Skip to main content

Obrigações dos responsáveis pela implantação de sistemas de IA de risco elevado: artigo 26.º

O que os responsáveis pela implantação de sistemas de IA de risco elevado têm de fazer nos termos do artigo 26.º e como a Scanara estrutura o trabalho.

Os responsáveis pela implantação de sistemas de IA de risco elevado têm obrigações próprias (artigo 26). Têm de seguir as instruções de utilização, confiar a supervisão humana, monitorizar o funcionamento e conservar os registos.

As obrigações aplicam-se a partir de 2 de dezembro de 2027 (sistemas do anexo III) ou de 2 de agosto de 2028 (sistemas do anexo I). As coimas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial. Aplica-se o montante mais elevado (artigo 99.º, n.º 4). Passo seguinte: obtenha as instruções de utilização junto de cada fornecedor.

O artigo 26.º estabelece obrigações para os responsáveis pela implantação

O n.º 3 acrescenta que estas obrigações não prejudicam outras obrigações dos responsáveis pela implantação ao abrigo do direito da União ou nacional (artigo 26.º, n.º 3).

  • Utilizar o sistema como indicado

    Tome medidas técnicas e organizativas adequadas para utilizar o sistema de acordo com as suas instruções de utilização (artigo 26(1)).

  • Confiar a supervisão humana

    Confie a supervisão humana a pessoas singulares com a competência, a formação e a autoridade necessárias e dê-lhes o apoio de que precisam (artigo 26(2)).

  • Verificar os dados de entrada

    Se controlar os dados de entrada, assegure-se de que são pertinentes e suficientemente representativos tendo em conta a finalidade prevista do sistema (artigo 26(4)).

  • Monitorizar o funcionamento e comunicar riscos

    Monitorize o funcionamento com base nas instruções de utilização. Se tiver motivos para considerar que a utilização pode apresentar um risco (artigo 79(1)), suspenda a utilização e informe sem demora injustificada o fornecedor ou distribuidor e a autoridade de fiscalização do mercado. Após um incidente grave, informe imediatamente primeiro o fornecedor e depois o importador ou distribuidor e as autoridades de fiscalização do mercado. Se não conseguir contactar o fornecedor, aplica-se o artigo 73 (artigo 26(5)). Esta obrigação não abrange os dados operacionais sensíveis dos responsáveis pela implantação que sejam autoridades responsáveis pela aplicação da lei. As instituições financeiras sujeitas a regras de governação interna ao abrigo do direito da União em matéria de serviços financeiros cumprem a obrigação de monitorização respeitando essas regras.

  • Conservar os registos

    Conserve os registos que o sistema gera automaticamente, na medida em que estejam sob o seu controlo, durante um período adequado à finalidade prevista e de pelo menos seis meses, salvo disposição em contrário do direito da União ou nacional (artigo 26(6)). As instituições financeiras conservam-nos como parte da documentação exigida pelo direito dos serviços financeiros.

  • Informar os trabalhadores

    Os empregadores devem informar os representantes dos trabalhadores e os trabalhadores afetados antes de colocarem em serviço ou utilizarem um sistema de risco elevado no local de trabalho (artigo 26(7)).

  • Registar a utilização (autoridades públicas)

    As autoridades públicas e as instituições da União devem cumprir as obrigações de registo do artigo 49. Se um sistema que pretendem utilizar não estiver registado na base de dados da UE, não o devem utilizar e devem informar o fornecedor ou o distribuidor (artigo 26(8)).

  • Usar as informações do fornecedor para a avaliação de impacto sobre a proteção de dados

    Se aplicável, use as informações que o fornecedor presta ao abrigo do artigo 13 para realizar a sua avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º do Regulamento (UE) 2016/679 ou do artigo 27.º da Diretiva (UE) 2016/680 (artigo 26(9)).

  • Pedir autorização para a identificação biométrica à distância em diferido

    Na pesquisa seletiva de uma pessoa suspeita ou condenada por uma infração penal, peça a autorização de uma autoridade judiciária ou de uma autoridade administrativa cuja decisão seja vinculativa antes de utilizar um sistema de identificação biométrica à distância em diferido, ou no prazo máximo de 48 horas. A exceção é a identificação inicial de um potencial suspeito com base em factos objetivos e verificáveis. A utilização não seletiva não é permitida, cada utilização é documentada no processo policial e são enviados relatórios anuais às autoridades (artigo 26(10)).

  • Informar as pessoas afetadas

    Os responsáveis pela implantação de sistemas do anexo III que tomam decisões sobre pessoas singulares, ou ajudam a tomá-las, devem informar essas pessoas de que estão sujeitas à utilização do sistema. Para fins de aplicação da lei, aplica-se o artigo 13.º da Diretiva (UE) 2016/680 (artigo 26(11)).

  • Cooperar com as autoridades

    Coopere com as autoridades competentes em qualquer ação que estas tomem em relação ao sistema para aplicar o regulamento (artigo 26(12)).

O papel depende da utilização: alguns responsáveis pela implantação passam a ser fornecedores

É responsável pela implantação se utilizar um sistema de IA sob a sua autoridade, independentemente de quem o construiu (artigo 3, ponto 4). Uma empresa que constrói um sistema e o utiliza ela própria é simultaneamente fornecedor e responsável pela implantação, porque a colocação em serviço inclui a utilização para uso próprio (artigo 3, ponto 11).

Um responsável pela implantação passa a ser o fornecedor, com as obrigações do artigo 16, em três casos (artigo 25(1)). Coloca o seu nome ou marca num sistema de risco elevado. Faz uma modificação substancial que mantém o sistema como de risco elevado. Ou altera a finalidade prevista de um sistema de modo a que passe a ser de risco elevado. O fornecedor inicial não tem de cooperar com o novo fornecedor se tiver especificado claramente que o seu sistema de IA não deve ser transformado num sistema de IA de risco elevado (artigo 25(2)).

Datas e limites do artigo 26.º

  • Datas de aplicação

    O artigo 26 aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III e a partir de 2 de agosto de 2028 aos do anexo I (artigo 113). Um sistema de risco elevado colocado no mercado antes da sua data de aplicação só fica abrangido se a sua conceção for alterada de forma significativa depois dessa data (artigo 111(2)). Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).

  • Onde o artigo 26 não se aplica

    O artigo 26 não se aplica aos sistemas relacionados com produtos da secção B do anexo I (artigo 2(2)), às pessoas singulares que utilizam sistemas de IA no âmbito de uma atividade puramente pessoal de caráter não profissional (artigo 2(10)) nem aos sistemas de IA utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2(3)). Para os produtos da secção B do anexo I, os artigos 57, 58 e 59 só se aplicam na medida em que os requisitos para os sistemas de IA de risco elevado tenham sido integrados nessa legislação de harmonização da União.

  • Os artigos 26 e 27 são obrigações distintas

    O artigo 26 aplica-se a todos os responsáveis pela implantação de um sistema de IA de risco elevado. O artigo 27 acrescenta uma avaliação de impacto sobre os direitos fundamentais apenas para alguns: organismos de direito público, entidades privadas que prestam serviços públicos e responsáveis por sistemas de avaliação de crédito ou de seguros de vida e de saúde. O próprio artigo 26 não contém essa avaliação.

O que faz a avaliação de responsável pela implantação da Scanara

A Scanara não decide o que se aplica ao utilizador nem cumpre as obrigações. Estrutura o trabalho e regista provas.

Avaliação guiada para responsáveis pela implantação

As perguntas seguem as obrigações do artigo 26.º, como as instruções de utilização, a supervisão humana, os dados de entrada, a monitorização, os registos e a informação a trabalhadores e a pessoas afetadas.

Provas de conservação de registos

A Scanara regista provas da conservação dos seus registos (artigo 26.º, n.º 6). A conservação dos registos é feita por si.

Ligações à FRIA e à DPIA

Quando o artigo 27.º se aplica, uma avaliação FRIA própria estrutura esse trabalho. Uma avaliação DPIA abrange o artigo 35.º do RGPD quando trata dados pessoais.

Abrir a demonstração da Scanara

O pormenor de cada obrigação

Perguntas frequentes sobre as obrigações do responsável pela implantação

O artigo 26 aplica-se a sistemas de IA usados apenas dentro da minha empresa?

Sim. O responsável pela implantação define-se pela utilização de um sistema sob a sua autoridade, e não por quem o construiu (artigo 3, ponto 4). Uma empresa que constrói um sistema de risco elevado e o utiliza ela própria é simultaneamente fornecedor e responsável pela implantação, pelo que se aplicam os artigos 16 e 26. O desenvolvimento e os testes antes da colocação do sistema no mercado ou em serviço estão fora do regulamento (artigo 2(8)), exceto os testes em condições reais.

O que deve fazer um responsável pela implantação após um incidente grave?

O responsável pela implantação que identifique um incidente grave deve informar imediatamente primeiro o fornecedor e depois o importador ou distribuidor e as autoridades de fiscalização do mercado (artigo 26(5)). Um incidente grave é um incidente ou anomalia que conduz, direta ou indiretamente, à morte ou a danos graves para a saúde, a uma perturbação grave e irreversível de infraestruturas críticas, à violação de obrigações do direito da União que protegem os direitos fundamentais, ou a danos graves a bens ou ao ambiente (artigo 3, ponto 49). A suspensão da utilização é exigida quando existam motivos para considerar que a utilização apresenta um risco na aceção do artigo 79(1).

As PME beneficiam de alívio nas obrigações do responsável pela implantação?

Não. O artigo 26 não prevê isenção em função da dimensão. As PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização ficam sujeitas a coima até ao mais baixo dos dois montantes (artigo 99(6) e (6-A)). As instituições financeiras que cumprem as regras da União em matéria de governação interna conservam os registos como parte da documentação que mantêm ao abrigo do direito dos serviços financeiros (artigo 26(6)).

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.