Skip to main content

Artigo 12, manutenção de registos para a IA na saúde — EU AI Act

Como o artigo 12 do regulamento sobre IA se aplica à IA na saúde: registos automáticos, mínimo de seis meses, dispositivos médicos do anexo I, datas e coimas.

Os fornecedores de IA de risco elevado na saúde devem conceber sistemas que registem eventos automaticamente (registos) (artigo 12.º).

No regulamento, o fornecedor chama-se «prestador». «Saúde» não é uma categoria do regulamento. Uma IA é de risco elevado se for um dispositivo médico, um dispositivo médico para diagnóstico in vitro ou um componente de segurança destes. O produto tem de exigir uma avaliação da conformidade por terceiros (artigo 6(1)). As regras aplicam-se aos produtos a partir de 2 de agosto de 2028. Os sistemas de triagem do anexo III (ponto 5, alínea d)) seguem a partir de 2 de dezembro de 2027. As coimas chegam a 15 milhões de EUR ou, para empresas, 3 % do volume de negócios anual mundial, consoante o mais elevado (artigo 99(4)). Próximo passo: faça uma lista dos eventos que o sistema tem de registar.

O artigo 12 não contém nenhuma regra específica da saúde: o registo é uma obrigação de conceção do fornecedor

O artigo 12 pede uma capacidade do sistema. Não fixa um formato de registo nem uma lista de campos para os sistemas de saúde.

  • Registo automático durante toda a vida do sistema

    Os sistemas de IA de risco elevado têm de permitir tecnicamente o registo automático de eventos (registos) ao longo da vida do sistema (artigo 12(1)).

  • Três fins

    As capacidades de registo têm de registar eventos relevantes para três fins, com um nível de rastreabilidade adequado à finalidade prevista (artigo 12(2)). O primeiro é identificar situações que possam originar um risco na aceção do artigo 79(1) ou uma modificação substancial. O segundo é facilitar o acompanhamento pós-comercialização (artigo 72). O terceiro é monitorizar o funcionamento do sistema (artigo 26(5)).

  • Um mínimo fixo apenas para a identificação biométrica à distância

    O artigo 12(3) fixa um conteúdo mínimo dos registos apenas para os sistemas do anexo III, ponto 1, alínea a), a identificação biométrica à distância. Não se aplica aos dispositivos médicos nem aos sistemas de triagem de urgência.

  • Conservação: pelo menos seis meses

    Os fornecedores conservam os registos sob o seu controlo durante um período adequado à finalidade prevista de, pelo menos, seis meses (artigo 19(1)). Os responsáveis pela implantação (as organizações que usam o sistema) fazem o mesmo quanto aos registos sob o seu controlo (artigo 26(6)). O direito da União ou nacional, em especial em matéria de proteção de dados pessoais, pode dispor de outro modo.

  • As instruções descrevem os mecanismos de registo

    Se for caso disso, as instruções de utilização descrevem os mecanismos que permitem aos responsáveis pela implantação recolher, armazenar e interpretar os registos (artigo 13(3), alínea f)).

Outras normas podem fixar outros prazos de conservação; o regulamento fixa um mínimo de seis meses

O regulamento fixa o seu próprio mínimo e remete o resto para outras normas.

  • Outros prazos vêm de outras normas

    O regulamento não fixa nenhum prazo de conservação além do mínimo de seis meses. Os prazos fixados pela legislação sobre dispositivos médicos, sobre processos clínicos ou sobre proteção de dados são questões dessa legislação. Esta página não indica nenhum.

  • Manutenção de registos no sistema de gestão da qualidade

    Um sistema de gestão da qualidade inclui sistemas e procedimentos de manutenção de registos de toda a documentação e informação relevantes (artigo 17(1), alínea k)). Um fornecedor sujeito a obrigações setoriais de gestão da qualidade pode incluir os aspetos do artigo 17(1) nesse sistema (artigo 17(3)).

  • Incidentes graves

    Um responsável pela implantação que identifique um incidente grave informa primeiro o fornecedor, depois o importador ou distribuidor e as autoridades de fiscalização do mercado (artigo 26(5)). Para os dispositivos abrangidos pelos Regulamentos (UE) 2017/745 e (UE) 2017/746, a notificação de incidentes graves nos termos do regulamento sobre IA limita-se a um só tipo de incidente. É a infração de obrigações do direito da União destinadas a proteger os direitos fundamentais (artigo 3, ponto 49, alínea c)). A notificação dirige-se à autoridade escolhida pelo Estado-Membro (artigo 73(10)).

Exemplo: eventos que um sistema de apoio ao diagnóstico poderia registar

São exemplos, não requisitos. O regulamento não enumera campos de registo para os sistemas de saúde.

  • Exemplo: eventos de utilização

    A hora de cada utilização, a versão do modelo e uma referência aos dados de entrada, para que uma revisão posterior possa saber que versão produziu um resultado (artigo 12(2), alíneas a) e b)).

  • Exemplo: decisões humanas

    Se o clínico aceitou, alterou ou ignorou o resultado, o que apoia a monitorização do funcionamento do sistema (artigo 12(2), alínea c)).

  • Exemplo: dados pessoais nos registos

    Os registos podem usar identificadores em vez de dados do doente quando a finalidade o permitir. Que dados pessoais um registo pode conter é uma questão de proteção de dados (artigo 2(7)).

Perguntas frequentes: conservação, quem constrói o registo, datas e coimas

Os prazos de conservação da legislação sobre dispositivos médicos substituem o mínimo de seis meses?

Os seis meses são um mínimo, salvo disposição em contrário do direito da União ou nacional (artigos 19(1) e 26(6)). Que prazo a legislação sobre dispositivos médicos ou sobre processos clínicos fixa é uma questão dessa legislação. O próprio regulamento não indica nenhum prazo mais longo.

O hospital tem de construir o registo?

Não. O fornecedor tem de conceber o sistema para registar eventos (artigos 12 e 16, alínea a)). O responsável pela implantação, por exemplo um hospital ou um laboratório, conserva os registos que o sistema gera na medida em que estejam sob o seu controlo (artigo 26(6)). O período é de pelo menos seis meses, salvo disposição em contrário de outra norma.

A partir de quando se aplicam as regras do artigo 12 à IA na saúde?

Aplicam-se a partir de 2 de agosto de 2028 aos sistemas de IA de risco elevado nos termos do artigo 6(1) e do anexo I (artigo 113, alínea c), subalínea ii)). Aplicam-se a partir de 2 de dezembro de 2027 aos sistemas de IA de risco elevado nos termos do artigo 6(2) e do anexo III (artigo 113, alínea c), subalínea i)). Um sistema de IA de risco elevado colocado no mercado ou colocado em serviço antes da data que lhe corresponde só fica abrangido se a sua conceção sofrer alterações significativas depois. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).

Qual é o valor das coimas, e são mais baixas para as pequenas empresas?

O artigo 16 estabelece as obrigações dos fornecedores, que incluem o cumprimento do artigo 12, e o artigo 26 as dos responsáveis pela implantação. O incumprimento de umas ou de outras é punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Para as PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização (artigo 3, ponto 14-B), cada coima chega, no máximo, ao menor dos dois montantes (artigo 99(6) e (6-A)). Cada Estado-Membro determina em que medida podem ser aplicadas coimas às autoridades públicas (artigo 99.º, n.º 8).

A seguir: o artigo 12, a visão geral da saúde, a gestão de riscos e a supervisão

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.