AI + GDPR în România: ce contează cu adevărat pentru un IMM

Dacă folosești AI în firmă — și aproape toată lumea o face acum, chiar și fără să-și dea seama — procesezi date personale. Nu e o tragedie. Dar e ceva ce trebuie tratat cu minimul de disciplină.

Am trecut prin conversația asta cu mai mulți clienți. Frica inițială e aproape întotdeauna aceeași: "GDPR-ul interzice AI-ul." Nu, nu interzice. Cere doar să știi ce faci cu datele.

Ce date ajung de fapt în AI

Când un angajat pune o întrebare în ChatGPT despre un client, când un tool de transcriere procesează un apel de suport, când un CV trece printr-un screening automat — toate sunt date personale. Nume, email-uri, conversații, date contractuale. Uneori și date sensibile, introduse din greșeală într-un prompt.

Dacă astea ajung în tool-uri externe fără nicio regulă, riscul e real. Dar e gestionabil.

Cele 5 lucruri care contează cel mai mult

După ce am trecut prin setup-uri de conformitate pentru câțiva clienți, astea sunt lucrurile care chiar fac diferența:

1. Știi ce AI folosești și pe ce date. Sună banal, dar majoritatea firmelor nu au un răspuns clar. Fă o listă: ce tool-uri, cine le accesează, cu ce date lucrează. Durează o oră.

2. Ai un temei legal. Pentru majoritatea IMM-urilor, interesul legitim sau executarea contractului acoperă 90% din cazuri. Consimțământul e necesar doar în situații specifice.

3. Nu trimite mai mult decât trebuie. Dacă AI-ul are nevoie doar de contextul unei comenzi, nu-i da tot istoricul clientului. Anonimizează unde poți.

4. Documentează minimul necesar. Un policy de 2 pagini despre cum se folosește AI-ul în firmă + o procedură scurtă de incident. Nu-ți trebuie 200 de pagini.

5. Ai un om care verifică deciziile importante. Dacă AI-ul refuză un credit sau respinge un candidat, un om trebuie să valideze. E simplu și acoperă o grămadă de risc.

Semne că ai o problemă

Dacă auzi frazele astea pe holurile firmei, ai treabă:

• "Toată lumea folosește ChatGPT pe contul personal."
• "Nu știm ce date s-au trimis până acum."
• "Nimeni nu se ocupă de partea asta."

Dacă te regăsești în două din trei, începe cu inventarierea. E primul pas și cel mai important.

Conformitatea nu e birocrație

Pentru un IMM, un AI compliant nu înseamnă un dosar cu șină de 500 de pagini. Înseamnă că știi ce se întâmplă cu datele, ai niște reguli clare și le aplici constant.

Am văzut firme mici care au rezolvat asta într-o săptămână. Nu e vorba de perfecțiune — e vorba de intenție și disciplină.