Skip to main content

Documentação técnica do anexo IV: os nove pontos

Os nove pontos do anexo IV do Regulamento de IA para a documentação técnica dos sistemas de IA de risco elevado, com as regras que os rodeiam: prazos, conservação, formulário para PME e âmbito de aplicação.

O anexo IV enumera nove pontos que a documentação técnica de um sistema de IA de risco elevado deve conter, no mínimo, consoante o sistema.

Os fornecedores têm de a elaborar antes de colocarem o sistema no mercado da UE ou em serviço (artigo 11(1)). A obrigação aplica-se a partir de 2 de dezembro de 2027 (sistemas do anexo III) ou de 2 de agosto de 2028 (anexo I). A falta de documentação infringe o artigo 16. As coimas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Primeiro passo: compare o seu sistema com os nove pontos abaixo.

Agrupamos seis regras em torno da documentação

Antes da colocação no mercado ou em serviço

Elabore a documentação antes de o sistema ser colocado no mercado ou colocado em serviço e mantenha-a atualizada (artigo 11(1)).

Conservar durante dez anos

Mantenha a documentação à disposição das autoridades nacionais durante dez anos após a colocação do sistema no mercado ou a sua colocação em serviço (artigo 18(1)).

Formulário simplificado para pequenas empresas

As PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização podem fornecer os elementos do anexo IV de forma simplificada. A Comissão deve criar o formulário e os organismos notificados devem aceitá-lo (artigo 11(1)). Para as PME e as pequenas empresas de média capitalização, a coima fica limitada ao montante mais baixo (artigo 99(6) e (6-A)).

Um só conjunto para a legislação de produtos

Se o sistema estiver ligado a um produto abrangido pela legislação do anexo I, secção A, elabore um único conjunto de documentação que abranja também essa legislação (artigo 11(2)).

Alguns limites do âmbito de aplicação

O anexo IV aplica-se aos sistemas de IA de risco elevado abrangidos pelo âmbito do regulamento. O regulamento não afeta os domínios fora do direito da União e não se aplica aos sistemas de IA quando e na medida em que sejam utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2(3)), nem aos sistemas de investigação científica e à investigação ou aos testes anteriores à colocação no mercado (artigo 2(6) e (8)). Aos sistemas de IA classificados como de risco elevado nos termos do artigo 6(1) relativos a produtos do anexo I, secção B, aplicam-se apenas o artigo 6(1), o artigo 60-A e os artigos 102.º a 112.º. Os artigos 57.º a 59.º aplicam-se apenas na medida em que os requisitos para os sistemas de IA de risco elevado tenham sido integrados nessa legislação de produtos (artigo 2(2)).

Sistemas já no mercado

Um sistema de risco elevado colocado no mercado ou em serviço antes da data de aplicação só fica abrangido se o seu conceito sofrer posteriormente alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)). Os sistemas de IA que são componentes dos sistemas informáticos de grande escala do anexo X, colocados no mercado antes de 2 de agosto de 2027, têm de cumprir até 31 de dezembro de 2030 (artigo 111(1)).

O anexo IV tem nove pontos

Descrição geral

1

O ponto 1 identifica o sistema: para que serve, que versão é, onde funciona e como é fornecido.

O que o anexo exige

  • Finalidade prevista, nome do fornecedor e versão do sistema, incluindo a sua relação com versões anteriores
  • Como o sistema interage com hardware ou software que não faz parte dele, se aplicável
  • Versões do software ou firmware relevantes e requisitos de atualização de versões
  • Todas as formas em que o sistema é colocado no mercado ou em serviço, como pacotes de software integrados em hardware, descarregamentos ou API
  • O hardware em que o sistema se destina a funcionar
  • Se for um componente de produtos: fotografias ou ilustrações com as características externas, a marcação e a disposição interna
  • Uma descrição básica da interface de utilizador fornecida ao responsável pela implantação
  • As instruções de utilização para o responsável pela implantação

Dica prática (não exigida pelo regulamento)

Mantenha este ponto num ficheiro com controlo de versões junto ao código e atualize-o a cada versão publicada.

Elementos e processo de desenvolvimento

2

O ponto 2 é o mais longo: abrange a forma como o sistema foi construído, treinado, testado e protegido.

O que o anexo exige

  • Métodos e etapas de desenvolvimento, incluindo sistemas ou ferramentas pré-treinados de terceiros e a forma como foram utilizados, integrados ou alterados
  • Especificações de conceção: lógica geral e algoritmos, principais escolhas de conceção com justificação e pressupostos (incluindo sobre as pessoas ou grupos a quem o sistema se destina), principais escolhas de classificação, o que o sistema otimiza e a relevância dos diferentes parâmetros, saída esperada e a sua qualidade, e compromissos adotados para cumprir o capítulo III, secção 2
  • Arquitetura do sistema e recursos computacionais utilizados para desenvolver, treinar, testar e validar o sistema
  • Se relevante, requisitos de dados sob a forma de fichas: métodos de treino, conjuntos de dados, proveniência, âmbito, características principais, como os dados foram obtidos e selecionados, rotulagem e limpeza
  • Avaliação das medidas de supervisão humana necessárias (artigo 14.º), incluindo medidas técnicas que ajudam os responsáveis pela implantação a interpretar os resultados (artigo 13.º, n.º 3, alínea d)
  • Se aplicável, alterações predeterminadas do sistema e do seu desempenho, com as soluções técnicas que mantêm a conformidade
  • Validação e testes: procedimentos, dados utilizados, métricas de exatidão, robustez e outros requisitos, impactos potencialmente discriminatórios, e registos e relatórios de testes datados e assinados
  • Medidas de cibersegurança implementadas

Dica prática (não exigida pelo regulamento)

Obtenha a arquitetura e as listas de dependências a partir do repositório e acrescente a justificação que só a sua equipa conhece.

Monitorização, funcionamento e controlo

3

O ponto 3 indica o que o sistema pode e não pode fazer e que riscos e medidas de supervisão daí decorrem.

O que o anexo exige

  • Capacidades e limitações de desempenho, incluindo a exatidão para pessoas ou grupos específicos e a exatidão global esperada em relação à finalidade prevista
  • Resultados não intencionais previsíveis e fontes de risco para a saúde e a segurança, os direitos fundamentais e a discriminação
  • Medidas de supervisão humana (artigo 14.º), incluindo medidas técnicas que ajudam os responsáveis pela implantação a interpretar os resultados
  • Especificações dos dados de entrada, consoante o caso

Dica prática (não exigida pelo regulamento)

Registe a exatidão medida por grupo juntamente com o teste que a produziu.

Métricas de desempenho

4

O ponto 4 pede uma descrição da razão pela qual as métricas de desempenho são adequadas. As próprias métricas pertencem ao ponto 2.

O que o anexo exige

  • Uma descrição da razão pela qual as métricas de desempenho são adequadas a este sistema de IA específico

Sistema de gestão de riscos

5

O ponto 5 remete para o sistema de gestão de riscos do artigo 9.º.

O que o anexo exige

  • Uma descrição detalhada do sistema de gestão de riscos nos termos do artigo 9.º

Alterações ao longo do ciclo de vida

6

O ponto 6 mantém a documentação atualizada: regista o que mudou após a primeira versão.

O que o anexo exige

  • Uma descrição das alterações relevantes feitas pelo fornecedor ao sistema ao longo do seu ciclo de vida

Dica prática (não exigida pelo regulamento)

Use as notas de versão e o histórico do git e assinale quais as alterações predeterminadas (ponto 2, alínea f).

Normas e outras soluções

7

O ponto 7 indica as normas em que se baseou ou explica as suas próprias soluções.

O que o anexo exige

  • Uma lista das normas harmonizadas aplicadas total ou parcialmente cujas referências foram publicadas no Jornal Oficial da União Europeia
  • Se não foram aplicadas essas normas: uma descrição detalhada das soluções adotadas para cumprir o capítulo III, secção 2, com uma lista de outras normas e especificações técnicas aplicadas

Declaração UE de conformidade

8

O ponto 8 anexa a declaração de conformidade.

O que o anexo exige

  • Uma cópia da declaração UE de conformidade (artigo 47.º)

Avaliação pós-comercialização

9

O ponto 9 liga a documentação ao acompanhamento pós-comercialização.

O que o anexo exige

  • Uma descrição detalhada do sistema de avaliação do desempenho na fase pós-comercialização (artigo 72.º)
  • O plano de acompanhamento pós-comercialização (artigo 72.º, n.º 3)

O que a Scanara faz pela documentação do anexo IV

A Scanara verifica se os seus documentos de conformidade contêm o conteúdo exigido. Não verifica se esse conteúdo é verdadeiro.

Rascunhos da documentação do anexo IV

A Scanara gera documentos do anexo IV a partir dos seus dados e das respostas às avaliações. Reveja-os e complete-os. Um rascunho não é automaticamente exato nem completo.

Provas com versões

A Scanara guarda as versões e os carimbos de data e hora dos documentos e das respostas às avaliações em que se baseiam.

Perguntas frequentes sobre o anexo IV

Durante quanto tempo devo conservar a documentação técnica?

Durante dez anos após a colocação do sistema de IA no mercado ou a sua colocação em serviço, à disposição das autoridades nacionais competentes (artigo 18(1)).

As PME podem usar documentação simplificada?

Sim. As PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização podem fornecer os elementos do anexo IV de forma simplificada. A Comissão deve criar o formulário e os organismos notificados devem aceitá-lo para a avaliação da conformidade (artigo 11(1)).

O que obriga a atualizar a documentação?

A documentação deve ser mantida atualizada (artigo 11(1)). Uma modificação substancial, ou seja, uma alteração não prevista nem planeada na avaliação da conformidade inicial que afeta a conformidade ou a finalidade prevista (artigo 3(23)), exige uma nova avaliação da conformidade (artigo 43(4)). As alterações de um sistema que continua a aprender, predeterminadas e documentadas nos termos do ponto 2, alínea f, do anexo IV, não são modificações substanciais.

Ler a seguir: artigo 11.º, anexo III e inventário de IA

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.