Skip to main content

Avaliação de fornecedor de GPAI: artigos 53.º a 55.º

Fornecedores de modelos de IA de finalidade geral: as obrigações dos artigos 53.º a 55.º e a avaliação guiada da Scanara.

Os fornecedores de modelos de IA de finalidade geral (GPAI) têm quatro obrigações (artigo 53.º). Têm de documentar o modelo, informar os fornecedores a jusante, publicar um resumo dos dados de treino e manter uma política de direitos de autor.

As obrigações aplicam-se aos modelos colocados no mercado da UE desde 2 de agosto de 2025. A Comissão pode aplicar coimas por infrações desde 2 de agosto de 2026. Podem ir até 3 % do volume de negócios mundial ou 15 milhões de EUR, consoante o mais elevado (artigo 101.º). Nos modelos anteriores, as infrações não podem ocorrer antes de 2 de agosto de 2027 (artigo 111.º, n.º 3). Os fornecedores fora da UE precisam de um representante autorizado, com uma exceção para o código aberto (artigo 54.º). Próximo passo: os fornecedores elaboram a documentação; os fornecedores a jusante (criadores de sistemas) pedem informação do modelo.

O artigo 53.º impõe quatro obrigações aos fornecedores de GPAI

  • Documentar o modelo

    Elabore e mantenha atualizada a documentação técnica do modelo, incluindo os resultados do treino, dos testes e da avaliação. Disponibilize-a, a pedido, ao Serviço para a IA (a função da Comissão que supervisiona os modelos GPAI) e às autoridades nacionais (artigo 53.º, n.º 1, alínea a)).

  • Informar os fornecedores a jusante

    Elabore e disponibilize informação sobre as capacidades e os limites do modelo, para que os fornecedores que desenvolvem sistemas de IA sobre ele possam cumprir as suas próprias obrigações. Isto não afeta a necessidade de respeitar e proteger os direitos de propriedade intelectual e as informações comerciais de caráter confidencial ou os segredos comerciais, em conformidade com o direito da União e o direito nacional (artigo 53.º, n.º 1, alínea b)).

  • Manter uma política de direitos de autor

    Aplique uma política de cumprimento do direito de autor da União. Deve identificar e respeitar as reservas de direitos dos titulares contra a prospeção de textos e dados (análise automatizada de conteúdos para encontrar padrões) (artigo 53.º, n.º 1, alínea c); Diretiva (UE) 2019/790, artigo 4.º, n.º 3).

  • Publicar um resumo dos dados de treino

    Publique um resumo suficientemente pormenorizado dos conteúdos utilizados para treinar o modelo, segundo o modelo do Serviço para a IA (artigo 53.º, n.º 1, alínea d)).

Os fornecedores de modelos sob licença livre e de código aberto estão isentos das duas primeiras obrigações, documentação e informação, se os parâmetros, a arquitetura e a informação de utilização forem públicos. A política de direitos de autor e o resumo continuam obrigatórios. A isenção não abrange os modelos com risco sistémico (artigo 53.º, n.º 2).

Os modelos com risco sistémico têm mais quatro obrigações

Um modelo tem risco sistémico se tiver capacidades de elevado impacto (artigo 51.º, n.º 1, alínea a)). São capacidades iguais ou superiores às dos modelos GPAI mais avançados (artigo 3.º, ponto 64). O regulamento presume-o quando o treino usou mais de 1025 operações de vírgula flutuante (FLOP) (artigo 51.º, n.º 2). A Comissão também pode designar um modelo. Estes fornecedores têm de cumprir ainda as obrigações do artigo 55.º.

  • Avaliar e testar o modelo

    Avalie o modelo com protocolos e ferramentas normalizados que reflitam o estado da arte. Isto inclui testes adversariais (atacar o modelo de propósito para encontrar fraquezas) (artigo 55.º, n.º 1, alínea a)).

  • Avaliar e mitigar os riscos sistémicos

    Avalie e mitigue os possíveis riscos sistémicos a nível da União, incluindo as suas fontes (artigo 55.º, n.º 1, alínea b)).

  • Comunicar os incidentes graves

    Acompanhe os incidentes graves, documente-os com as possíveis medidas corretivas e comunique-os sem demora injustificada ao Serviço para a IA e, se for caso disso, às autoridades nacionais competentes (artigo 55.º, n.º 1, alínea c)).

  • Proteger contra ciberataques

    Garanta um nível adequado de proteção da cibersegurança para o modelo e para a sua infraestrutura física (artigo 55.º, n.º 1, alínea d)).

Os fornecedores de modelos GPAI com risco sistémico têm de cumprir estas obrigações, além das dos artigos 53.º e 54.º (artigo 55.º, n.º 1). Têm também de notificar a Comissão no prazo de duas semanas depois de o modelo cumprir a condição de capacidades de elevado impacto, ou de se saber que a cumprirá (artigo 52.º, n.º 1).

Datas: obrigações desde 2 de agosto de 2025, modelos anteriores até 2 de agosto de 2027

Na nossa leitura, nos modelos colocados no mercado antes de 2 de agosto de 2025, uma infração às obrigações do artigo 53.º não pode ocorrer antes de 2 de agosto de 2027, porque o artigo 111.º, n.º 3, lhes concede esse prazo. As coimas do artigo 101.º, n.º 1, alíneas b) a d), aplicam-se a partir de 2 de agosto de 2026. Visam quem não responde a um pedido de informações, não dá seguimento a uma medida solicitada ou não concede acesso para uma avaliação.

O que a Scanara faz pelos fornecedores de GPAI

A Scanara não decide que obrigações se aplicam ao seu modelo. Decide o utilizador, com apoio jurídico quando o que está em jogo o justifique.

Uma avaliação guiada para fornecedores de GPAI

A Scanara orienta-o pelas obrigações dos artigos 53.º a 55.º para o seu modelo e regista as suas respostas. É o utilizador quem decide que obrigações se aplicam, com aconselhamento jurídico quando o que está em jogo o justificar.

Documentos dos anexos XI e XII

A Scanara gera a documentação dos anexos XI e XII a partir de modelos, em parte pré-preenchida com as suas respostas. O conteúdo específico do modelo é escrito pelo utilizador.

Verificações baseadas em regras, sem testes do modelo

A Scanara verifica código e documentos com regras construídas a partir dos artigos 51.º a 55.º. Não testa nem avalia o seu modelo; os testes do artigo 55.º continuam a ser trabalho seu.

Abrir a demonstração da Scanara

O detalhe das obrigações relacionadas

Perguntas frequentes sobre os fornecedores de GPAI

Usar uma API torna-me fornecedor de GPAI?

Não. Quem desenvolve um sistema de IA sobre um modelo GPAI através de uma API é fornecedor a jusante. As obrigações do artigo 53.º continuam a cargo do fornecedor do modelo. Se alterar ou aperfeiçoar um modelo, a resposta pode mudar: o considerando 109 indica que as obrigações do fornecedor devem limitar-se a essa alteração, e as orientações da Comissão indicam a partir de quando uma alteração é suficientemente importante para o tornar fornecedor. As orientações não são juridicamente vinculativas e a interpretação da Comissão pode mudar. Se o seu sistema for de risco elevado, cumpre, como seu fornecedor, os requisitos de risco elevado.

Os modelos GPAI de código aberto têm obrigações reduzidas?

Em parte. Os modelos sob licença livre e de código aberto estão isentos de duas obrigações: documentação e informação aos fornecedores a jusante (artigo 53.º, n.º 1, alíneas a) e b)). A isenção exige parâmetros, arquitetura e informação de utilização públicos. A política de direitos de autor e o resumo dos dados de treino continuam obrigatórios. A isenção não abrange os modelos com risco sistémico (artigo 53.º, n.º 2).

Desde quando se aplicam estas obrigações?

Desde 2 de agosto de 2025 para os modelos colocados no mercado da UE a partir dessa data. Os modelos colocados no mercado antes de 2 de agosto de 2025 têm até 2 de agosto de 2027 (artigo 111.º, n.º 3). A Comissão pode aplicar coimas a partir de 2 de agosto de 2026 (artigo 101.º).

É exigido um cartão do modelo («model card»)?

O regulamento não usa o termo «cartão do modelo». O artigo 53.º, n.º 1, alínea b), exige informações e documentação para os fornecedores que integram o modelo, com pelo menos os elementos do anexo XII. Um cartão do modelo é um formato comum para esse efeito.

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.