Seu cliente da UE pede documentação da Lei de IA da UE
Guia prático para responder a pedidos de documentação da Lei de IA da UE de clientes empresariais: o que precisam e como responder.
Principais Conclusões
- 1.Os responsáveis pela implantação (clientes que usam o seu sistema de IA de risco elevado) têm de seguir as suas instruções de utilização (artigo 26.º).
- 2.Responda com um pacote: classificação de risco, instruções de utilização, um resumo da documentação técnica e informação sobre o registo de eventos e a monitorização. Num sistema de risco elevado, acrescente a declaração UE de conformidade (artigo 47.º). É a sua declaração assinada de que o sistema cumpre os artigos 8.º a 15.º.
- 3.Não afirme uma conformidade que não consegue documentar. Diga o que tem e quando virá o resto.
- 4.Construa o pacote uma vez e reutilize-o. Reveja-o após cada release e sempre que o sistema ou a sua finalidade prevista mudar. A finalidade prevista é a utilização que especifica como fornecedor (artigo 3.º, ponto 12).
Um cliente da UE pode escrever-lhe: «Pode fornecer documentação sobre como o seu sistema de IA cumpre a Lei de IA da UE?» Os fornecedores (prestadores no regulamento) que vendem a empresas da UE podem receber um pedido destes. Os responsáveis pela implantação precisam da informação deles (artigo 13.º: instruções de utilização; artigo 26.º: obrigações dos responsáveis pela implantação).
A sua resposta depende da classe de risco do sistema, por isso verifique primeiro a classe. Os artigos 8.º a 27.º contêm os requisitos de risco elevado e as obrigações de fornecedores e responsáveis pela implantação. Aplicam-se aos sistemas do anexo III (a lista de utilizações de risco elevado do regulamento) a partir de 2 de dezembro de 2027. Aplicam-se aos sistemas do anexo I (a lista da legislação da UE sobre produtos) a partir de 2 de agosto de 2028. O anexo I, secção B, enumera outra legislação da UE sobre produtos. Inclui, por exemplo, a segurança da aviação civil, os veículos agrícolas e florestais e os equipamentos marítimos. Os artigos 8.º a 27.º não se aplicam aos sistemas de risco elevado relacionados com produtos abrangidos por essa legislação (artigo 2.º, n.º 2). Isto aplica-se aos sistemas classificados como de risco elevado nos termos do artigo 6.º, n.º 1. O Regulamento (UE) 2026/1744 alterou o artigo 113.º para fixar ambas as datas e substituiu o artigo 2.º, n.º 2. Sem as suas instruções de utilização, os responsáveis pela implantação não podem utilizar o sistema como exige o artigo 26.º, n.º 1.
Porque é que o seu cliente da UE pergunta
Os responsáveis pela implantação de sistemas de IA de risco elevado têm obrigações próprias. Entre elas, o artigo 26.º exige que os responsáveis pela implantação:
- utilizem o sistema como indicam as instruções de utilização do fornecedor (artigo 26.º, n.º 1)
- confiem a supervisão humana a pessoas com a competência, a formação e a autoridade necessárias (artigo 26.º, n.º 2)
- acompanhem o funcionamento do sistema (artigo 26.º, n.º 5)
- comuniquem um risco ao fornecedor ou distribuidor e à autoridade de fiscalização do mercado e, em caso de incidente grave, primeiro ao fornecedor (artigo 26.º, n.º 5)
- suspendam a utilização de um sistema que apresente um risco (artigo 26.º, n.º 5)
- conservem os registos de eventos que estejam sob o seu controlo durante, pelo menos, seis meses, salvo disposição em contrário de outra legislação aplicável (artigo 26.º, n.º 6)
O artigo 27.º acrescenta a obrigação de avaliar o impacto sobre os direitos fundamentais antes da primeira utilização. Aplica-se aos organismos de direito público e às entidades privadas que prestam serviços públicos. Aplica-se também aos responsáveis pela implantação de sistemas de pontuação de crédito ou de seguros de vida e de saúde. Não se aplica aos sistemas do ponto 2 do anexo III (infraestruturas críticas).
O artigo 13.º, n.º 2, obriga-o a fornecer instruções de utilização com um sistema de risco elevado.
Envie até cinco documentos
Destes documentos, só as instruções de utilização têm de chegar aos responsáveis pela implantação (artigo 13.º, n.º 2). A declaração UE de conformidade é mantida à disposição das autoridades nacionais competentes (artigo 47.º, n.º 1). Os restantes elementos são o que sugerimos que ofereça aos clientes.
Declaração de classificação de risco
Uma declaração da classe de risco do seu sistema: proibido (artigo 5.º), risco elevado (artigo 6.º), com obrigações de transparência (artigo 50.º) ou nenhum destes. Inclua uma fundamentação que remeta para o anexo III, se for caso disso.
Instruções de utilização
O artigo 13.º, n.º 3, enumera o conteúdo mínimo das instruções de utilização de um sistema de risco elevado. Inclui a identidade do fornecedor, a finalidade prevista e os níveis testados de exatidão, solidez e cibersegurança. Inclui também os riscos conhecidos, as medidas de supervisão humana, a vida útil esperada e a manutenção. Se o seu manual do utilizador funcionar como instruções de utilização, verifique se abrange todos os pontos do artigo 13.º, n.º 3. Se não abranger, acrescente um documento separado.
Resumo da documentação técnica
O anexo IV é a lista do que a documentação técnica tem de conter. A documentação completa destina-se às autoridades nacionais competentes e aos organismos notificados (artigo 11.º, n.º 1). Um organismo notificado é um organismo de avaliação da conformidade notificado nos termos do regulamento e de outra legislação de harmonização da União relevante (artigo 3.º, ponto 22). Sugerimos partilhar um resumo, para que o responsável pela implantação veja que a documentação completa existe e o que abrange.
Informação sobre o registo de eventos e o acompanhamento
Os responsáveis pela implantação precisam de saber o que o seu sistema regista e como aceder aos registos. Têm de conservar os registos que estejam sob o seu controlo (artigo 26.º, n.º 6). Quando relevante, as instruções de utilização têm de descrever os mecanismos que permitem aos responsáveis pela implantação recolher, armazenar e interpretar os registos (artigo 13.º, n.º 3, alínea f)).
Declaração UE de conformidade (sistemas de risco elevado)
Para os sistemas de risco elevado, o fornecedor elabora uma declaração UE de conformidade (artigo 47.º). Indica que o sistema cumpre os requisitos dos artigos 8.º a 15.º (artigo 47.º, n.º 2). A avaliação da conformidade é o processo de demonstrar se esses requisitos são cumpridos (artigo 3.º, ponto 20). Se a avaliação ainda estiver em curso, diga-o e indique a data prevista como estimativa.
Confirme primeiro a receção e envie depois o pacote completo
Na primeira resposta, confirme a receção e indique datas que consiga cumprir
Envie o pacote completo quando estiver pronto
Não faça afirmações que não consiga fundamentar
Leitura Relacionada
Fontes e Referências
Perguntas frequentes
Que documentos precisa um cliente da UE de um fornecedor de IA?
Depende do sistema. Para um sistema de risco elevado, os responsáveis pela implantação precisam das instruções de utilização (artigo 13.º), incluindo informação sobre o registo de eventos e a supervisão humana. Sugerimos que ofereça também a sua classificação de risco, um resumo da documentação técnica do anexo IV e a declaração UE de conformidade (artigo 47.º). Os fornecedores devem conceber os sistemas de IA que interagem diretamente com pessoas de modo que estas sejam informadas disso, salvo se for óbvio (artigo 50.º, n.º 1).
O que é o anexo IV da Lei de IA da UE?
O anexo IV enumera nove pontos mínimos para a documentação técnica de um sistema de IA de risco elevado. Pontos 1 a 5: descrição geral; processo de desenvolvimento e conceção; monitorização e controlo; adequação das métricas de desempenho; sistema de gestão de riscos. Pontos 6 a 9: alterações ao longo do ciclo de vida; normas aplicadas; declaração UE de conformidade; sistema de acompanhamento pós-comercialização.
O que deve conter a minha primeira resposta a um pedido de documentação da Lei de IA da UE?
Envie uma primeira resposta que confirme a receção do pedido, diga que documentos pode enviar e indique datas que consiga cumprir. Acorde as datas por escrito.
Posso reutilizar o mesmo pacote de documentação para mais do que um cliente da UE?
Sim, na medida em que o sistema e a sua finalidade prevista sejam os mesmos. A finalidade prevista é a que o fornecedor especifica (artigo 3.º, ponto 12). Reveja o pacote após cada release e sempre que o sistema ou a sua finalidade prevista mudar.
E se eu ainda não tiver a documentação técnica (anexo IV)?
Diga-o. Diga ao cliente que documentos tem e quando virá o resto. A documentação técnica tem de existir antes de um sistema de risco elevado ser colocado no mercado ou colocado em serviço (artigo 11.º, n.º 1). Os artigos 8.º a 27.º aplicam-se aos sistemas do anexo III a partir de 2 de dezembro de 2027. Aplicam-se aos sistemas do anexo I a partir de 2 de agosto de 2028. O anexo I, secção B, enumera outra legislação da UE sobre produtos. Nos sistemas de risco elevado relacionados com produtos abrangidos por essa legislação, os artigos 8.º a 27.º não se aplicam (artigo 2.º, n.º 2). Isto aplica-se aos sistemas classificados como de risco elevado nos termos do artigo 6.º, n.º 1. O Regulamento (UE) 2026/1744 alterou o artigo 113.º para fixar ambas as datas e substituiu o artigo 2.º, n.º 2.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.