Skip to main content

Artigo 12 do Regulamento de IA: manutenção de registos

O artigo 12 exige que os sistemas de IA de risco elevado registem eventos automaticamente. Este guia explica o que os registos têm de conter, como os criar e durante quanto tempo os conservar.

Os fornecedores de sistemas de IA de risco elevado devem concebê-los para registarem automaticamente os eventos (registos) durante o ciclo de vida (artigo 12.º).

Aplica-se aos sistemas colocados no mercado ou em serviço na UE. A aplicação começa em 2 de dezembro de 2027 (anexo III) e em 2 de agosto de 2028 (anexo I). Os responsáveis pela implantação são as organizações que usam o sistema. No regulamento, o fornecedor chama-se «prestador». Fornecedores e responsáveis pela implantação têm de conservar os registos sob o seu controlo durante, pelo menos, seis meses (artigos 19 e 26(6)). O direito da União ou nacional pode fixar outro prazo. As coimas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Próximo passo: faça uma lista dos eventos que o seu sistema tem de registar.

Os registos servem três fins, e um tipo de sistema tem um conteúdo mínimo fixo

O artigo 12(2) não fixa uma lista de campos. Exige o registo de eventos relevantes para três fins, com um nível de rastreabilidade adequado à finalidade prevista do sistema.

Identificar riscos e modificações substanciais

Registe os eventos que mostram quando o sistema pode apresentar um risco na aceção do artigo 79(1) ou sofre uma modificação substancial (artigo 12(2), alínea a)).

Apoiar o acompanhamento pós-comercialização

Registe os eventos de que o fornecedor precisa para acompanhar o sistema depois de colocado no mercado (artigo 12(2), alínea b), artigo 72).

Apoiar o controlo pelos responsáveis pela implantação

Registe os eventos que permitem aos responsáveis pela implantação controlar o funcionamento do sistema (artigo 12(2), alínea c), artigo 26(5)).

Conteúdo mínimo para a identificação biométrica à distância

Os sistemas de identificação biométrica à distância do anexo III, ponto 1, alínea a), na medida em que a sua utilização seja permitida pelo direito da União ou nacional, têm de registar, no mínimo, o seguinte (artigo 12(3)). Ficam excluídos os sistemas usados apenas para confirmar que uma pessoa é quem afirma ser. São o período de cada utilização, a base de dados de referência consultada, os dados de entrada que conduziram a uma correspondência e as pessoas que verificaram os resultados.

O regulamento não fixa um formato de registo; estas práticas servem os seus objetivos

O artigo 12 não indica nenhum formato de registo nem tecnologia de armazenamento. As três práticas abaixo são opções de engenharia comuns.

Campos estruturados

Escreva cada evento em JSON com sempre os mesmos campos: marca temporal, tipo de evento, ID do sistema, ID de rastreio e um resumo da entrada e da saída.

Armazenamento só de acréscimo

Guarde os registos onde ninguém os possa alterar depois, por exemplo com S3 Object Lock. Nem o artigo 12 nem o artigo 19 o exigem; protege os registos como prova.

ID de rastreio

Ponha o mesmo ID de rastreio em cada entrada de registo de um pedido, para seguir um evento ao longo de todo o pipeline de IA.

Fornecedores e responsáveis pela implantação conservam os registos durante, pelo menos, seis meses, salvo disposição em contrário de outro direito

O mínimo de seis meses aplica-se aos registos sob o seu controlo. O direito da União ou nacional, em especial o da proteção de dados, pode fixar outro prazo. O direito da União em matéria de serviços financeiros impõe requisitos de governação interna, mecanismos e processos às instituições financeiras. Estas conservam os registos na documentação que mantêm ao abrigo desse direito (artigos 19(2) e 26(6)).

Fornecedores: pelo menos 6 meses

Conserve os registos gerados pelo seu sistema de IA de risco elevado, na medida em que estejam sob o seu controlo. O período deve ser adequado à finalidade prevista e de, pelo menos, seis meses, salvo disposição em contrário do direito da União ou nacional (artigo 19(1)).

Responsáveis pela implantação: pelo menos 6 meses

Conserve os registos gerados pelo sistema, na medida em que estejam sob o seu controlo. O período deve ser adequado à finalidade prevista e de, pelo menos, seis meses, salvo disposição em contrário do direito da União ou nacional (artigo 26(6)).

O artigo 12 aplica-se apenas a sistemas de IA de risco elevado

Um sistema é de risco elevado se se enquadrar numa área do anexo III, salvo se se aplicar uma isenção do artigo 6(3). Um sistema que cria perfis de pessoas singulares é sempre de risco elevado. Também o é se for um produto do anexo I que exija uma avaliação da conformidade por terceiros, ou um seu componente de segurança (artigo 6). Os fornecedores ficam abrangidos quando colocam um sistema no mercado da UE ou o colocam em serviço na UE, onde quer que estejam estabelecidos (artigo 2(1), alínea a)). Os fornecedores e responsáveis pela implantação de países terceiros ficam também abrangidos quando os resultados do sistema são utilizados na UE (artigo 2(1), alínea c)). Os sistemas de risco elevado ligados a produtos abrangidos pela legislação do anexo I, secção B, ficam fora do artigo 12 (artigo 2(2)). Para os produtos do anexo I, secção A, alguns requisitos podem ser limitados (artigo 2(13)). Isto diz respeito aos artigos 9 a 15 e 17 a 25, se a legislação setorial oferecer proteção equivalente ou superior. Os atos delegados previstos até 2 de agosto de 2027 especificarão quais. O regulamento exclui os usos militares, de defesa e de segurança nacional e os sistemas desenvolvidos apenas para investigação científica (artigo 2(3) e (6)). Exclui também a investigação e os testes antes da colocação no mercado (artigo 2(8)). Os sistemas já colocados no mercado ou em serviço antes da data de aplicação só ficam abrangidos após alterações significativas da conceção. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).

Perguntas frequentes: registos existentes, RGPD e coimas

Posso usar o meu sistema de registo atual?

Sim, se cumprir o artigo 12. O sistema de IA de risco elevado tem de permitir tecnicamente o registo automático de eventos para os três fins do artigo 12(2). Os registos sob o seu controlo têm de ser conservados durante, pelo menos, seis meses, salvo disposição em contrário do direito da União ou nacional. Compare os seus registos atuais com esses três fins e com o prazo de conservação.

O artigo 12 entra em conflito com a minimização de dados do RGPD?

O artigo 12 não indica campos de dados pessoais, exceto a identificação das pessoas que verificam os resultados nos sistemas de identificação biométrica à distância (artigo 12(3), alínea d)). A obrigação de conservação cede perante o direito da proteção de dados quando este dispuser de outro modo (artigos 19(1) e 26(6)). Se a finalidade o permitir, registe identificadores e metadados do evento em vez de dados pessoais em bruto. Que dados pessoais um registo pode conter é uma questão do RGPD: consulte o seu encarregado da proteção de dados ou um consultor jurídico.

Quais são as coimas e o limite é mais baixo para as PME?

As coimas chegam até 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Aplicam-se aos fornecedores (artigo 16) e aos responsáveis pela implantação (artigo 26). Para as PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização, o limite é o menor dos dois montantes (artigo 99(6) e (6-A)). Os Estados-Membros fixam as regras sobre sanções (artigo 99(1)).

Leia a seguir: acompanhamento pós-comercialização, obrigações do responsável pela implantação e trilhas de auditoria

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.