AI Act, CRA, reforma CEMAC: dintr-o suprapunere de texte, un singur plan de acțiune

Calendarul reglementar din iulie 2026 seamănă cu un rezumat al deceniului. Pe 2 august intră în aplicare o nouă etapă a regulamentului european privind inteligența artificială: obligațiile de transparență de la articolul 50 (semnalarea conținuturilor generate, sistemele conversaționale, deepfake-urile) și competențele de sancționare ale Comisiei asupra modelelor de uz general, cu amenzi care pot ajunge la 15 milioane de euro sau 3% din cifra de afaceri globală.

Cu trei săptămâni mai devreme, pe 13 iulie, ENISA publica un model de auto-evaluare a maturității de cyber-reziliență a IMM-urilor, aliniat la Cyber Resilience Act: cinci domenii evaluate, de la guvernanță la ciclul de viață al produsului, un instrument descărcabil, o clasificare în maturitate de bază, intermediară sau avansată. Iar la Libreville, COBAC deschidea ofertele unui apel internațional pentru revizuirea textelor sale organice și elaborarea unei legi bancare unice pentru cele șase țări din CEMAC, menită să înlocuiască cadrul rezultat din convențiile din 1990 și 1992.

Agenția a precizat între timp dispozitivul de semnalare în sine: o fișă și două ghiduri pas cu pas pentru platforma sa unică, publicate în iulie 2026 și actualizate pe 31, deși platforma nu este încă deschisă. Ea trebuie să se deschidă pe 11 septembrie, chiar în ziua în care obligația devine aplicabilă. Consecința practică pentru un producător se rezumă într-o singură frază: contul EU Login care deschide accesul se creează de pe acum, perioada de testare, în schimb, nu se poate comanda.

Trei reglementatori, trei geografii, trei subiecte. Privite dintr-o direcție generală, trei șantiere noi care se adaugă la cele deja existente: NIS2, CSRD, EUDR, în funcție de sector. Aceasta este ceea ce direcțiile de conformitate numesc, cu o oboseală tot mai mare, suprapunerea.

În fața fiecărui text nou, reflexul instituțional este mereu același: un proiect dedicat, un responsabil dedicat, o firmă de consultanță dedicată, un tabel dedicat. Acest reflex are o logică, fiecare text având propriul reglementator și propriile sancțiuni. Dar are mai ales un cost, pe care puține organizații îl măsoară.

Primul cost este redundanța: aceleași echipe răspund de trei ori la aceleași întrebări, cu formulări ușor diferite. Cine este responsabil de acest sistem? Unde este inventarul? Cum gestionați incidentele? Un CISO al unei IMM industriale poate petrece o parte semnificativă a anului completând chestionare care se suprapun în proporție de două treimi.

Al doilea cost este incoerența: trei șantiere separate produc trei stări de fapt separate, care diverg rapid. Direcția generală primește trei niveluri de gravitate, trei bugete, trei calendare, fără un mijloc de a le arbitra între ele. Iar al treilea cost este strategic: alergând după fiecare termen, organizația nu construiește niciodată soclul care i-ar permite să absoarbă următorul.

Să recitim totuși cele trei semnale din iulie cu ochi de practician. AI Act cere mai întâi un inventar al sistemelor de inteligență artificială și al utilizărilor lor, o guvernanță clară, o documentație demonstrabilă. CRA, așa cum este detaliat de modelul ENISA, evaluează guvernanța, gestionarea riscurilor, tratarea vulnerabilităților, ciclul de viață al produselor, competențele. Un viitor cadru prudențial CEMAC va cere, la fel ca toate cadrele de tip Basel, o guvernanță a riscurilor, dispozitive documentate, un control intern demonstrabil.

Cu alte cuvinte: sub vocabulare diferite, o mare parte a cerințelor se suprapune. Să știi ce operezi (inventarul sistemelor, al produselor, al proceselor). Să știi cine decide (guvernanță, responsabilități). Să știi ce poate merge prost (gestionarea riscurilor). Să știi să reacționezi (incidente, vulnerabilități, continuitate). Să știi să o demonstrezi (documentație, trasabilitate). Cinci capacități de soclu, pe care fiecare text le detaliază apoi în domeniul său.

Tocmai pentru că acest soclu este comun, tratarea în silozuri este o risipă: fiecare șantier separat reconstruiește, pe propria cheltuială, un inventar, o cartografiere a riscurilor și o guvernanță pe care șantierul vecin tocmai le-a plătit.

Alternativa nu este fuzionarea conformităților într-un dosar unic, reglementatorii nu ar permite-o. Este separarea a două lucruri pe care reflexul în siloz le confundă: soclul, care se măsoară o singură dată, și vederile reglementare, care se detaliază pe fiecare text.

Concret: un diagnostic de maturitate unic evaluează capacitățile de soclu, inventar, guvernanță, riscuri, incidente, documentație. Fiecare criteriu evaluat este asociat textelor pe care le deservește: cutare control de inventar alimentează simultan AI Act și CRA; cutare cerință de guvernanță a riscurilor servește CRA și viitorul cadru CEMAC. Măsurarea dezvăluie astfel ceea ce silozurile ascund: coliziunile, acele acțiuni unice care fac să progreseze două sau trei conformități dintr-odată.

Acesta este principiul încrucișării auditurilor: în loc să se suprapună evaluările, le facem să comunice între ele. O organizație care se evaluează pe trei cadre de referință cu un soclu comun descoperă aproape întotdeauna că adevărata sa întârziere ține de un mănunchi de capacități transversale, nu de trei sute de cerințe distincte.

Rămâne de ordonat planul de acțiune. Doi criterii sunt suficienți, cu condiția să fie combinați. Termenul mai întâi: 2 august 2026 este trecut sau iminent, în funcție de interpretare, obligațiile principale ale CRA sosesc la sfârșitul lui 2027, viitorul text CEMAC își va urma procedura de adoptare. Randamentul apoi: o acțiune care servește trei texte valorează, la efort egal, de trei ori cât o acțiune care servește unul singur.

Combinarea celor două oferă o secvențiere naturală. În frunte, capacitățile de soclu cu randament ridicat: inventarul sistemelor de inteligență artificială și al produselor software, guvernanța riscurilor, dispozitivul de gestionare a incidentelor. Apoi, decalajele specifice pe termen: marcajul de transparență de la articolul 50 pentru IA, cerințele de produs ale CRA, ajustările prudențiale odată ce textul CEMAC va fi publicat. La coadă, ceea ce poate aștepta fără risc, documentat ca atare.

Această secvențiere are o virtute politică la fel de mult ca una tehnică: oferă direcției generale un singur arbitraj bugetar, o singură traiectorie, în locul a trei cereri concurente dintre care fiecare se pretinde prioritară.

Condus astfel, fenomenul suprapunerii își schimbă natura. Diagnosticul de soclu devine un activ reutilizabil: când va sosi următorul text, și va sosi, organizația nu va porni de la zero, ci va măsura decalajul. Prezentarea rezultatelor se declină pe fiecare interlocutor pornind de la aceeași informație: vederea AI Act pentru reglementatorul vizat, vederea CRA pentru achizitorii care o vor cere, vederea prudențială pentru supraveghetor, vederea consolidată pentru comitetul de direcție.

Iar măsurarea repetată în timp transformă conformitatea într-o traiectorie: nu se mai spune „suntem conformi”, afirmație nedemonstrabilă și perisabilă, ci „iată nivelul nostru de maturitate, progresul și planul său”, demonstrație datată și opozabilă.

Suprapunerea reglementară este o realitate care nu va încetini; fragmentarea răspunsurilor, în schimb, este o alegere. Organizațiile care fac alegerea opusă, un soclu măsurat, vederi pe fiecare text, un singur plan prioritizat, nu se confruntă cu mai puține texte decât celelalte. Ele le absorb mai bine, și mai ieftin.