Skip to main content

Avaliação de risco de IA (AIRA): o sistema de gestão de riscos do artigo 9.º

Os fornecedores de sistemas de IA de risco elevado têm de aplicar um sistema de gestão de riscos (artigo 9.º). A AIRA é a avaliação guiada da Scanara.

Os fornecedores de sistemas de IA de risco elevado têm de aplicar um sistema de gestão de riscos (artigo 9.º). Este abrange todo o ciclo de vida do sistema. AIRA é o nome que a Scanara dá à sua avaliação guiada desta obrigação; o regulamento não prevê nenhuma «avaliação de risco de IA».

A obrigação aplica-se aos sistemas do anexo III a partir de 2 de dezembro de 2027. As coimas aplicáveis aos fornecedores chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial. Aplica-se o montante mais elevado (artigo 99.º, n.º 4). Passo seguinte: confirme que o seu sistema é de risco elevado nos termos do artigo 6.º e inicie a avaliação.

O artigo 9.º descreve um processo contínuo com quatro passos

O sistema de gestão de riscos é um processo iterativo contínuo, planeado e executado ao longo de todo o ciclo de vida, com revisão e atualização sistemáticas e regulares (artigo 9.º, n.º 2).

  1. 1

    Identificar e analisar os riscos

    Liste os riscos conhecidos e razoavelmente previsíveis para a saúde, a segurança ou os direitos fundamentais quando o sistema é utilizado de acordo com a finalidade prevista (artigo 9.º, n.º 2, alínea a)).

  2. 2

    Estimar e avaliar os riscos

    Inclua os riscos que possam surgir em caso de utilização indevida razoavelmente previsível (artigo 9.º, n.º 2, alínea b)).

  3. 3

    Avaliar os riscos detetados após o lançamento

    Acrescente os riscos que surgem nos dados do acompanhamento pós-comercialização (artigo 9.º, n.º 2, alínea c), artigo 72.º).

  4. 4

    Adotar medidas de risco específicas

    Adote medidas adequadas e específicas contra os riscos identificados no passo 1. O risco residual tem de ser considerado aceitável (artigo 9.º, n.º 2, alínea d), e n.º 5).

As medidas seguem uma ordem definida, e contam os testes e os grupos vulneráveis

  • Reduzir os riscos por uma ordem definida

    Primeiro elimine ou reduza os riscos através da conceção e do desenvolvimento. Depois acrescente medidas de atenuação e controlo. Por fim, dê aos responsáveis pela implantação informações e, se for caso disso, formação. O risco residual tem de ser aceitável (artigo 9(5)).

  • Testar com métricas definidas

    Teste durante o desenvolvimento e antes de colocar o sistema no mercado, com métricas e limiares probabilísticos definidos previamente (artigo 9(6) e (8)). Os ensaios em condições reais são possíveis nos termos do artigo 60.º (artigo 9(7)).

  • Ter em conta crianças e grupos vulneráveis

    Pondere se o sistema é suscetível de ter um impacto negativo em pessoas com menos de 18 anos e, se for caso disso, noutros grupos vulneráveis (artigo 9(9)).

O que faz a avaliação AIRA da Scanara

A AIRA é uma avaliação guiada: responde a perguntas sobre o seu sistema e a Scanara guarda as respostas como provas. O juízo sobre os riscos, e sobre qual o risco residual aceitável, continua a ser seu.

Perguntas guiadas

Um banco de perguntas acompanha-o pelas obrigações de gestão de riscos e cita o artigo em que assenta a maioria das perguntas.

Respostas pré-preenchidas a partir de análises

Se analisou um repositório, a Scanara pré-preenche respostas com base nos resultados da análise. Compete-lhe verificá-las e corrigi-las.

Contributo para a documentação do anexo IV

O anexo IV, ponto 5, exige uma descrição do sistema de gestão de riscos. A Scanara redige a documentação técnica a partir das suas respostas; compete-lhe completá-la e verificá-la.

Abrir a demonstração da Scanara

Leia o pormenor por trás desta avaliação

Perguntas frequentes sobre a avaliação AIRA

«AIRA» é um termo do Regulamento de IA da UE?

Não. O artigo 9.º exige um sistema de gestão de riscos. AIRA é o nome que a Scanara usa para a sua avaliação guiada desse sistema.

Quem é responsável pelo sistema de gestão de riscos?

O fornecedor. Os fornecedores devem assegurar que os seus sistemas de IA de risco elevado cumprem os requisitos da secção 2, incluindo o artigo 9.º (artigo 16, alínea a)). Os responsáveis pela implantação não o gerem, mas devem monitorizar o funcionamento do sistema e informar os fornecedores, se for caso disso (artigo 26(5)).

O artigo 9.º aplica-se a todos os sistemas de IA?

Não. O artigo 9.º aplica-se aos sistemas de IA de risco elevado, que o artigo 6.º define através dos anexos III e I. Aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III e a partir de 2 de agosto de 2028 aos do anexo I (artigo 113.º, alínea c). Para os sistemas de risco elevado relacionados com produtos abrangidos pela legislação do anexo I, secção B, aplicam-se apenas o artigo 6(1), o artigo 60.º-A e os artigos 102.º a 112.º, e os artigos 57.º a 59.º só se aplicam na medida em que os requisitos para os sistemas de IA de risco elevado tenham sido integrados nessa legislação (artigo 2(2)).

O artigo 9.º aplica-se a sistemas que já estão no mercado?

Só após alterações significativas da conceção. Um sistema de risco elevado colocado no mercado ou colocado em serviço antes da data de aplicação do capítulo III só está abrangido se, a partir dessa data, sofrer alterações significativas na sua conceção (artigo 111.º, n.º 2). Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030.

O regulamento exige um método ou uma norma específicos para a gestão de riscos?

Não. O artigo 9.º fixa passos, não um método. As normas harmonizadas publicadas no Jornal Oficial conferem uma presunção de conformidade com os requisitos que abrangem (artigo 40.º).

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.