următoarele 12 luni vor separa companiile care au conformitate de cele care au dosare.

Cum te putem ajuta

Speed Flow lucrează exact pe partea de infrastructură de date: CBAM Manager pentru colectarea și validarea datelor de emisii, EUDR Manager pentru trasabilitatea și geolocalizarea parcelelor, și consultanță de guvernanță AI pentru inventarul și clasificarea sistemelor. Dacă nu ești sigur unde te afli, fă testul rapid CBAM / EUDR — cinci întrebări, sub un minut.