Regulamentul (UE) 2024/1689 privind inteligența artificială, cunoscut drept EU AI Act, a intrat în vigoare la 1 august 2024 și este primul cadru legal unificat și obligatoriu la nivel mondial pentru guvernarea sistemelor de inteligență artificială. Fiind un regulament, și nu o directivă, actul european are aplicabilitate directă în toate cele 27 de state membre, fără a fi nevoie de o lege națională de transpunere care să impună obligații băncilor, instituțiilor financiare nebancare sau firmelor FinTech. Statele membre trebuie doar să desemneze autoritățile naționale competente și să stabilească procedurile de control și sancționare.
La fel ca Regulamentul General privind Protecția Datelor (GDPR), EU AI Act are un domeniu de aplicare extrateritorial: normele vizează atât furnizorii și utilizatorii de sisteme AI stabiliți în Uniunea Europeană, cât și operatorii din state terțe, inclusiv Statele Unite, Marea Britanie sau spațiul Asia-Pacific, ori de câte ori rezultatul generat de un sistem AI produce efecte juridice asupra cetățenilor comunitari. Practic, o firmă FinTech din afara UE care furnizează unei bănci europene un algoritm propriu de scor de credit intră integral sub incidența regulamentului.
Aplicarea Regulamentului este graduală. După interzicerea practicilor de inteligență artificială cu risc inacceptabil și obligațiile de alfabetizare AI din februarie 2025 și după regulile de guvernanță pentru modelele AI de uz general din august 2025, urmează termenul-limită critic: de la 2 august 2026 devin aplicabile cerințele pentru sistemele de inteligență artificială cu risc ridicat, categorie în care intră majoritatea algoritmilor de credit scoring, underwriting și profilare financiară. Un termen suplimentar, 2 decembrie 2027, oferă o fereastră extinsă de conformare tehnică pentru anumite sisteme cu risc ridicat aliniate sectorial, iar cerințele pentru sistemele AI integrate ca și componente de siguranță în produse reglementate devin aplicabile în 2027-2028.
Nerespectarea regulilor este sancționată sever: până la 35 de milioane de euro sau 7% din cifra de afaceri globală anuală pentru încălcarea interdicțiilor privind practicile cu risc inacceptabil, până la 30 de milioane de euro sau 6% din cifra de afaceri pentru neconformitatea sistemelor cu risc ridicat și până la 15 milioane de euro sau 3% din cifra de afaceri pentru IMM-uri și startup-uri FinTech, care rămân însă obligate să respecte aceleași cerințe tehnice. Furnizarea de informații false sau înșelătoare către autoritățile de supraveghere se pedepsește cu amenzi de până la 7,5 milioane de euro sau 1% din cifra de afaceri.
De ce intră credit scoring-ul și profilarea AML în categoria de risc ridicat
EU AI Act clasifică sistemele de inteligență artificială în patru categorii de risc: inacceptabil, ridicat, limitat și minim. În sectorul bancar, al asigurărilor și FinTech, majoritatea aplicațiilor esențiale sunt încadrate direct în categoria sistemelor cu risc ridicat, definite în Anexa III a Regulamentului.
Evaluarea bonității și stabilirea scorului de credit pentru persoanele fizice sunt clasificate explicit ca sisteme cu risc ridicat, la punctul 5(b) din Anexa III, pentru că deciziile automate de creditare afectează direct accesul cetățenilor la capital, incluziunea financiară și riscul de supraîndatorare. Aceeași încadrare de risc ridicat se aplică evaluării riscului și stabilirii primelor la asigurările de viață și de sănătate ale persoanelor fizice, la punctul 5(c).
Sistemele de prevenire a spălării banilor și de combatere a finanțării terorismului, care implică profilarea comportamentală a clienților și monitorizarea automată a tranzacțiilor, devin sisteme cu risc ridicat atunci când generează profiluri individuale de risc cu efecte directe asupra accesului la servicii financiare. La fel, verificarea identității la distanță și procesele de cunoaștere a clientelei bazate pe date biometrice sunt clasificate ca risc ridicat.
Există și excepții importante. Algoritmii folosiți exclusiv pentru detectarea fraudei financiare nu sunt automat clasificați ca risc ridicat, atât timp cât nu evaluează și bonitatea generală a clientului, deși rămân sub incidența GDPR și a Regulamentului DORA dacă realizează profilări extinse ale consumatorilor. De asemenea, modelele de credit scoring aplicate corporațiilor mari nu intră în regimul de risc ridicat, spre deosebire de creditele acordate persoanelor fizice autorizate sau întreprinderilor de familie, unde bonitatea firmei este direct legată de solvabilitatea persoanei fizice. Chatboții și asistenții conversaționali financiari sunt considerați sisteme cu risc limitat, cu obligația de a informa transparent utilizatorul că interacționează cu inteligența artificială, în timp ce automatizările interne fără componente predictive rămân în categoria de risc minim, nereglementată.
Furnizor sau utilizator: cine răspunde juridic pentru algoritmul de credit scoring
Regulamentul construiește un cadru asimetric de responsabilități. Furnizorul este entitatea care dezvoltă sau comandă dezvoltarea unui sistem AI și îl introduce pe piață sub propriul nume, cu obligații privind documentația tehnică extinsă, sistemul de management al calității, evaluarea conformității, marcajul CE și înregistrarea în baza de date publică a UE. Utilizatorul (deployer) este persoana fizică sau juridică, inclusiv o bancă, ce folosește sistemul AI în activitatea profesională proprie, cu obligații privind evaluarea impactului asupra drepturilor fundamentale, supravegherea umană efectivă, păstrarea registrelor de audit timp de cel puțin șase luni și alfabetizarea AI a personalului decizional.
În practică, firmele FinTech care proiectează și vând algoritmi de scor de credit către bănci sunt furnizori și răspund pentru proiectare, testarea împotriva bias-ului și certificarea conformității. Băncile care cumpără și operează aceste soluții sunt utilizatori, dar poziția de utilizator nu le exonerează de răspundere juridică; o bancă nu își poate transfera obligațiile legale către furnizorul FinTech.
Un risc adesea trecut cu vederea este mecanismul de la Articolul 25 din Regulament: dacă o bancă aduce modificări substanțiale unui sistem AI preluat de la un terț sau îl rebranduiește sub nume propriu, are loc o conversie juridică prin care banca pierde calitatea de utilizator și preia direct toate obligațiile grele specifice unui furnizor. Orice bancă ce intenționează să personalizeze semnificativ un model achiziționat trebuie să evalueze acest risc înainte de a face modificări de cod.
FRIA și dreptul la explicație: noile instrumente obligatorii de conformitate
Articolul 27 din Regulament introduce obligația realizării unei Evaluări a Impactului asupra Drepturilor Fundamentale (FRIA) înainte de prima punere în funcțiune a unui sistem AI cu risc ridicat. Obligația revine, printre altele, tuturor entităților financiare care folosesc sisteme AI pentru evaluarea bonității, stabilirea scorului de credit sau evaluarea riscului în asigurările de viață și sănătate.
Spre deosebire de analizele clasice de risc de credit, FRIA este orientată spre protecția persoanei afectate și presupune o metodologie în șapte etape: descrierea proceselor interne în care va fi utilizat sistemul, maparea categoriilor de persoane afectate, cu atenție specială pentru grupurile vulnerabile precum solicitanții de credit cu venituri reduse sau fără istoric bancar, evaluarea riscurilor de încălcare a drepturilor din Carta Drepturilor Fundamentale a UE — demnitate, nediscriminare, protecția datelor, dreptul la o decizie motivată și dreptul la o cale de atac eficientă —, proiectarea măsurilor de reducere a riscurilor, stabilirea supravegherii umane și, în final, redactarea și transmiterea raportului către autoritatea națională de supraveghere a pieței.
FRIA nu înlocuiește Evaluarea Impactului asupra Protecției Datelor (DPIA) cerută de GDPR, ci o completează: DPIA analizează riscurile legate de prelucrarea datelor cu caracter personal, în timp ce FRIA extinde analiza asupra drepturilor civile, sociale și economice ale cetățenilor. Băncile pot integra cele două evaluări într-un cadru unificat de guvernanță algoritmică, pentru a evita dublarea eforturilor administrative.
Un alt element central este eliminarea modelelor de tip „black-box” din creditare. Articolul 86 din AI Act, coroborat cu Directiva privind Creditul de Consum (CCD2), acordă solicitanților de credit dreptul legal de a primi o explicație clară privind factorii care au determinat un refuz de creditare.
Cum se integrează AI Act peste reglementările bancare deja existente
Analiza Autorității Bancare Europene (EBA) arată că AI Act nu este un regim izolat, ci se suprapune peste reglementările prudențiale deja existente. Cerințele de guvernanță și management al riscului din Articolele 9 și 17 se leagă de ghidurile EBA privind guvernanța internă și originarea și monitorizarea creditelor, extinzând comitetele de risc bancar existente pentru a include monitorizarea specifică modelelor AI. Cerințele privind seturile de date reprezentative și robustețea tehnică din Articolele 10 și 15 se conectează cu articolele din Regulamentul privind Cerințele de Capital (CRR) referitoare la validarea modelelor interne de rating.
Cerințele de securitate cibernetică din Articolul 15 se aliniază cu Regulamentul DORA, prin care se testează reziliența cibernetică a sistemelor AI și se auditează furnizorii FinTech terți. Iar jurnalele de audit generate automat pentru conformitatea cu Articolul 12 din AI Act furnizează dovada intervenției umane cerută de Articolul 22 din GDPR pentru deciziile complet automatizate. Cu toate aceste sinergii procedurale, EBA subliniază că Regulamentul nu acordă nicio derogare de la obligațiile esențiale de supraveghere umană, guvernanță a datelor sau realizare a evaluării FRIA.
Cine va controla băncile românești: ANCOM, BNR, ASF și ANSPDCP
Pentru punerea în aplicare a Regulamentului la nivel național, România a optat, printr-un Memorandum aprobat de Guvern la 12 martie 2026, pentru descentralizarea atribuțiilor de supraveghere către autoritățile sectoriale existente, fără înființarea unei agenții noi dedicate exclusiv inteligenței artificiale.
ANCOM a fost desemnată Autoritate Națională de Supraveghere a Pieței și punct unic de contact cu Comisia Europeană și Oficiul European pentru AI, asigurând coordonarea tehnică și raportarea la nivel european. Banca Națională a României va superviza direct sistemele AI folosite de instituțiile de credit, instituțiile financiare nebancare și societățile de plată, controlând algoritmii de credit scoring, evaluare a bonității și profilare financiară din sectorul bancar. Autoritatea de Supraveghere Financiară va exercita aceeași atribuție pe piețele financiare non-bancare — asigurări, piețe de capital și pensii private —, auditând modelele AI folosite pentru calculul primelor de asigurare și evaluarea riscului de viață și sănătate.
ANSPDCP va supraveghea sistemele AI de identificare biometrică la distanță, Autoritatea pentru Digitalizarea României va gestiona desemnarea organismelor de evaluare a conformității, iar ASRO va coordona adoptarea standardelor tehnice europene armonizate. Practic, pentru băncile și firmele FinTech din România, verificarea conformității cu AI Act nu va fi făcută de un organism IT generic, ci direct de inspectorii BNR și ASF, integrată în inspecțiile prudențiale periodice și în auditurile de risc ale modelelor interne.
Concluzie
EU AI Act marchează trecerea sectorului financiar de la ghidurile etice voluntare la un regim obligatoriu de conformitate juridică și auditabilitate tehnică. Clasificarea algoritmilor de credit scoring, a modelelor de underwriting din asigurări și a profilărilor financiare drept sisteme cu risc ridicat transformă guvernanța tehnologică într-o prioritate strategică pentru consiliile de administrație ale băncilor și firmelor FinTech din România.
