Regras para uma inteligência artificial de confiança na UE

PONTOS-CHAVE

O que é um sistema de IA?

Um sistema de IA é um sistema baseado em máquinas concebido para funcionar com um certo nível de autonomia que pode:

• adaptar-se após a sua implantação; e
• gerar resultados como previsões, conteúdos, recomendações ou decisões a partir dos dados que recebe (para atingir objetivos explícitos ou implícitos).

Uma abordagem baseada no risco

A legislação segue uma abordagem baseada no risco, o que significa que quanto maior for o risco de causar danos à sociedade, mais rigorosas serão as regras. O regulamento define a utilização da IA nos seguintes domínios como sendo de risco elevado, atendendo ao seu potencial impacto nos direitos fundamentais, na segurança e no bem-estar:

• componentes de segurança de produtos abrangidos pela legislação de harmonização da UE (ou como produtos autónomos) que têm de ser sujeitos a uma avaliação da conformidade por terceiros ao abrigo da mesma legislação de harmonização da UE;
• dados biométricos, quando utilizados para identificação à distância, categorização de indivíduos de acordo com atributos sensíveis (como a raça ou a religião) ou reconhecimento de emoções, exceto quando utilizados para uma simples verificação da identidade;
• infraestruturas críticas, quando a IA é utilizada como componente de segurança em domínios como as infraestruturas digitais, o tráfego, a água, o gás, o aquecimento e a eletricidade;
• educação e formação profissional, incluindo aspetos relacionados com o acesso à educação, a avaliação dos resultados da aprendizagem, a avaliação dos níveis de educação ou o controlo de comportamentos durante os testes;
• emprego, incluindo o recrutamento, a seleção de candidatos, a tomada de decisões sobre as condições de emprego (promoções, rescisões), a atribuição de tarefas ou o acompanhamento do desempenho;
• serviços essenciais — sistemas de IA utilizados pelas autoridades públicas para avaliar a elegibilidade para acesso a serviços de assistência pública (cuidados de saúde, prestações sociais), classificação de créditos, avaliação de riscos de seguros e definição de prioridades para respostas de emergência;
• aplicação da lei — sistemas de IA utilizados para avaliar os riscos de infrações penais, polígrafos, avaliar a fiabilidade dos elementos de prova, prever reincidências ou traçar perfis de indivíduos para efeitos de investigação criminal;
• migração e controlo das fronteiras — sistemas de IA utilizados para avaliar os riscos relacionados com migração, asilo e pedidos de visto, ou para detetar e identificar pessoas em contextos de migração;
• administração da justiça e processos democráticos — sistemas de IA utilizados pelas autoridades judiciais para efeitos de investigação e interpretação jurídica ou sistemas suscetíveis de influenciar os resultados eleitorais.

O regulamento proíbe as seguintes práticas de IA com um nível de risco inaceitável

• Técnicas subliminares ou enganosas para manipular o comportamento de uma pessoa ou de um grupo de pessoas, prejudicando a sua capacidade de tomar decisões informadas e sendo suscetíveis de causar danos.
• Exploração de vulnerabilidades com base na idade, deficiência ou situações socioeconómicas para manipular uma pessoa ou um grupo de pessoas, levando a potenciais danos.
• Classificação social, avaliação ou classificação de pessoas com base em comportamentos ou características, resultando no tratamento injusto não relacionado com o contexto em que os dados foram recolhidos ou no tratamento prejudicial desproporcionado para a gravidade do comportamento.
• Avaliação do risco criminal, prever a probabilidade da prática de um crime apenas com base na definição de perfis ou em traços de personalidade, exceto em investigações criminais objetivas e baseadas em factos.
• Bases de dados de reconhecimento facial através da recolha aleatória de imagens faciais a partir da Internet ou de imagens de câmaras de segurança.
• Inferência de emoções em áreas sensíveis, como locais de trabalho ou instituições de ensino, exceto se utilizada para fins médicos ou de segurança.
• Categorização biométrica baseada em dados para inferir atributos sensíveis como a raça, a religião ou as opiniões políticas, exceto para utilização legal no âmbito da aplicação da lei.
• Identificação biométrica em tempo real em espaços acessíveis ao público pelas autoridades policiais, exceto se estritamente necessária para situações específicas (por exemplo, busca por pessoas desaparecidas, prevenção de ameaças iminentes ou identificação de suspeitos de crimes graves). Tal deve obedecer a procedimentos legais rigorosos, incluindo autorização prévia, um âmbito de aplicação limitado e salvaguardas para a proteção dos direitos e liberdades.

O regulamento introduz obrigações de divulgação nos casos em que possa existir um risco decorrente da falta de transparência na utilização da IA:

• A IA concebida para se fazer passar por humanos (por exemplo, um robô de conversação) tem de informar o humano com quem está a interagir;
• o resultado da IA generativa tem de ser marcado como IA gerada de uma forma legível por máquina;
• em certos casos, os resultados da IA generativa têm de ser rotulados de forma visível, nomeadamente as falsificações profundas e os textos destinados a informar o público sobre questões de interesse público.

Todos os outros sistemas de IA são considerados como apresentando um risco limitado, pelo que o regulamento não introduz quaisquer outras regras.

Utilização fiável de grandes modelos de IA

• Os modelos de IA de finalidade geral são modelos de IA treinados com grandes quantidades de dados e que podem executar uma vasta gama de tarefas. Podem ser componentes de sistemas de IA.
• O regulamento introduz obrigações de transparência para os prestadores desses modelos de IA de finalidade geral, nomeadamente a documentação técnica, a prestação de informações aos criadores de sistemas de IA a jusante e a divulgação dos dados utilizados para o treino do modelo.
• Os modelos de IA de finalidade geral mais potentes podem apresentar riscos sistémicos. Se um modelo atingir um determinado limiar de capacidade, o prestador desse modelo deve cumprir obrigações adicionais em matéria de gestão dos riscos e de cibersegurança.

Governação

• O regulamento cria vários órgãos de governação que estarão operacionais a partir de 2 de agosto de 2025:
  • autoridades nacionais competentes para supervisionar e fazer cumprir as regras aplicáveis aos sistemas de IA;
  • um Serviço para a IA no âmbito da Comissão Europeia, que coordenará a aplicação coerente das regras comuns em toda a UE e atuará como regulador dos modelos de IA de finalidade geral.
• Os Estados-Membros da UE e o Serviço para a IA cooperarão estreitamente num Comité para a IA, composto por representantes dos Estados-Membros, a fim de assegurar a aplicação coerente e eficaz do regulamento.
• O regulamento cria dois órgãos consultivos para o Serviço para a IA e o Comité para a IA:
  • um painel científico de peritos independentes para prestar aconselhamento científico;
  • um fórum consultivo para as partes interessadas, que disponibilizará conhecimentos técnicos especializados ao Comité para a IA e à Comissão.

Sanções

O montante das coimas aplicáveis às infrações é fixado em percentagem do volume de negócios anual da empresa infratora ou num montante pré-determinado, consoante o que for mais elevado. As pequenas e médias empresas e as empresas em fase de arranque estão sujeitas a coimas administrativas proporcionais.

Transparência e proteção dos direitos fundamentais

O desenvolvimento e a utilização de sistemas de IA de risco elevado estão sujeitos a uma maior transparência:

• antes de um sistema de IA de risco elevado ser implantado por entidades que prestam serviços públicos, deve ser realizada uma avaliação do seu impacto nos direitos fundamentais;
• os sistemas de IA de risco elevado e as entidades que os utilizam devem estar registados numa base de dados da UE.

Inovação

O regulamento prevê um quadro jurídico favorável à inovação e tem como objetivo promover a aprendizagem regulamentar baseada em dados concretos. Prevê ambientes de testagem da regulamentação da IA, permitindo um ambiente controlado no qual os sistemas inovadores de IA podem ser desenvolvidos, testados e validados, nomeadamente em condições reais. Além disso, o regulamento permite a testagem em condições reais de sistemas de IA de risco elevado em determinadas condições.

Avaliação e revisão

A Comissão avalia anualmente a necessidade de alterar a lista de utilizações de risco elevado da IA e a lista de práticas proibidas. Até 2 de agosto de 2028 e, posteriormente, de quatro em quatro anos, a Comissão avaliará e apresentará um relatório sobre os seguintes aspetos:

• aditamento ou alargamento da lista de categorias de risco elevado;
• alterações da lista de sistemas de IA que exigem medidas de transparência adicionais;
• alterações destinadas a melhorar a supervisão e a governação.