George Zlati a publicat un articol referitor la Inteligența artificială și criminalitatea informatică

Revista ERA Forum (Springer) a publicat, pe 22 septembrie 2026, articolul „Cybercrime 3.0: the rise of artificial intelligence crime”, semnat de George Zlati (Facultatea de Drept și Științe Sociale a Universității „1 Decembrie 1918” din Alba Iulia). Articolul apare în regim open access și poate fi citit aici (DOI 10.1007/s12027-026-00897-5).

Discuția despre inteligența artificială în justiția penală s-a purtat până acum mai ales în jurul folosirii ei de către autorități (poliție predictivă, evaluarea riscului) și al răspunderii pentru sistemele autonome. Mult mai puțin analizat a rămas faptul că inteligența artificială a intrat deja în modus operandi al făptuitorilor.

Ce este Cybercrime 3.0?

Cybercrime 3.0 este conceptul prin care descriem etapa actuală din relația dintre inteligența artificială și criminalitatea informatică: IA este absorbită în modul de operare al făptuitorilor, care o folosesc pentru a automatiza fraude, a produce deepfake-uri, a genera cod malițios sau a ataca chiar sistemele de IA. Etapa urmează după Cybercrime 1.0 și Cybercrime 2.0.

Criteriul de delimitare contează. În opinia noastră, evoluția criminalității informatice nu se măsoară după momentul în care apare o tehnologie, ci după momentul în care aceasta produce macro-tendințe în modul de operare al făptuitorilor. Criptarea este exemplul cel mai clar. A fost folosită multă vreme în practici anti-supraveghere și anti-forensic, dar a devenit relevantă pentru evoluția criminalității informatice abia când ransomware-ul s-a transformat într-o problemă globală, mai ales prin modelele de ransomware-as-a-service (RaaS). Același raționament îl aplicăm tehnologiei blockchain și inteligenței artificiale.

1. De la Cybercrime 1.0 la Cybercrime 3.0

Cele trei etape se disting după tendința dominantă în modul de operare, nu după o dată fixă din calendar.

Cybercrime 1.0 este etapa în care criminalitatea informatică devine fenomen de masă (malware, fraude online, skimming, phishing), iar legiuitorii răspund prin armonizarea dreptului penal substanțial. Reperele sunt Convenția de la Budapesta privind criminalitatea informatică și, la nivelul Uniunii Europene, deciziile-cadru înlocuite ulterior de directive.

Cybercrime 2.0 începe când criptoactivele devin mainstream și ajung obiect sau produs al infracțiunii. Phishingul pentru datele cardului lasă locul phishingului pentru seed phrase-ul portofelelor digitale, iar clonarea cardurilor e înlocuită de clonarea portofelelor. Metaversul a ridicat și el întrebări noi, care nu au apucat să se consolideze, fiindcă entuziasmul a fost de scurtă durată.

Cybercrime 3.0 este etapa în care ne aflăm deja. Inteligența artificială coboară și mai mult bariera tehnică de intrare. Europol a arătat că modelele lingvistice mari permit derularea phishingului și a fraudelor online la scară mai mare, mai rapid și cu costuri minime. Făptuitorul fără pregătire tehnică poate acum cerceta, planifica și executa atacuri informatice avansate sau scheme complexe de fraudă folosind prompturi în limbaj natural ori boți de IA.

2. Inteligența artificială ca infrastructură, instrument și țintă

Taxonomia pe care o propunem în articol împarte rolurile inteligenței artificiale în criminalitatea informatică în trei categorii.

a) IA ca infrastructură

IA ca infrastructură desemnează ecosistemul pe care se sprijină făptuitorii: IA adversarială, folosită împotriva sistemelor de apărare bazate tot pe IA, fermele de boți care înlocuiesc conturile false gestionate de oameni, sistemele autonome de hacking care învață din tentativele eșuate și identitățile sintetice, cu fotografii de profil false și documente de identitate generate cu IA.

b) IA ca instrument

Ca instrument, inteligența artificială servește atât criminalității cyber-enabled, cât și celei cyber-dependent, în cinci ipostaze principale.

1. Phishingul personalizat. Un studiu experimental citat în articol arată că e-mailurile de phishing scrise împreună de om și de IA sunt cel mai greu de detectat. Combinat cu OSINT, rezultatul este un bot care cercetează victima și își adaptează mesajul după profilul ei.
2. Deepfake-ul, folosit pentru furt de identitate, materiale cu abuzuri sexuale asupra copiilor, pornografie de răzbunare virtuală, ocolirea autentificării biometrice și a procedurilor KYC (cu riscul ca victima să devină, fără să știe, un „digital mule” al făptuitorului) și fabricarea de probe.
3. Frauda prin boți și prin IA agentică. Un agent de IA are mai multă autonomie decât un bot obișnuit și execută sarcini fără intervenție umană, deci poate automatiza o parte, poate chiar întregul ciclu al unui atac de inginerie socială.
4. Crearea de malware care se adaptează mediului și ocolește detecția bazată pe semnături.
5. Vânzarea de conținut ilicit prin boți. Chiar dacă făptuitorul este arestat preventiv, botul său poate continua să vândă materiale cu abuzuri sexuale asupra copiilor sau credențiale și să încaseze criptomonede. Același bot poate spăla produsul infracțiunii fără intervenție umană, ceea ce complică sechestrul și confiscarea.

c) IA ca țintă

Sistemele de IA sunt și ele ținta atacurilor. Când atacul vizează infrastructura (mediul de antrenare, seturile de date, lanțul de distribuție al bibliotecilor), funcționează încadrările clasice din Convenția de la Budapesta, de la afectarea integrității datelor (art. 4) la afectarea integrității sistemului (art. 5) și frauda informatică (art. 8). Când vizează modelul însuși, vorbim de prompt injection, otrăvirea datelor de antrenare, atacuri de evaziune și atacuri de extragere sau de inferență.

3. Raportul cu dreptul penal substanțial

Articolul este descriptiv în privința modului de operare, dar semnalează câteva puncte în care dreptul penal existent acoperă greu noile conduite. Pozițiile pe care le susținem sunt următoarele.

1. Boții de IA și actele preparatorii. Un bot de IA este un program informatic, deci intră sub incidența art. 6 din Convenția de la Budapesta (abuzurile asupra dispozitivelor). Problema este că art. 6 nu se aplică infracțiunilor cyber-enabled, precum înșelăciunea clasică. Considerăm că merită deschisă, de lege ferenda, dezbaterea privind incriminarea producerii, vânzării, procurării pentru utilizare și deținerii de boți de IA cu intenție frauduloasă, deși sunt acte preparatorii.

2. Deepfake-ul pentru furt de identitate. Apreciem că deepfake-ul prin care făptuitorul preia identitatea victimei se încadrează în falsul informatic (falsificarea informatică din art. 7 al Convenției de la Budapesta, respectiv art. 325 Cod penal), fără a fi nevoie de o incriminare specifică. Înalta Curte a stabilit deja, în Decizia nr. 4/2021 pronunțată în procedura hotărârii prealabile, publicată în Monitorul Oficial nr. 171 din 19 februarie 2021, că:

Fapta de a deschide și utiliza un cont pe o rețea de socializare deschisă publicului, folosind ca nume de utilizator numele unei alte persoane și introducând date personale reale care permit identificarea acesteia, întrunește două dintre cerințele esențiale ale infracțiunii de fals informatic prevăzute în art. 325 din Codul penal

Incriminarea deepfake-ului ca atare ne-ar duce însă pe o pantă alunecoasă, mai ales în ipotezele în care nu există niciun furt de identitate.

3. Pornografia de răzbunare virtuală. Art. 226 alin. (2¹) Cod penal incriminează divulgarea, fără consimțământ, a unei imagini intime, iar alin. (2²) definește imaginea intimă drept „orice reproducere, indiferent de suport, a imaginii unei persoane nude”, în condițiile arătate de text (detalii în analiza noastră despre violarea vieții private). Argumentele privind incriminarea pornografiei infantile virtuale nu se transpun direct la adulți, dar protecția moralității publice și a vieții private poate fi invocată și în cazul pornografiei de răzbunare virtuale. La minori, definiția din art. 374 alin. (4) Cod penal acoperă deja și materialul care, „deși nu prezintă o persoană reală, simulează, în mod credibil, un minor” având un comportament sexual explicit.

4. Deepfake-ul pentru fabricarea de probe. Prin caller-ID spoofing și clonarea vocii, făptuitorul poate fabrica o înregistrare audio care să „dovedească” o faptă de corupție. O asemenea conduită poate constitui fals informatic sau, în funcție de jurisdicție, o infracțiune contra înfăptuirii justiției. Criminalistica digitală trebuie să țină pasul cu tehnologia deepfake.

5. Prompt injection nu înseamnă automat acces ilegal. În literatură s-a susținut că prompt injection ar reprezenta un acces fără drept, prin depășirea limitelor autorizării. Avem rezerve față de această teză, deoarece introducerea de date într-un model constituie mai degrabă un transfer de date decât un acces la sistem.

4. Noțiunea de infracțiuni săvârșite prin sisteme informatice în Codul de procedură penală

Lipsa unei definiții a criminalității informatice are consecințe procedurale directe. Art. 139 alin. (2) Cod de procedură penală permite supravegherea tehnică, între altele, „în cazul infracțiunilor care se săvârșesc prin sisteme informatice sau mijloace de comunicare electronică”. Formularea poate cuprinde atât infracțiunile cyber-enabled (frauda online, hărțuirea, grooming-ul), cât și pe cele cyber-dependent (accesul ilegal la un sistem informatic). Or, fiind vorba de măsuri intruzive, o asemenea formulare ridică serioase probleme de previzibilitate și de proporționalitate.

Automatizarea face granița și mai neclară. Manipularea unei case self-checkout prin schimbarea codurilor de bare și prezentarea la scanare, în fața comerciantului, a unor coduri de bare contrafăcute sau înlocuite presupun, în ambele cazuri, introducerea de date false într-un sistem informatic, cu efect asupra prețului. Totuși, după clasificările uzuale, prima faptă ar fi cyber-dependent, iar a doua cyber-enabled. Pentru o privire de ansamblu asupra textelor de incriminare, vezi și inventarul infracțiunilor informatice din România.

5. AI Act și Convenția ONU: ce rămâne neacoperit

Legislația nu va reuși niciodată să țină pasul cu dezvoltarea tehnologică. Regulamentul (UE) 2024/1689 privind inteligența artificială (AI Act) se concentrează pe siguranța produselor și pe protecția drepturilor fundamentale, lăsând implicațiile de drept penal în mare parte neacoperite. Convenția ONU împotriva criminalității informatice, adoptată de Adunarea Generală la 24 decembrie 2024, nu tratează rolul inteligenței artificiale în criminalitatea informatică. Din acest motiv o descriem, în articol, drept un „old (bad) wine”, încă înainte de intrarea ei în vigoare.

Întrebări frecvente

Concluzie

Pe scurt: inteligența artificială a intrat deja în modul de operare al făptuitorilor, ca infrastructură, ca instrument și ca țintă, iar dreptul penal substanțial trebuie să se adapteze unor amenințări pe care nici AI Act, nici Convenția ONU nu le tratează.

Temele se leagă de intervențiile de la seminarul ERA-INM despre inteligența artificială și dreptul penal (2025) și de la seminarul ERA Foresight in Criminal Justice (2026).

Versiunea academică completă: Cybercrime 3.0: the rise of artificial intelligence crime, ERA Forum, 2026.

Acest material are un scop pur informativ și educațional, conținutul acestuia neputând fi asimilat unei forme de consultanță juridică în materie penală. Pentru a înțelege cu exactitate ce drepturi sau obligații ai într-o anumită procedură, este important să consulți un avocat specializat.