Problema, concret
Un contabil lipește o balanță într-un chat AI ca să obțină un rezumat. Un asistent medical cere o reformulare a unei scrisori către pacient. Un jurist încarcă un contract ca să extragă clauzele de reziliere. Toate sunt utilizări legitime și utile. Toate trimit date cu caracter personal, uneori din categorii speciale, către un furnizor din afara Uniunii Europene, fără contract de prelucrare, fără evidență și fără control asupra a ce se întâmplă cu ele după.
Din perspectiva GDPR, firma ta e operatorul acelor date. Furnizorul de AI devine, în cel mai bun caz, o persoană împuternicită cu care nu ai semnat nimic. În cel mai rău caz, datele intră în seturi de antrenare sau în jurnale păstrate pe termen nedefinit.
Unde apar riscurile juridice
- Temeiul și contractul (art. 28): orice prelucrare făcută de un terț în numele tău cere un contract scris, cu obligații clare. Un cont gratuit acceptat cu un clic nu îndeplinește condiția.
- Transferurile internaționale (cap. V): datele trimise în afara UE au nevoie de un temei de transfer. Cadrul actual pentru Statele Unite e contestat în instanță, la fel cum au fost și cele două de dinaintea lui, invalidate în 2015 și 2020. A construi un proces de lucru pe un temei care poate dispărea e un risc de business, nu doar juridic.
- Categoriile speciale (art. 9): date medicale, date despre condamnări, apartenență sindicală. Pentru ele, cerințele sunt mai stricte, iar secretul profesional se adaugă peste GDPR pentru medici, avocați și notari.
- Evaluarea de impact (art. 35): prelucrarea pe scară largă a datelor sensibile cu tehnologii noi cere o evaluare documentată înainte de a începe.
Ce înseamnă „AI local”
Modelele de limbaj open-source din familii precum Llama, Mistral, Qwen sau Gemma pot fi descărcate și rulate pe un server propriu, prin unelte precum Ollama. Modelul nu are nevoie de internet ca să răspundă. Documentele pe care le folosește nu părăsesc serverul. Nu există furnizor extern, deci nu există transfer, contract de prelucrare cu un terț sau incertitudine despre jurnale.
Calitatea răspunsurilor pentru sarcini de firmă e comparabilă cu a serviciilor comerciale, dintr-un motiv simplu: în majoritatea cazurilor nu ai nevoie de un model care știe totul despre lume, ci de unul care citește documentele tale și răspunde din ele. Tehnica se numește RAG (Retrieval-Augmented Generation): sistemul caută întâi fragmentele relevante din arhiva ta și abia apoi formulează răspunsul, indicând sursa.
Diferența esențială: la un serviciu cloud, întrebarea și documentele pleacă la model. La AI local, modelul vine la documente. Datele nu se mișcă, ceea ce rezolvă majoritatea problemelor de conformitate dintr-o singură decizie de arhitectură.
Unde rulează: la tine sau într-un datacenter din România
Varianta cea mai strictă e un server cu GPU în sediul tău, în spatele propriului firewall. E potrivită pentru cabinete medicale, birouri de avocatură și instituții care nu vor ca datele să iasă din clădire.
A doua variantă e un server dedicat într-un datacenter din România, administrat de un furnizor local, accesibil doar prin VPN. Datele rămân sub jurisdicție românească și europeană, nu cumperi hardware și nu te ocupi de administrare. Pentru majoritatea firmelor mici și mijlocii e echilibrul corect între conformitate și cost. Așa oferim și noi AI local: la client sau pe infrastructura noastră din datacenterul Digi.
Pași pentru o implementare conformă
- Inventar: ce sarcini vrei să automatizezi și ce date ating. Rezumate de contracte, clasificare de facturi, răspunsuri din regulamente interne, căutare în arhivă.
- Clasificare: care dintre date sunt personale, care sunt din categorii speciale, care sunt sub secret profesional. Asta decide unde poate rula modelul.
- Politică internă: ce e permis în servicii externe (nimic cu date de clienți), ce se face în sistemul intern. Regula devine ușor de respectat când sistemul intern e la fel de comod ca cel extern.
- Pilot pe date reale, cu oamenii care vor folosi sistemul, cu rezultate măsurate, nu demonstrații.
- Control de acces și jurnale: cine poate întreba ce, prin VPN, cu evidență. Aceleași reguli ca pentru orice sistem cu date de clienți.
- Documentare: evaluarea de impact acolo unde e necesară, actualizarea evidenței prelucrărilor, informarea persoanelor vizate dacă se schimbă scopurile.
Ce nu rezolvă AI-ul local
Un model rulat local nu te scutește de restul GDPR: tot ai nevoie de temei legal pentru prelucrare, de minimizarea datelor, de retenție definită. Nu rezolvă nici problema calității: un model care răspunde greșit din documentele tale e la fel de periculos ca unul din cloud, de aceea pilotul cu utilizatori reali nu e opțional. Iar obligațiile din regulamentul european privind inteligența artificială se aplică treptat și independent de locul unde rulează modelul.
Concluzie
Interzicerea AI-ului într-o firmă nu funcționează; oamenii îl folosesc oricum, pe telefonul personal. Alternativa realistă e să le dai un sistem intern care face aceleași lucruri, fără ca datele să plece nicăieri. Tehnologia există, e matură și, pentru volumele unei firme din România, nu e scumpă. Ce lipsește de obicei e decizia.