Evaluare impact sistem AI în ISO 42001: 6 pași

ISO 42001 dedică evaluării impactului o clauză întreagă (6.1.4), o clauză operațională (8.4) și 4 controale din Anexa A (A.5.2 până la A.5.5). Anexa are 38 de controale în total, iar grupul A.5 se ocupă strict de oamenii afectați de sistemul tău AI.

Evaluarea impactului unui sistem AI în ISO 42001 este procesul documentat prin care stabilești ce consecințe poate avea sistemul asupra persoanelor, grupurilor și societății, atât din utilizarea prevăzută, cât și din utilizarea greșită previzibilă. Rezultatul intră apoi în evaluarea riscurilor din clauza 6.1.2.

Când ai nevoie de o evaluare de impact pentru un sistem AI?

Ai un SRL din Cluj cu 25 de angajați care vinde un modul SaaS de triere automată a CV-urilor. Un lanț de retail din Germania vrea un contract de 400.000 lei pe 3 ani, dar cere în 6 săptămâni dovada că ai evaluat impactul sistemului asupra candidaților. Fără documentul ăsta, achizițiile clientului nu trec mai departe.

Situația ta atinge trei reguli în același timp:

• Clauza 6.1.4 din ISO 42001, dacă vrei certificarea sau dacă clientul îți cere conformitatea cu standardul
• Articolul 35 din GDPR, pentru că trierea automată a candidaților intră la litera a) din Decizia ANSPDCP nr. 174/2018 (evaluare sistematică bazată pe prelucrare automată, cu efecte semnificative asupra persoanei)
• AI Act, pentru că sistemele AI folosite la recrutare sunt cu risc ridicat (Anexa III, punctul 4 litera a)

Dacă sistemul doar sortează tichete de suport intern, evaluarea rămâne obligatorie pentru ISO 42001, dar e scurtă. Dacă influențează decizii despre oameni (angajare, credit, asigurare), devine documentul pe care auditorul și clientul îl citesc primul.

Ce este evaluarea impactului în ISO 42001?

Standardul separă două analize care se confundă des. Evaluarea riscurilor (6.1.2) întreabă ce poate merge prost pentru organizație și pentru obiectivele sistemului de management. Evaluarea impactului (6.1.4) întreabă ce poate face sistemul AI altora: candidaților respinși, clienților, comunității.

Unde apare în ISO 42001	Ce cere
Clauza 6.1.4	Un proces definit pentru evaluarea consecințelor asupra persoanelor, grupurilor și societății, ținând cont de contextul tehnic, social și de legislația aplicabilă
Clauza 8.4	Efectuarea evaluării conform procesului și păstrarea rezultatelor documentate
A.5.2	Procesul de evaluare a impactului
A.5.3	Documentarea evaluărilor
A.5.4	Impactul asupra persoanelor sau grupurilor de persoane
A.5.5	Impactul asupra societății

Rezultatul trebuie documentat și luat în calcul în evaluarea riscurilor. Standardul permite să îl faci public pentru părțile interesate, dacă organizația decide asta.

Pentru metoda propriu-zisă există ghidul ISO/IEC 42005:2025, publicat pe 27 mai 2025. Explică când faci evaluarea, în ce etape ale ciclului de viață și cum o integrezi în sistemul de management. Nu te certifici pe ISO 42005. Îl folosești ca rețetă pentru cerințele din sistemul de management AI ISO 42001.

Cum faci evaluarea impactului, pas cu pas?

1. Descrii sistemul: ce face, cine îl folosește, ce date primește, ce decizie produce și cine o poate anula.
2. Notezi utilizarea prevăzută și utilizarea greșită previzibilă (de exemplu, clientul folosește scorul de CV ca filtru final, fără om în buclă).
3. Identifici cine e afectat: persoane, grupuri demografice, societate. Pentru triere CV, asta înseamnă candidați după vârstă, sex, naționalitate, persoane cu dizabilități.
4. Evaluezi impactul pozitiv și negativ pentru fiecare grup: discriminare, pierderea unei oportunități de muncă, lipsa unei explicații, expunerea datelor.
5. Stabilești măsurile: supraveghere umană înainte de respingere, teste periodice pe date echilibrate, cale de contestare pentru candidat.
6. Documentezi și programezi reevaluarea: rezultatul trece în registrul de riscuri, iar evaluarea se reia la intervale planificate și la orice schimbare semnificativă.

Documentul final, conform A.5.3, ar trebui să conțină utilizarea prevăzută, utilizarea greșită previzibilă, impacturile identificate, grupurile afectate, complexitatea sistemului, măsurile de reducere și rolul supravegherii umane. Dacă lipsește unul dintre ele, auditorul îl va cere.

Cum se leagă de DPIA din GDPR și de evaluarea din AI Act?

Dacă faci deja evaluarea impactului asupra protecției datelor (DPIA, articolul 35 din GDPR), pornești cu un avantaj. Cele trei evaluări au însă scopuri diferite.

Evaluare	Bază	Cine o face	Ce urmărește
Evaluarea impactului AI	ISO 42001, clauza 6.1.4	Orice organizație care vrea certificarea	Consecințe asupra persoanelor, grupurilor, societății
DPIA	GDPR art. 35, Decizia ANSPDCP 174/2018	Operatorul de date, în cele 7 cazuri din decizie	Riscuri pentru datele personale
Evaluarea impactului asupra drepturilor fundamentale	AI Act art. 27	Instituții publice, firme private care prestează servicii publice, firme care folosesc AI pentru credit sau asigurări de viață și sănătate	Drepturile persoanelor afectate, cu notificarea autorității de supraveghere

Greșeala frecventă: firma copiază DPIA-ul existent și îl numește evaluare de impact AI. DPIA-ul acoperă doar datele personale, nu și efectul unei decizii automate asupra unui grup, așa că auditorul ISO 42001 are motiv să îl considere incomplet. Soluția e să păstrezi DPIA-ul ca anexă și să adaugi secțiunile despre grupuri afectate, utilizare greșită și impact social.

Clientul german din exemplu nu are obligația din articolul 27: un retailer privat care folosește AI la recrutare nu intră în categoriile lui. Tu, ca furnizor al unui sistem cu risc ridicat, ai alte obligații, detaliate în ghidul ISO 42001 și EU AI Act.

Calendarul s-a schimbat în 2026. Regulamentul (UE) 2026/1744, intrat în vigoare pe 27 iulie 2026, a mutat obligațiile pentru sistemele cu risc ridicat din Anexa III de la 2 august 2026 la 2 decembrie 2027. Pentru sistemele AI integrate în produse reglementate (Anexa I), termenul nou este 2 august 2028.

Cât costă evaluarea impactului?

Nu există un preț separat publicat pentru o evaluare de impact AI pe piața din România. De obicei intră în proiectul de implementare ISO 42001, care pornește de la 5.000-15.000 lei + TVA cu consultanță și certificare și ajunge la 15.000-50.000+ lei + TVA pentru implementare completă. Defalcarea pe nivele e în pagina despre cât costă certificarea ISO 42001.

Costul crește cu numărul de sisteme AI evaluate. Un model în producție înseamnă o evaluare, 10 modele înseamnă 10.

Dacă ai deja ISO 27001, refolosești procedurile de risc, auditul intern și controlul documentelor. Evaluarea de impact este însă partea pe care ISO 27001 nu o acoperă deloc, deci aici muncești de la zero. Diferențele complete sunt în comparația ISO 42001 vs ISO 27001.

Ce faci după prima evaluare?

Pui evaluarea în calendarul de reevaluare și legi declanșatorii de procesul de schimbare: model reantrenat, client nou cu alt tip de utilizare, date noi de intrare, o plângere de la o persoană afectată. Fiecare declanșează o reevaluare conform clauzei 8.4.

Apoi verifici dacă ai acoperit și DPIA-ul. Pentru prelucrările din Decizia 174/2018 este obligatoriu, indiferent dacă te certifici sau nu. Detalii despre legătura cu protecția datelor în ghidul GDPR, Legea 190/2018 și ISO 27701.

În România, Guvernul a propus prin memorandum ANCOM ca autoritate de supraveghere a pieței pentru AI Act, dar legea națională cu sancțiunile era încă în lucru în iulie 2026. Pentru ISO 42001 asta nu contează: auditorul verifică evaluarea de impact în etapa a doua a certificării ISO 42001.

Întrebări frecvente

Evaluarea impactului este obligatorie pentru certificarea ISO 42001?

Da. Clauza 6.1.4 și clauza 8.4 sunt cerințe ale standardului, nu recomandări. Controalele A.5 din Anexa A pot fi excluse doar cu justificare scrisă în declarația de aplicabilitate, dar procesul de evaluare din clauze rămâne obligatoriu.

Pot folosi DPIA-ul din GDPR în loc de evaluarea impactului AI?

Nu complet. DPIA-ul acoperă riscurile pentru datele personale, dar nu și consecințele unei decizii automate asupra grupurilor sau societății. Îl poți folosi ca bază și completezi secțiunile lipsă.

Cât de des refac evaluarea impactului?

La intervalele stabilite de tine în proces și ori de câte ori sistemul se schimbă semnificativ: model nou, alt context de utilizare, date noi sau o plângere de la o persoană afectată. Standardul nu impune o frecvență fixă.