În multe companii, discuția despre AI Act începe cu o întrebare aparent simplă: „Noi dezvoltăm AI sau doar îl folosim?"
AI Act folosește doi termeni centrali: provider și deployer. Pe românește, providerul este cel care dezvoltă sau pune pe piață un sistem AI, iar deployerul este cel care îl folosește în activitatea lui profesională. Definițiile oficiale sunt în articolul 3 din AI Act: providerul este persoana sau organizația care dezvoltă un sistem AI sau îl pune pe piață sub numele ori marca sa, iar deployerul este persoana sau organizația care folosește un sistem AI sub autoritatea sa, cu excepția utilizării personale sau neprofesionale.
Diferența pare tehnică, dar poate schimba tot: cine face documentația, cine răspunde pentru evaluarea de conformitate, cine trebuie să păstreze loguri, cine informează utilizatorii, cine raportează incidente și cine poate primi întrebări de la autorități.
Înainte de audit, politici interne sau plan de conformare — primul pas este clarificarea rolului organizației tale: ești provider, deployer sau, în anumite situații, ambele?
Provider: compania care pune AI-ul în lume
Un provider este, de regulă, compania care construiește sau comandă dezvoltarea unui sistem AI și îl pune pe piață. Poate fi un startup care vinde o aplicație de recrutare bazată pe AI, o firmă software care dezvoltă un sistem de scoring sau o companie care ia un model AI existent, îl integrează într-un produs propriu și îl livrează clienților sub brandul său.
Dacă sistemul este cu risc ridicat, obligațiile providerului sunt consistente. Articolul 16 din AI Act arată că providerii trebuie, printre altele, să:
- Se asigure că sistemul respectă cerințele regulamentului
- Aibă un sistem de management al calității
- Păstreze documentația tehnică
- Efectueze evaluarea de conformitate înainte de punerea pe piață
- Întocmească declarația UE de conformitate și aplice marcajul CE
- Poată demonstra conformitatea la cererea autorităților
Cu alte cuvinte, providerul nu poate spune: „Am făcut un tool bun, clientul să-l folosească responsabil." În AI Act, providerul trebuie să livreze nu doar produsul, ci și cadrul de siguranță din jurul produsului.
Deployer: compania care folosește AI-ul în business
Deployerul este compania care folosește sistemul AI. Nu l-a construit neapărat, nu îl vinde, nu îl pune pe piață. Îl utilizează în activitatea sa.
Folosește un instrument AI pentru trierea CV-urilor. Nu l-a construit — l-a cumpărat. Este deployer.
Folosește un sistem AI pentru evaluarea bonității. Providerul este furnizorul software. Banca este deployer.
Chatbot-ul a fost livrat de un vendor. Call center-ul care îl operează este deployer — și are obligații proprii.
În cazul sistemelor high-risk, deployerii trebuie să ia măsuri tehnice și organizaționale pentru a folosi sistemele conform instrucțiunilor, să asigure supraveghere umană adecvată, să monitorizeze funcționarea sistemului și, în anumite cazuri, să informeze persoanele afectate de utilizarea AI.
Providerul livrează sistemul, dar deployerul răspunde pentru felul în care îl folosește.
Exemplu simplu: aplicația de recrutare
O firmă de tehnologie dezvoltă o platformă care analizează CV-uri și recomandă candidați. Platforma este vândută companiilor care fac recrutare. Firma de tehnologie este provider.
O companie din România cumpără platforma și o folosește pentru angajări. Acea companie este deployer.
Se ocupă de conformitatea sistemului ca produs: documentație, evaluare de risc, instrucțiuni, măsuri tehnice, marcaj CE.
Se asigură că nu folosește sistemul haotic: angajați instruiți, supraveghere umană, decizii documentate, persoane afectate informate.
Miza reală nu este dacă sistemul AI este bun în laborator. Contează cum este folosit luni dimineața, de un recrutor grăbit, cu 300 de CV-uri în față.
Capcana: când deployerul devine provider
Poți începe ca simplu deployer și, prin ce faci cu sistemul, să ajungi să fii tratat ca provider. Articolul 25 din AI Act stabilește că un distribuitor, importator, deployer sau alt terț poate fi considerat provider dacă:
Pune propriul brand pe sistemul AI cu risc ridicat
Dacă rebrănduiești un sistem AI existent și îl vinzi ca soluție proprie, nu mai ești doar utilizator — devii provider cu toate obligațiile aferente.
Face o modificare substanțială
Dacă modifici semnificativ modul în care funcționează sistemul, nu mai poți spune simplu „așa l-am primit". Modificarea substanțială transferă responsabilitatea providerului.
Schimbă scopul sistemului
Dacă folosești sistemul într-un scop diferit de cel pentru care a fost proiectat, riști să schimbi complet analiza juridică. Exemplu: un chatbot de suport clienți adaptat pentru recomandări financiare personalizate.
Provider vs Deployer — tabel comparativ
| Criteriu | Provider | Deployer |
|---|---|---|
| Ce face? | Dezvoltă, pune pe piață sau în serviciu un sistem AI | Folosește sistemul AI în activitatea sa profesională |
| Exemplu tipic | Startup care vinde software AI pentru recrutare | Angajator care folosește acel software |
| Risc principal | Produs neconform, documentație lipsă, evaluare incompletă | Utilizare greșită, lipsă supraveghere, lipsă instruire |
| Obligații tipice | Conformitate, documentație, evaluare, CE marking, registrare | Utilizare conform instrucțiunilor, monitorizare, supraveghere umană, AI literacy |
| Poate deveni celălalt rol? | De obicei rămâne provider | Da — dacă rebrănduiește, modifică substanțial sau schimbă scopul |
De ce contează diferența pentru firmele din România
Majoritatea companiilor nu vor fi provider în sensul clasic. Dar foarte multe vor fi deployer. Asta include firme care folosesc:
În România, ANCOM a fost desemnată autoritate națională de supraveghere a pieței și punct unic de contact pentru AI Act, cu implicarea altor autorități sectoriale — BNR, ASF sau ANSPDCP — în domeniile relevante. Practic, întrebările de conformitate vor deveni tot mai concrete.
Întrebările pe care orice companie ar trebui să și le pună
Ce sisteme AI folosim deja?
Includeți nu doar aplicațiile „mari", ci și tool-urile de echipă: ChatGPT, generatoare de conținut, pluginuri HR, module predictive din CRM/ERP.
Le-am cumpărat, dezvoltat intern sau modificat?
Modul de obținere și gradul de modificare determină dacă ești provider sau deployer pentru fiecare sistem în parte.
Le folosim exact pentru scopul declarat de furnizor?
Dacă le-ați adaptat pentru un scop diferit, analiza juridică se poate schimba complet — și cu ea, obligațiile.
Influențează decizii despre oameni?
Dacă da, nivelul de risc crește semnificativ. Recrutare, creditare, sănătate, educație — domenii cu risc ridicat automat.
Există supraveghere umană reală și dovezi de instruire?
Nu este suficient să existe o politică internă. Trebuie să existe dovezi reale: înregistrări de training, proceduri aplicate, responsabili desemnați.
Concluzie
Diferența dintre provider și deployer nu este doar o nuanță juridică. Este punctul de plecare pentru orice strategie de conformitate AI Act.
Providerul răspunde pentru sistemul AI ca produs. Deployerul răspunde pentru folosirea lui în organizație. Iar uneori, prin rebranding, modificări sau schimbarea scopului, deployerul poate ajunge să fie tratat ca provider.
Pentru companiile din România, cea mai bună abordare este să nu pornească de la presupuneri. Nu „sigur suntem doar utilizatori". Nu „furnizorul răspunde pentru tot". În AI Act, rolul se stabilește după realitatea utilizării, nu după cum îl numește compania într-un meeting.
Solicitați o evaluare AI Act. Clarificarea rolului este primul pas înainte de orice audit, politică internă sau plan de conformare.