Skip to main content

Avaliação de impacto sobre os direitos fundamentais (FRIA) nos termos do artigo 27.º

Que responsáveis pela implantação têm de realizar uma FRIA antes da primeira utilização, o que abrange e a relação com a AIPD do RGPD.

Alguns responsáveis pela implantação de sistemas de IA de risco elevado têm de avaliar o impacto sobre os direitos fundamentais (artigo 27.º). Têm de o fazer antes da primeira utilização. Estão abrangidos os organismos de direito público e as entidades privadas que prestam serviços públicos. Estão também abrangidos os responsáveis pela implantação de sistemas de avaliação de crédito. O mesmo vale para os seguros de vida e de saúde (anexo III, ponto 5, alíneas b) e c)). Os sistemas do anexo III, ponto 2, estão excluídos.

A obrigação aplica-se a partir de 2 de dezembro de 2027. O responsável pela implantação notifica depois os resultados à autoridade de fiscalização do mercado. O artigo 99.º, n.º 4, não inclui o artigo 27.º, pelo que as sanções seguem as regras nacionais (artigo 99.º, n.º 1). Passo seguinte: verifique se o artigo 27.º o abrange e inicie a avaliação.

Três grupos de responsáveis pela implantação têm de realizar uma FRIA

O artigo 27 abrange os sistemas de risco elevado referidos no artigo 6(2), ou seja, a via do anexo III, exceto o anexo III, ponto 2 (infraestruturas críticas). Não abrange os sistemas do anexo I. Três grupos de responsáveis pela implantação têm de realizar a avaliação.

  • Organismos de direito público

    Os responsáveis pela implantação que são organismos de direito público têm de realizar uma FRIA para cada sistema de risco elevado do anexo III que implantem, exceto o ponto 2.

  • Entidades privadas que prestam serviços públicos

    As entidades privadas que prestam serviços públicos têm de realizar uma FRIA para os mesmos sistemas.

  • Responsáveis por sistemas de crédito e de seguros

    Qualquer responsável pela implantação de um sistema que avalie a solvabilidade de pessoas singulares ou estabeleça a sua pontuação de crédito (anexo III, ponto 5, alínea b), ou que seja utilizado na avaliação de riscos e na fixação de preços nos seguros de vida e de saúde (alínea c), tem de realizar uma FRIA. Os sistemas utilizados apenas para detetar fraudes financeiras não estão abrangidos pela alínea b.

A FRIA abrange seis elementos e depois notifica-se a autoridade

  1. 1

    1. Os seus processos

    Descreva os processos em que utilizará o sistema, de acordo com a sua finalidade prevista (artigo 27(1), alínea a).

  2. 2

    2. Período e frequência de utilização

    Descreva o período de tempo e a frequência com que se pretende utilizar cada sistema (alínea b).

  3. 3

    3. Pessoas afetadas

    Identifique as categorias de pessoas singulares e os grupos suscetíveis de serem afetados pela utilização no contexto específico (alínea c).

  4. 4

    4. Riscos de danos específicos

    Identifique os riscos de danos específicos para essas categorias, tendo em conta as informações prestadas pelo fornecedor nos termos do artigo 13 (alínea d).

  5. 5

    5. Supervisão humana

    Descreva como é aplicada a supervisão humana, de acordo com as instruções de utilização (alínea e).

  6. 6

    6. Medidas caso os riscos se concretizem

    Defina as medidas a tomar se os riscos se concretizarem, incluindo as disposições de governação interna e os mecanismos de reclamação (alínea f).

  7. 7

    7. Notificar a autoridade

    Notifique os resultados à autoridade de fiscalização do mercado e apresente o modelo preenchido (artigo 27(3)). No caso referido no artigo 46(1), os responsáveis pela implantação podem ficar isentos desta notificação.

A FRIA pode ser reutilizada, atualizada e ligada a uma DPIA

  • Reutilização e atualizações

    A obrigação aplica-se à primeira utilização do sistema. Em casos semelhantes, o responsável pela implantação pode basear-se em FRIA realizadas anteriormente ou em avaliações de impacto existentes elaboradas pelo fornecedor. Se, durante a utilização, algum elemento se alterar ou deixar de estar atualizado, o responsável tem de tomar as medidas necessárias para o atualizar (artigo 27(2)).

  • Ligação à avaliação de impacto sobre a proteção de dados

    Se uma obrigação do artigo 27 já for cumprida através de uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º do Regulamento (UE) 2016/679 ou do artigo 27.º da Diretiva (UE) 2016/680, a FRIA pode remeter para essa avaliação ou incluir partes pertinentes da mesma (artigo 27(4), na redação do Regulamento (UE) 2026/1744). O Serviço para a IA elabora um modelo de questionário, nomeadamente sob a forma de ferramenta automatizada, para ajudar os responsáveis pela implantação a cumprir (artigo 27(5)).

  • As autoridades públicas registam também as conclusões

    Os responsáveis pela implantação que são autoridades públicas registam a sua utilização do sistema na base de dados da UE, incluindo um resumo das conclusões da FRIA (artigo 49(3) e anexo VIII, secção C, ponto 4). Para os pontos 1, 6 e 7 do anexo III, nos domínios da aplicação da lei, da migração, do asilo e da gestão do controlo das fronteiras, o registo consta de uma secção segura não pública e omite esse resumo (artigo 49(4)).

Como a Scanara apoia a sua FRIA

A Scanara não decide se o artigo 27.º o abrange nem notifica a autoridade. Ambas as coisas continuam a ser suas.

Avaliação FRIA guiada

As perguntas seguem os seis elementos do artigo 27.º, n.º 1. A Scanara redige o relatório FRIA a partir das suas respostas e cria uma nova versão quando um elemento se altera (artigo 27.º, n.º 2).

Ligação a uma DPIA

Pode ligar à FRIA uma DPIA aprovada do mesmo sistema. A FRIA pode então remeter para ela (artigo 27.º, n.º 4).

Documento de notificação

A Scanara exporta um documento para a notificação à autoridade de fiscalização do mercado (artigo 27.º, n.º 3). O envio é feito por si.

Abrir a demonstração da Scanara

Saiba mais sobre as regras relacionadas

Perguntas frequentes sobre a FRIA

Uma avaliação de impacto sobre a proteção de dados do RGPD substitui a FRIA?

Não. Uma avaliação de impacto sobre a proteção de dados pode fornecer partes da FRIA, porque o artigo 27(4) permite ao responsável pela implantação remeter para ela ou incluir partes pertinentes, mas apenas quanto às obrigações do artigo 27 que já cumpre. A FRIA tem de continuar a abranger cada elemento do artigo 27(1).

Com que frequência deve ser atualizada uma FRIA?

O artigo 27 não fixa um ciclo. A obrigação aplica-se à primeira utilização de um sistema, e o responsável pela implantação tem de atualizar a FRIA se considerar que algum elemento se alterou ou deixou de estar atualizado (artigo 27(2)).

O que acontece se um responsável pela implantação omitir a FRIA?

Omitir uma FRIA obrigatória viola o regulamento. O artigo 99(4) enumera as obrigações dos responsáveis pela implantação do artigo 26, mas não as do artigo 27. Os Estados-Membros estabelecem as regras sobre sanções para qualquer infração ao regulamento (artigo 99(1)), pelo que deve consultar as regras nacionais do seu Estado-Membro. Quando o Serviço para a IA é competente nos termos do artigo 75(1), pode aplicar as coimas referidas no artigo 99(4) por infração de qualquer disposição aplicável, incluindo as não enumeradas no artigo 99(4) (artigo 75.º-C(4), alínea a)).

A FRIA é publicada?

O responsável pela implantação tem de notificar os resultados à autoridade de fiscalização do mercado (artigo 27(3)). Os que são autoridades públicas registam também um resumo das conclusões na base de dados da UE (artigo 49(3), anexo VIII, secção C, ponto 4). O regulamento não obriga os outros responsáveis a publicar a sua FRIA.

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.