Regulamento IA para CTOs
Para CTOs de fornecedores de IA: obrigações do regulamento IA para a engenharia e o que o Scanara verifica no código. Depois: relatório de exemplo.
O que o regulamento IA exige à engenharia
Os fornecedores de sistemas de risco elevado implementam os artigos 8 a 15
Abrangem gestão de riscos, governação de dados, registo, instruções de utilização, supervisão humana, exatidão, solidez e cibersegurança. Aplicam-se a partir de 2 de dezembro de 2027 (sistemas do anexo III) ou de 2 de agosto de 2028 (produtos do anexo I) (artigo 113, alínea c)).
Documentação e sistema de qualidade fazem parte
Os fornecedores mantêm também a documentação técnica (artigo 11, anexo IV) e gerem um sistema de gestão da qualidade (artigo 17). Conservam a documentação durante 10 anos (artigo 18).
A classificação decide que obrigações se aplicam
Um sistema é de risco elevado apenas através do anexo III ou do anexo I (artigo 6). Classifique primeiro cada sistema. O artigo 5 enumera as práticas proibidas, que se aplicam desde 2 de fevereiro de 2025.
O que o Scanara faz pelas equipas de engenharia
Uma verificação em cada pull request
O Scanara publica uma verificação do GitHub em cada pull request e liga ao relatório completo. O modo Audit apenas comunica. O modo Blocking faz a verificação falhar acima dos seus limiares.
Verificação do código face aos requisitos do regulamento
Regras geradas a partir do texto do regulamento procuram no seu código padrões típicos de frameworks de ML. Wrappers próprios e código ofuscado podem passar despercebidos.
Rascunho da documentação técnica
O Scanara gera um rascunho da documentação do anexo IV a partir dos seus dados e das respostas às avaliações. A sua equipa completa-o e verifica-o.
Inventário com classificação registada
Regista cada sistema de IA. O Scanara guarda a classificação de risco e a sua justificação. A decisão de classificação cabe à sua equipa.
Data-chave e limite máximo da coima
2 de dezembro de 2027
A partir desta data aplicam-se as regras de risco elevado aos sistemas do anexo III, e aos produtos do anexo I a partir de 2 de agosto de 2028 (artigo 113, alínea c)).
15 milhões de EUR ou 3 %
Limite máximo das coimas por incumprimento das obrigações de fornecedores e responsáveis pela implantação: até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Para as PME e as pequenas empresas de média capitalização, o limite é o montante mais baixo (artigo 99(6) e (6a)).
Perguntas dos CTO
Que obrigações do regulamento IA afetam a minha equipa de engenharia?
Depende do seu papel e de o sistema ser de risco elevado. Os fornecedores de sistemas de risco elevado cumprem os artigos 8 a 15 e o artigo 17 (artigo 16). Os responsáveis pela implantação seguem o artigo 26: utilizam o sistema de acordo com as instruções, atribuem a supervisão humana e conservam os registos sob o seu controlo durante, pelo menos, seis meses, salvo disposição em contrário de outra legislação.
Quando se aplicam aos nossos sistemas as regras de risco elevado?
A partir de 2 de dezembro de 2027 para os sistemas do anexo III e de 2 de agosto de 2028 para os produtos do anexo I (artigo 113, alínea c)). Um sistema de risco elevado colocado no mercado ou colocado em serviço antes só fica abrangido após alterações significativas da sua conceção. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).
O merge gate funciona no plano Free?
Não. O plano Free não inclui merge gate e permite 5 verificações no total, 1 sistema de IA e 2 repositórios. O plano Team inclui o merge gate em 1 repositório e o plano Business em todos os repositórios.
O Scanara pode dizer-nos se o nosso sistema é de risco elevado?
Não. O Scanara estrutura a classificação e regista a sua justificação. Decide a sua equipa, com aconselhamento jurídico quando o risco é elevado. O mesmo código pode ser de risco elevado ou não, consoante a finalidade prevista.
Uma verificação bem-sucedida significa que cumprimos o regulamento?
Não. Uma verificação analisa padrões de código e o conteúdo exigido nos documentos. Não confirma a conduta real e passar nela não cumpre nenhuma obrigação.
Leia a seguir
Veja um relatório de verificação de exemplo
A demonstração mostra um relatório de conformidade real e anonimizado e uma visita guiada ao produto.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.