Skip to main content

Artigo 10.º: governação de dados para a IA de risco elevado

Artigo 10.º do AI Act: critérios de qualidade e governação dos dados de treino, validação e teste de sistemas de IA de risco elevado, e a regra do artigo 4.º-A para corrigir enviesamentos.

Os fornecedores (prestadores) de sistemas de IA de risco elevado que treinam modelos de IA devem cumprir critérios de qualidade nos dados (artigo 10(1)). Estes conjuntos de dados estão sujeitos a práticas de governação de dados, por exemplo o exame de enviesamentos (artigo 10(2)).

A regra aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III (lista de utilizações de risco elevado). Para os produtos do anexo I, aplica-se a partir de 2 de agosto de 2028 (artigo 113.º, alínea c). Os produtos da secção B ficam excluídos (artigo 2(2)). As coimas por incumprimento chegam a 15 milhões de EUR ou 3 % do volume de negócios mundial, consoante o montante mais elevado (artigo 99(4)). Próximo passo: anote a origem de cada conjunto de dados e as suas verificações de enviesamento.

O artigo 10(2) enumera oito práticas, aqui agrupadas em cinco áreas

Escolhas de conceção e origem dos dados

As práticas devem abranger as escolhas de conceção pertinentes, como os dados foram recolhidos, de onde vêm e, no caso de dados pessoais, a finalidade original da recolha (artigo 10(2), alíneas a) e b)).

Preparação dos dados

Regule a anotação, a rotulagem, a limpeza, a atualização, o enriquecimento e a agregação (artigo 10(2), alínea c)).

Pressupostos e adequação

Indique o que os dados devem medir e representar e avalie se há dados adequados em quantidade suficiente (artigo 10(2), alíneas d) e e)).

Exame do enviesamento e medidas

Examine os dados para detetar enviesamentos que possam afetar a saúde e a segurança, ter impacto negativo nos direitos fundamentais ou levar a discriminação proibida. Adote medidas para os detetar, prevenir e atenuar (artigo 10(2), alíneas f) e g)).

Lacunas e deficiências nos dados

Identifique as lacunas ou deficiências que o impedem de cumprir o regulamento e como as resolver (artigo 10(2), alínea h)).

Se um sistema de IA de risco elevado não treinar modelos de IA, estas regras aplicam-se apenas aos seus conjuntos de dados de teste (artigo 10(6)).

Os conjuntos de dados devem cumprir três critérios de qualidade

Pertinentes, representativos, sem erros, completos

Os conjuntos de dados devem ser pertinentes, suficientemente representativos e, na medida do possível, isentos de erros e completos, tendo em conta a finalidade prevista (artigo 10(3)).

Propriedades estatísticas adequadas

Devem ter as propriedades estatísticas adequadas, incluindo no que respeita às pessoas ou aos grupos de pessoas a quem o sistema se destina (artigo 10(3)).

Adequados ao contexto de utilização

Devem refletir o contexto geográfico, contextual, comportamental ou funcional de utilização, na medida exigida pela finalidade prevista (artigo 10(4)).

Quatro práticas de engenharia que geram provas para o artigo 10.º

O artigo 10.º não prescreve ferramentas. Estas quatro práticas são sugestões para documentar a sua governação de dados.

Documentação dos conjuntos de dados como código

Mantenha as especificações dos conjuntos de dados, os métodos de recolha e os passos de preparação em ficheiros sob controlo de versões, junto do código do seu sistema de IA.

Testes de enviesamento e de deriva em CI/CD

Execute no pipeline verificações de enviesamento em cada versão de um conjunto de dados e testes de deriva dos dados.

Rastreio da origem dos dados

Acompanhe fontes, transformações e versões, para poder demonstrar de onde vem cada conjunto de dados (artigo 10(2), alínea b)).

Fichas de conjuntos de dados com versões

Registe, para cada versão de um conjunto de dados, a composição, o método de recolha, os limites conhecidos e os resultados do exame de enviesamento.

O artigo 4.º-A permite dados de categorias especiais para corrigir enviesamentos, com condições rigorosas

Os fornecedores de sistemas de IA de risco elevado podem, a título excecional, tratar categorias especiais de dados pessoais quando for estritamente necessário para detetar e corrigir enviesamentos nos termos do artigo 10(2), alíneas f) e g) (artigo 4.º-A(1)). Todas as condições têm de estar reunidas. Entre elas: outros dados, incluindo sintéticos ou anonimizados, não bastam; os dados estão sujeitos a limites técnicos de reutilização e a controlos de acesso rigorosos e não são transmitidos a terceiros; são apagados quando o enviesamento for corrigido ou terminar o prazo de conservação. Estas condições acrescem ao RGPD. O artigo 4.º-A(2) alarga isto aos responsáveis pela implantação de sistemas de IA de risco elevado e aos fornecedores e responsáveis pela implantação de outros sistemas e modelos de IA, quando o tratamento é estritamente necessário e se aplicam todas as condições e salvaguardas do artigo 4.º-A(1). Não cria nenhuma obrigação de detetar ou corrigir enviesamentos.

O artigo 4.º-A foi aditado pelo Regulamento (UE) 2026/1744. Substitui o anterior artigo 10(5).

Perguntas frequentes sobre o artigo 10.º

O artigo 10.º aplica-se se eu aperfeiçoar um modelo de IA de finalidade geral?

Sim, para os conjuntos de dados com que treina, valida e testa o seu sistema de IA de risco elevado (artigo 10(1)). O regulamento não diz se o artigo 10.º abrange também os dados de treino originais do modelo de base. Consulte um jurista e peça as informações sobre o modelo que o fornecedor do modelo de IA de finalidade geral deve disponibilizar aos fornecedores a jusante (artigo 53(1), alínea b)).

O que significa «suficientemente representativos»?

O artigo 10(3) exige que os conjuntos de dados sejam suficientemente representativos, tendo em conta a finalidade prevista, e tenham as propriedades estatísticas adequadas, incluindo no que respeita às pessoas ou aos grupos de pessoas a quem o sistema se destina. O artigo 10(4) acrescenta o contexto geográfico, contextual, comportamental ou funcional de utilização. O regulamento não fixa nenhum limiar numérico.

Tenho de usar dados sintéticos?

Não. Os dados sintéticos não são obrigatórios. O artigo 4.º-A(1) exige, porém, que a deteção e a correção de enviesamentos não possam ser feitas de forma eficaz com outros dados, incluindo sintéticos ou anonimizados, antes de tratar categorias especiais de dados pessoais.

E se eu usar conjuntos de dados de terceiros?

O artigo 10.º aplica-se aos conjuntos de dados usados no seu sistema, seja quem for que os criou. Documente a sua origem (artigo 10(2), alínea b)) e examine o enviesamento por si (artigo 10(2), alínea f)).

Como se articula o artigo 10.º com o RGPD?

O artigo 10.º aplica-se a par do RGPD. O artigo 4.º-A fixa condições para tratar categorias especiais de dados pessoais com vista a corrigir enviesamentos, para além do RGPD (artigo 4.º-A(1)). O artigo 4.º-A(2) alarga a exceção aos responsáveis pela implantação e a outros sistemas e modelos de IA.

Que coima se aplica se um fornecedor infringir o artigo 10.º?

As coimas por incumprimento das obrigações dos fornecedores do artigo 16.º chegam a 15 milhões de EUR ou 3 % do volume de negócios anual a nível mundial, consoante o montante que for mais elevado (artigo 99(4)). Para as PME e as pequenas empresas de média capitalização, o limite é o mais baixo dos dois montantes (artigo 99(6) e (6-A)).

A seguir: gestão de riscos, documentação e exatidão

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.