EU AI Act și agenții AI autonomi: ce s-a amânat, ce nu și de ce începi acum

Imaginează-ți un agent AI care, într-o vineri la 23:00, decide singur să aprobe 400 de rambursări, să respingă 12 candidați la un job și să blocheze un cont de client — fără ca cineva să apese vreun buton. Nu e science-fiction; e un marți obișnuit într-o companie care a pus „un agent” peste fluxurile ei reale. Întrebarea nu mai e „poate AI-ul să facă asta?”, ci „cine răspunde când o face greșit?”.

Aici intră EU AI Act. Și da, calendarul tocmai s-a schimbat — în bine, dacă știi ce să faci cu timpul câștigat.

Ce s-a amânat (și ce nu)

În mai 2026, printr-un pachet numit Digital Omnibus, UE a amânat obligațiile pentru sistemele AI cu risc ridicat:

• sistemele de sine stătătoare din Anexa III (recrutare, scoring de credit, servicii esențiale, educație) — de la 2 august 2026 la 2 decembrie 2027;
• AI încorporat în produse reglementate (Anexa I) — la 2 august 2028.

Atenție: interdicțiile pentru practicile inacceptabile au rămas în vigoare, iar omnibusul a adăugat altele noi. Deci nu e o amânare „totul stă pe loc” — e un respiro exact pentru partea grea: documentația, logarea, supravegherea. Detaliile despre amânare le-am tratat separat în De ce a amânat UE AI Act la 2027 și ce faci cu timpul. Regulamentul integral: Regulamentul (UE) 2024/1689.

Vestea proastă deghizată în veste bună: ai mai mult timp. Vestea bună deghizată în capcană: majoritatea companiilor vor folosi acest timp ca să nu facă nimic, apoi vor încerca să bifeze tot în ultimele trei luni. Munca asta nu se face în trei luni.

De ce un agent e „risc ridicat”, iar un chatbot adesea nu

Diferența e simplă și foarte umană: un copilot care scrie un text e una; un agent care execută e cu totul altceva.

Un asistent care îți propune un răspuns lasă decizia la tine. Un agent care recuperează date, decide și acționează — procesează o rambursare, deschide un tichet, mută bani, respinge o cerere — ia decizia în locul tău. În momentul în care acel agent operează în angajare, servicii esențiale sau scoring financiar, intră sub Anexa III. Nu pentru că ar fi „periculos” prin natură, ci pentru că efectele lui ating drepturile oamenilor: cine ia un credit, cine primește jobul, cine rămâne fără un serviciu. (Cum se face clasificarea, pe larg: Clasificarea riscurilor sub AI Act.)

Cele patru obligații, pe înțelesul tuturor

Nu sunt birocrație de dragul birocrației. Sunt, de fapt, lucruri pe care orice echipă serioasă ar trebui să le facă oricum.

1. Documentație tehnică vie (Art. 11). Nu un PDF scris o dată și uitat într-un folder. Ce model rulează, pe ce date a fost antrenat, ce evaluări a trecut, ce limitări cunoscute are. Exemplu: dacă agentul tău de scoring refuză un client, iar acela contestă, trebuie să poți arăta în câteva minute pe baza căror reguli și a cărei versiuni de model a decis. Majoritatea deployment-urilor LangGraph sau AutoGen nu produc asta din oficiu — trebuie construit intenționat.

2. Înregistrarea automată a evenimentelor (Art. 12). Pe românește: jurnale de audit. Fiecare apel de tool, prompt, retrieval și output, logat cu destulă fidelitate încât să poți reconstrui o decizie șase luni mai târziu. Exemplu: „de ce a aprobat agentul rambursarea de 5.000 EUR pe 14 martie?” trebuie să aibă un răspuns reconstituibil din jurnale, nu un ridicat din umeri.

3. Supraveghere umană reală (Art. 14). Aici greșesc cei mai mulți: cred că „supraveghere” înseamnă un dashboard frumos. Nu înseamnă. Înseamnă o capabilitate proiectată anume pentru ca un om competent să înțeleagă ce face agentul și să-l poată opri înainte să producă un prejudiciu. Exemplu: sub un prag, agentul acționează singur; peste prag — o rambursare mare, o concediere, un transfer — se oprește și cere aprobarea unui om. Asta e supraveghere; un grafic la care nu se uită nimeni nu este.

4. Control de oprire și suprascriere. Permisiuni delimitate plus porți de escaladare care funcționează în producție, nu doar în demo. Un buton de „stop” care chiar oprește agentul — nu unul care trimite un email citit luni dimineața.

Cum arată „bine” — un exemplu complet

Ia un agent de relații cu clienții care emite rambursări:

Cum se citește diagrama: agentul tot rezolvă singur, rapid, marea majoritate a cazurilor simple. Dar orice acțiune care atinge un drept trece printr-un om, fiecare pas e logat, iar dacă ceva o ia razna există un „stop” real. Observă echilibrul: nu am încetinit afacerea, am făcut-o demnă de încredere — iar clientul tău (și viitorul auditor) văd diferența imediat. Exact acest principiu — guvernanța stă în arhitectură, nu în model — l-am detaliat în Siguranța AI agentică trăiește în topologie, nu în greutățile modelului.

De ce începi acum, deși deadline-ul e în decembrie 2027

Trei motive simple și oneste:

• Durează. Pipeline-ul de evenimente, porțile de aprobare, dosarul tehnic — sunt luni de inginerie, nu un sprint de o săptămână.
• E bună oricum. Un agent observabil, cu opriri și aprobări, produce mai puține incidente, nu doar mai puține amenzi. Guvernanța bună e, până la urmă, software bun.
• Încrederea se câștigă înainte, nu după. Clienții, partenerii și board-ul vor întreba „cum vă controlați agenții?” mult înainte de decembrie 2027 — adesea înainte să semneze un contract.

Peisajul de amenințări publicat de ENISA arată fix acest decalaj — între „modelul e sigur” și „sistemul e guvernabil”. Iar NIST AI Risk Management Framework oferă un vocabular compatibil pentru dosarul tehnic, tot mai des cerut și de partenerii din UE. Pentru partea de date care alimentează agenții, vezi și Securizarea pipeline-urilor RAG.

Poziția CAI Technology

Noi tratăm guvernanța ca arhitectură, nu ca PDF. Acolo se întâlnește programul de conformitate Lexnomia cu orchestrarea de agenți Iris: permisiunile, porțile de aprobare și jurnalele de audit fac parte din sistem, nu sunt un strat lipit la final. Construiești o dată, corect, și treci auditul fără cicatrici.

Dacă ai deja agenți în producție — sau ești pe cale să pui — hai să discutăm o evaluare de poziționare AI Act cât timp lucrează încă pentru tine, nu împotriva ta.

Cadrul european de politici AI, pentru context: Comisia Europeană — Regulatory framework on AI.