Sistemas de IA e modelos de IA de propósito geral

• Regulation (EU) 2024/1689 — Artificial Intelligence Act, Articles 22 and 54
• Regulation (EU) 2019/1020 — market surveillance

Quem tem de designar

Fornecedores estabelecidos fora da União que colocam sistemas de IA de alto risco no mercado da UE ou os colocam em serviço lá devem nomear um representante autorizado na União por mandato escrito antes de fazê-lo. O mesmo se aplica, nos termos do Artigo 54, aos fornecedores de modelos de IA de propósito geral colocados no mercado da União. Os implementadores estabelecidos na União têm seus próprios deveres, mais leves. Um implementador torna-se um fornecedor — com todas as obrigações — se colocar seu nome em um sistema de alto risco, modificá-lo substancialmente ou mudar seu propósito pretendido de modo que se torne de alto risco.

Limiares e isenções

As práticas proibidas no Artigo 5 se aplicam a todos, sem limite. A obrigação de representação se aplica a sistemas de alto risco, que são aqueles que se enquadram na legislação de produtos do Anexo I ou listados no Anexo III: biometria, infraestrutura crítica, educação, emprego e gestão de trabalhadores, acesso a serviços essenciais, incluindo avaliação de crédito, aplicação da lei, migração e controle de fronteiras, e administração da justiça. Modelos de propósito geral têm seu próprio regime, com obrigações adicionais para modelos que apresentam risco sistêmico acima do limite de computação.

O que deve constar do rótulo

Não é um rótulo físico para a maioria dos sistemas. O nome do fornecedor, nome comercial ou marca registrada e endereço, e os do representante autorizado, devem aparecer no sistema, sua embalagem ou documentação acompanhante, e nas instruções de uso. Sistemas de alto risco que são produtos sob o Anexo I possuem marcação CE. Sistemas que interagem com pessoas devem divulgar que são IA, e conteúdo sintético deve ser marcado em um formato legível por máquina.

Campos nos marketplaces

Ainda não há campo de mercado, mas questionários de aquisição da UE já perguntam quem é o representante do Artigo 22, se o sistema é classificado como de alto risco e como as obrigações de transparência são atendidas. Compradores empresariais exigem cada vez mais isso antes de contratar, antes do prazo de agosto de 2026.

Documentação a conservar

Documentação técnica sob o Anexo IV, mantida por dez anos. Um sistema de gestão de riscos que funcione ao longo do ciclo de vida. Documentação de governança de dados cobrindo conjuntos de dados de treinamento, validação e teste. Registros gerados automaticamente. Instruções de uso que permitem aos implementadores cumprir suas próprias obrigações. Um sistema de gestão da qualidade. A declaração de conformidade da UE e registro na base de dados da UE para sistemas do Anexo III. Para modelos de propósito geral, documentação técnica para o Escritório de IA e para fornecedores downstream, uma política de direitos autorais e um resumo público suficientemente detalhado do conteúdo de treinamento.

Normas e ensaios

Avaliação de conformidade baseada em controle interno para a maioria dos sistemas do Anexo III, ou através de um organismo notificado para sistemas biométricos onde normas harmonizadas não são aplicadas. Sistemas incorporados em produtos do Anexo I seguem a rota de avaliação desse produto. Precisão, robustez e cibersegurança devem ser testadas e os níveis declarados. A monitorização pós-mercado continua após a colocação no mercado.

Requisitos linguísticos

Instruções de uso em uma língua facilmente compreendida pelos implementadores no estado membro em questão, conforme determinado por esse estado. Divulgações de transparência para indivíduos na língua que eles razoavelmente entenderiam.

A partir de quando

Proibições e obrigações de literacia em IA desde 2 de fevereiro de 2025. Obrigações de modelos de propósito geral desde 2 de agosto de 2025, com modelos já no mercado antes dessa data tendo até agosto de 2027. Obrigações de alto risco sob o Anexo III a partir de 2 de agosto de 2026. Sistemas de alto risco incorporados em produtos regulados do Anexo I a partir de 2 de agosto de 2027.

Prazo de conservação

Documentação técnica, a declaração de conformidade e a documentação de gestão da qualidade por dez anos após o sistema ser colocado no mercado. Registros por pelo menos seis meses, a menos que outra lei exija um período mais longo. O representante autorizado mantém uma cópia do mandato e da documentação pelo mesmo período de dez anos e deve apresentá-la mediante solicitação.

Em caso de incumprimento

Até €35 milhões ou 7% do faturamento anual total mundial para práticas proibidas. Até €15 milhões ou 3% por violações da maioria das outras obrigações, incluindo as dos fornecedores e representantes autorizados. Até €7,5 milhões ou 1% por fornecer informações incorretas, incompletas ou enganosas. Autoridades de vigilância de mercado também podem exigir a retirada ou recall de um sistema.

Quem fiscaliza

Autoridades nacionais de vigilância de mercado designadas por cada estado membro, o Escritório de IA para modelos de propósito geral, o Conselho Europeu de Inteligência Artificial e organismos notificados onde a avaliação de terceiros se aplica.

Onde está a fronteira

A maioria dos softwares empresariais não é de alto risco, e a classificação depende do uso em vez da tecnologia: o mesmo modelo pode ser de baixo risco em uma implementação e de alto risco do Anexo III em outra. Um chatbot tem apenas deveres de transparência. Mas uma IA usada para triagem de candidatos a emprego, avaliação de solvência ou alocação de acesso a serviços públicos é de alto risco, independentemente de quão simples o modelo seja. O representante autorizado pode rescindir o mandato se acreditar que o fornecedor está agindo em desacordo com o Regulamento e deve então informar a autoridade — um dever sem equivalente no Artigo 27 do GDPR.

Perguntas frequentes

Usamos IA, mas não a construímos — somos um fornecedor?

Normalmente você é um implementador, com deveres mais leves. Você se torna um fornecedor se colocar seu nome em um sistema de alto risco, modificá-lo substancialmente ou mudar seu propósito pretendido de modo que se torne de alto risco.

A Lei de IA se aplica a um modelo que hospedamos fora da UE?

Sim, se a saída for usada na União, ou se o sistema ou modelo for colocado no mercado da União. A localização física dos servidores não é o critério.

Um representante do Artigo 27 do GDPR é suficiente?

Não. Eles são nomeações separadas sob regulamentos separados, com deveres e documentação diferentes, mesmo onde um fornecedor detém ambos.