AI Act în marketing: ce trebuie să respecți când folosești AI

Ghidul complet: AI Act pentru cei care fac marketing cu AI în fiecare zi

Dacă scrii texte cu un asistent AI, generezi imagini pentru reclame, ai un chatbot pe site sau personalizezi oferte cu algoritmi, regulamentul european privind inteligența artificială te privește. Vestea bună: pentru marketingul obișnuit, obligațiile sunt clare și se pot respecta fără birocrație grea. Vestea mai puțin bună: unele se aplică deja, iar calendarul s-a schimbat în 2026. Ghidul rezumă situația la octombrie 2026, pe baza surselor oficiale ale Comisiei Europene, ale Consiliului UE și ale Parlamentului European. Este informativ, nu consultanță juridică: pentru o situație concretă, discută cu un jurist.

Ce este AI Act și calendarul lui de aplicare

Regulamentul (UE) 2024/1689, cunoscut ca AI Act, este primul cadru legal cuprinzător pentru inteligența artificială. A intrat în vigoare la 1 august 2024 și împarte sistemele AI pe niveluri de risc: practici interzise, sisteme cu risc ridicat, sisteme cu obligații de transparență și sisteme cu risc minim, fără reguli noi. Regulamentul separă furnizorul (cine dezvoltă sistemul și îl pune pe piață, de exemplu producătorul unui generator video) de implementator (cine îl folosește profesional, adică agenția sau firma ta). Cele mai multe obligații ale tale sunt de implementator.

Calendarul, așa cum arată după modificările din 2026, potrivit AI Act Service Desk:

• 2 februarie 2025: se aplică definițiile, obligația de alfabetizare AI (art. 4) și interdicțiile din art. 5.
• 2 august 2025: se aplică obligațiile furnizorilor de modele AI de uz general (modelele mari din spatele asistenților și generatoarelor), regulile de guvernanță și cele privind sancțiunile.
• 2 august 2026: se aplică cea mai mare parte a regulamentului, inclusiv obligațiile de transparență din art. 50, și începe controlul efectiv pentru interdicții, transparență, alfabetizare AI și modelele de uz general.
• 2 decembrie 2026: intră în aplicare interdicția sistemelor care generează conținut intim fără consimțământ și materiale de abuz sexual asupra copiilor; tot atunci expiră tranziția pentru marcarea tehnică a conținutului produs de sistemele puse pe piață înainte de 2 august 2026.
• 2 decembrie 2027: regulile pentru sistemele cu risc ridicat din anexa III (de exemplu, recrutare, evaluarea creditului, educație).
• 2 august 2028: regulile pentru sistemele cu risc ridicat integrate în produse reglementate (anexa I).

Pentru România, Comisia listează ANCOM ca punct unic de contact pentru supravegherea pieței, cu decizia națională de desemnare încă în curs de adoptare finală la ultima actualizare a listei. Pentru datele personale, autoritatea rămâne ANSPDCP.

Ce a schimbat Digital Omnibus

Pe 19 noiembrie 2025, Comisia a propus un pachet de simplificare numit Digital Omnibus, cu o parte dedicată AI Act. Consiliul și Parlamentul au ajuns la un acord politic pe 7 mai 2026, Parlamentul l-a aprobat pe 16 iunie, Consiliul l-a adoptat final pe 29 iunie, iar regulamentul de modificare, (UE) 2026/1744, a intrat în vigoare pe 27 iulie 2026. Ce contează pentru marketing:

• Termenele pentru riscul ridicat s-au mutat la 2 decembrie 2027 și 2 august 2028, cu date fixe.
• Alfabetizarea AI a fost reformulată. Furnizorii și implementatorii iau măsuri care sprijină dezvoltarea competențelor AI ale oamenilor care folosesc sistemele în numele lor, fără obligația de a garanta un anumit nivel pentru fiecare persoană. Comisia și statele membre sprijină efortul, mai ales la IMM-uri.
• Marcarea tehnică a conținutului generat are o perioadă de grație până la 2 decembrie 2026, doar pentru sistemele puse pe piață înainte de 2 august 2026. Este o obligație a furnizorilor.
• O interdicție nouă privește sistemele care generează conținut sexual sau intim cu persoane identificabile, fără consimțământul lor.
• Unele simplificări pentru IMM-uri au fost extinse la întreprinderile mici cu capitalizare medie.

Ce nu s-a schimbat: obligațiile de transparență privind chatboturile și deepfake-urile se aplică de la 2 august 2026, iar practicile interzise din 2025 rămân interzise.

Chatboturi și agenți vocali: omul află că vorbește cu un AI

Art. 50 alin. (1) cere ca sistemele care interacționează direct cu oameni să fie proiectate astfel încât persoana să afle că vorbește cu un sistem AI, cu excepția situațiilor evidente pentru un om rezonabil de atent. Obligația de proiectare cade pe furnizor, dar tu configurezi chatbotul: nume, ton, mesaj de întâmpinare. Nu-l face să pară om.

• Informarea apare cel târziu la prima interacțiune, clar și accesibil (art. 50 alin. (5)). Un exemplu de prim mesaj: „Bună! Sunt asistentul virtual al clinicii, un sistem AI. Te ajut cu programări și întrebări generale. Dacă vrei să vorbești cu un om, scrie «operator».”
• La agenții vocali, informarea vine în primele secunde ale apelului, nu doar în termenii de pe site.
• Nu folosi fotografia și numele unui angajat real pentru un asistent AI.
• Oferă mereu o cale spre un om și spune cât durează răspunsul.
• Conversațiile sunt date personale: menționează-le în nota de informare, stabilește cât le păstrezi și nu le refolosi în alte scopuri fără temei legal.

Separat, dacă un instrument deduce emoțiile cuiva din voce sau din chip, oamenii expuși trebuie informați (art. 50 alin. (3)), iar folosirea lui la locul de muncă sau în educație este interzisă, cu excepții medicale și de siguranță.

Conținut generat și deepfake-uri: ce marchezi și cum

Regulamentul împarte responsabilitatea în două:

• Furnizorii generatoarelor de text, imagine, audio și video marchează rezultatele într-un format citit de mașini, ca să poată fi detectate (art. 50 alin. (2)). Funcțiile de asistență la editarea obișnuită, care nu schimbă substanțial materialul, sunt exceptate.
• Implementatorii, adică tu, informează publicul când un material este un deepfake: imagine, audio sau video generat ori manipulat care seamănă cu persoane, obiecte, locuri, entități sau evenimente reale și ar putea părea în mod fals autentic (art. 50 alin. (4)).

Exemple din marketing care cer informare: directorul firmei vorbind în germană printr-un dublaj care îi clonează vocea; un prezentator digital creat după un angajat real; fotografia reală a unui apartament gol, mobilat cu AI pentru un anunț (chiar exemplul dat de Comisie pentru icoana „parțial modificat”); o scenă realistă într-un loc ușor de recunoscut, care nu s-a petrecut niciodată.

Pentru o lucrare evident artistică, creativă, satirică sau de ficțiune, informarea se limitează la menționarea conținutului generat, fără să strice vizionarea. Pentru texte: cele generate cu AI care informează publicul despre chestiuni de interes public se marchează, cu excepția celor trecute printr-o revizie umană, pentru care o persoană sau o firmă își asumă responsabilitatea editorială. Pentru un blog de firmă, asta înseamnă un editor care citește, corectează și răspunde de text.

Cum etichetezi:

• clar și vizibil, cel târziu la prima expunere, cu respectarea cerințelor de accesibilitate (art. 50 alin. (5));
• integrat în material, ca eticheta să rămână vizibilă când clipul e redistribuit sau descărcat;
• în cuvinte simple („voce generată cu AI”, „imagine modificată cu AI”), eventual cu icoanele UE, opționale și gratuite, în trei variante: de bază, „generat integral” și „parțial modificat”;
• cu text alternativ pentru cititoarele de ecran, unde formatul permite.

Comisia a publicat un cod de bune practici pentru transparența conținutului generat, confirmat de Comisie și de AI Board drept instrument adecvat de demonstrare a conformității, și ghiduri privind art. 50, cu exemple de ce intră și ce nu intră sub obligație. Platformele sociale au, în plus, propriile reguli de etichetare; le respecți pe ambele.

Personalizare și profilare: intersecția cu GDPR

AI Act nu înlocuiește GDPR. Cele mai multe riscuri ale personalizării cu AI rămân riscuri de protecția datelor:

• Temeiul legal. Profilarea pentru marketing are nevoie de consimțământ sau de interes legitim, cu o evaluare scrisă a echilibrului. Pentru cookie-uri și comunicări comerciale electronice se aplică, în plus, regulile de consimțământ din Legea nr. 506/2004.
• Dreptul la opoziție. Omul se poate opune oricând prelucrării pentru marketing direct, inclusiv profilării legate de aceasta, iar după opoziție datele nu mai sunt folosite în acest scop (art. 21 GDPR).
• Deciziile automate. Dacă un algoritm decide singur, cu efecte juridice sau similar de semnificative (de exemplu, refuzul unei finanțări), se aplică art. 22 GDPR, cu garanții precum intervenția umană.
• Evaluarea de impact. Profilarea sistematică și extinsă poate cere o evaluare de impact asupra protecției datelor (art. 35 GDPR).
• Date sensibile. Nu deduce din comportament sănătatea, religia sau orientarea sexuală a oamenilor ca să-i targetezi. AI Act interzice, în plus, categorizarea biometrică ce deduce rasa, opiniile politice, convingerile religioase sau orientarea sexuală.
• Transparența. Nota de informare explică pe înțeles ce date folosești pentru personalizare și cum se poate opune omul.

Practici interzise care ating marketingul

Din 2 februarie 2025, art. 5 interzice, printre altele, două practici care privesc direct comunicarea comercială:

• Manipularea: sisteme AI care folosesc tehnici subliminale ori tehnici intenționat manipulatoare sau înșelătoare, cu scopul sau efectul de a distorsiona semnificativ comportamentul cuiva, slăbindu-i capacitatea de a decide informat, într-un mod care îi produce sau poate să-i producă un prejudiciu semnificativ.
• Exploatarea vulnerabilităților legate de vârstă, dizabilitate sau o situație socială ori economică specifică, cu același tip de efect.

Pragul e ridicat: publicitatea persuasivă obișnuită nu devine interzisă doar pentru că folosește AI. Riscul apare când combini personalizarea fină cu un public fragil și cu un mesaj care profită de fragilitatea lui. Situații de evitat: credite rapide împinse automat spre oameni identificați ca fiind în dificultate financiară, presiune de tip „ultima șansă” calibrată algoritmic pentru vârstnici, mesaje pentru copii optimizate să-i țină în aplicație. Comisia a publicat ghiduri privind practicile interzise, cu exemple concrete.

Miza e mare: pentru practicile interzise, amenzile pot ajunge la 35 de milioane de euro sau 7% din cifra de afaceri anuală mondială, oricare e mai mare, iar pentru IMM-uri se aplică suma mai mică dintre cele două (art. 99). Pentru încălcarea obligațiilor de transparență, plafonul este de 15 milioane de euro sau 3%.

Evidența instrumentelor, politica internă, verificarea umană

Evidența. Nu poți respecta reguli pentru instrumente pe care nu știi că le folosești. Un tabel e suficient: instrumentul și furnizorul, scopul, cine îl folosește, ce date intră (personale, confidențiale, ale clienților), ce iese (text, imagine, voce, video, decizii), dacă rezultatul poate fi deepfake, statutul contractului și al acordului de prelucrare a datelor, responsabilul intern. Actualizează-l trimestrial: colegii adoptă instrumente noi mai repede decât apar procedurile.

Politica internă de folosire a AI, pe una-două pagini, în limbaj simplu:

• ce instrumente sunt aprobate și pentru ce;
• ce nu introduci niciodată într-un instrument neaprobat: date personale ale clienților, informații confidențiale, materiale primite sub acord de confidențialitate;
• ce e interzis: clonarea vocii sau a chipului fără acord scris, imitarea persoanelor reale, afirmațiile fără dovezi, mesajele care țintesc vulnerabilitățile oamenilor;
• regulile de etichetare și cine decide dacă un material e deepfake;
• cum raportezi o greșeală sau un incident;
• cum înveți: sesiuni practice, exemple din proiectele firmei, materiale de referință.

Ultimul punct răspunde și art. 4: după modificările din 2026, alfabetizarea AI cere măsuri care sprijină dezvoltarea competențelor, nu un certificat pentru fiecare om. Păstrează totuși dovezi: agenda instruirilor, participanții, materialele.

Verificarea umană. Orice material public produs cu AI are un om care răspunde de el: verifică faptele, tonul, drepturile și etichetarea, apoi aprobă. Regula celor patru ochi (autorul și încă un coleg) e un standard bun pentru campanii, iar responsabilitatea editorială asumată te scoate din obligația de marcare pentru textele de interes public.

Contracte și DPA cu furnizorii

Când un furnizor de AI prelucrează date personale în numele tău, ai nevoie de un acord de prelucrare a datelor (DPA) conform art. 28 GDPR. La instrumentele AI, verifică în plus:

• Antrenarea pe datele tale: e exclusă implicit sau trebuie dezactivată, și în ce plan?
• Locul prelucrării și temeiul transferurilor în afara Spațiului Economic European (decizie de adecvare sau clauze contractuale standard).
• Subprocesatorii, durata păstrării și ștergerea la final, inclusiv a modelelor de voce și a avatarelor.
• Drepturile asupra rezultatelor: cine le deține, dacă uzul comercial e permis în planul tău, dacă furnizorul oferă despăgubire la reclamații de proprietate intelectuală.
• Transparența: cum marchează furnizorul conținutul generat și dacă a semnat codul de bune practici.
• Securitatea: certificări, controlul accesului, jurnale de activitate.

Aceeași rigoare se aplică în aval. În contractul cu clientul stabilești cine aprobă materialele, cine răspunde de etichetare și cine obține acordurile oamenilor din clipuri. În contractul cu vocile și fețele folosite (actori, angajați, ambasadori) treci scopurile, canalele, durata, remunerația, dreptul de retragere și soarta modelului la final.

Lista de verificare pentru o campanie cu conținut AI

1. Instrumentele folosite sunt în registru și aprobate prin politica internă.
2. Există DPA cu fiecare furnizor care prelucrează date personale.
3. Termenii fiecărui instrument permit uzul comercial al rezultatelor în planul folosit.
4. Fiecare voce clonată și fiecare avatar al unei persoane reale au acord scris, cu scopuri, durată și drept de retragere.
5. Muzica, imaginile, fonturile și filmările au licențe valabile pentru canalele campaniei.
6. Afirmațiile, cifrele și promisiunile au sursă și au fost verificate de un om.
7. Ai stabilit, material cu material, ce este deepfake și ce nu, și ai notat motivul.
8. Deepfake-urile poartă o informare clară, vizibilă de la prima expunere, integrată în material.
9. Marcajele tehnice și metadatele de proveniență au rămas intacte la export.
10. Chatbotul sau agentul vocal se prezintă ca AI din primul mesaj și oferă o cale spre un om.
11. Personalizarea are temei legal documentat, iar oamenii se pot opune ușor.
12. Campania nu țintește oameni vulnerabili cu mesaje care profită de vulnerabilitatea lor.
13. Ai respectat regulile de etichetare ale fiecărei platforme.
14. Un responsabil a aprobat în scris versiunea finală.
15. Scenariile, prompturile, acordurile și versiunile finale sunt arhivate.

Cu lista bifată, ai o campanie pe care o poți explica oricui o întreabă: client, public sau autoritate. Dacă vrei să-ți construim politica de AI, registrul de instrumente și fluxul de aprobare, vezi serviciul de strategie și consultanță sau scrie-ne despre situația ta. Pentru producția video cu AI, continuă cu ghidul Video și voce cu AI.

Citește mai departe

• Video și voce cu AI: ElevenLabs, HeyGen, Higgsfield
• Ghidul complet de content marketing
• Ghidul complet de social media
• Chatbot marketing pentru afaceri
• Marketing conversațional: chatbot și AI
• Marketingul în era protecției datelor
• Personalizarea în marketing
• First-party data după cookie-uri
• Permission marketing: marketingul cu consimțământ
• Inteligența artificială în marketing: ghid practic