Artigo 13 do Regulamento de IA: transparência e instruções de utilização
O artigo 13 exige que os fornecedores deem instruções de utilização aos responsáveis pela implantação. Este guia enumera o conteúdo e o que estes fazem com elas.
Os fornecedores de sistemas de IA de risco elevado devem dar aos responsáveis pela implantação instruções de utilização e um sistema transparente (artigo 13.º).
Aplica-se aos sistemas colocados no mercado ou em serviço na UE. A aplicação começa em 2 de dezembro de 2027 (anexo III) e em 2 de agosto de 2028 (anexo I). Os responsáveis pela implantação são as organizações que usam o sistema. No regulamento, o fornecedor chama-se «prestador». A transparência deve permitir-lhes interpretar os resultados (artigo 13(1)). As instruções têm de identificar o fornecedor, indicar a exatidão testada e os riscos conhecidos e descrever a supervisão humana (artigo 13(3)). As coimas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Próximo passo: compare as suas instruções com o artigo 13(3).
As instruções de utilização têm de conter, pelo menos, esta informação
O artigo 13(3) enumera o conteúdo mínimo nas alíneas a) a f). Os cartões abaixo agrupam esses pontos. As instruções têm de ser concisas, completas, corretas e claras, num formato digital adequado ou de outro tipo (artigo 13(2)).
Identidade e contactos do fornecedor
Indique o nome e os contactos do fornecedor e, se existir, do seu representante autorizado (artigo 13(3), alínea a)).
Finalidade prevista e desempenho testado
Indique a finalidade prevista. Indique o nível de exatidão, solidez e cibersegurança com que o sistema foi testado e validado e que se pode esperar, com os respetivos parâmetros. Acrescente as circunstâncias que o podem afetar (artigo 13(3), alínea b), subalíneas i) e ii)).
Riscos conhecidos e utilização indevida previsível
Descreva as circunstâncias conhecidas ou previsíveis, incluindo a utilização indevida razoavelmente previsível, que possam originar riscos para a saúde, a segurança ou os direitos fundamentais (artigo 13(3), alínea b), subalínea iii)).
Explicação, grupos de pessoas e dados
Quando aplicável ou adequado, descreva como o sistema explica os seus resultados, o seu desempenho em relação a pessoas ou grupos de pessoas específicos, as especificações dos dados de entrada e os conjuntos de dados de treino, validação e teste utilizados (artigo 13(3), alínea b), subalíneas iv) a vii)).
Alterações predeterminadas pelo fornecedor
Indique as alterações ao sistema e ao seu desempenho que tenha predeterminado na avaliação da conformidade inicial (a verificação antes do lançamento de que o sistema cumpre o regulamento), se as houver (artigo 13(3), alínea c)).
Medidas de supervisão humana
Descreva as medidas de supervisão humana do artigo 14, incluindo as medidas técnicas que ajudam os responsáveis pela implantação a interpretar os resultados (artigo 13(3), alínea d)).
Recursos, vida útil, manutenção e registos
Indique os recursos informáticos e de hardware necessários, a vida útil prevista e a manutenção, com a sua frequência e as atualizações de software (artigo 13(3), alínea e)). Quando relevante, descreva os mecanismos que permitem aos responsáveis pela implantação recolher, armazenar e interpretar os registos nos termos do artigo 12 (artigo 13(3), alínea f)).
Quatro formas de manter corretas as instruções
O artigo 13 fixa o conteúdo, não o processo. Estas quatro práticas mantêm as instruções completas e atualizadas.
Redigir a partir de documentos existentes
Retire os factos do sistema de fichas de modelo, fichas técnicas e relatórios de avaliação, e mantenha as instruções sob controlo de versões junto ao código.
Acompanhar limitações e alterações
Registe cada limitação conhecida e cada modo de falha num registo de alterações. Atualize as instruções sempre que o sistema mudar.
Indicar o desempenho por grupo
Quando adequado, indique o desempenho do sistema em relação às pessoas ou aos grupos de pessoas específicos a que se destina (artigo 13(3), alínea b), subalínea v)).
Explicar como ler os resultados
Explique aos responsáveis pela implantação como interpretar os resultados, por exemplo com pontuações de confiança ou explicações, quando o sistema as fornece, e que medidas de supervisão humana se aplicam (artigo 13(3), alínea b), subalínea vii), e alínea d)).
Os responsáveis pela implantação usam as instruções para cumprir as suas próprias obrigações
Os responsáveis pela implantação têm de tomar medidas técnicas e organizativas adequadas para usar o sistema de acordo com as suas instruções de utilização (artigo 26(1)). Usam também as informações do artigo 13 para a sua avaliação de impacto sobre a proteção de dados, quando é exigida (artigo 26(9)). Um responsável pela implantação só pode seguir o que as instruções dizem.
O artigo 13 aplica-se apenas a sistemas de IA de risco elevado
Um sistema é de risco elevado se se enquadrar numa área do anexo III, salvo se se aplicar uma isenção do artigo 6(3). Um sistema que cria perfis de pessoas singulares é sempre de risco elevado. Também o é se for um produto do anexo I que exija uma avaliação da conformidade por terceiros, ou um seu componente de segurança (artigo 6). Os fornecedores ficam abrangidos quando colocam um sistema no mercado da UE ou o colocam em serviço na UE, onde quer que estejam estabelecidos (artigo 2(1), alínea a)). Os fornecedores e responsáveis pela implantação de países terceiros ficam também abrangidos quando os resultados do sistema são utilizados na UE (artigo 2(1), alínea c)). Os sistemas de risco elevado ligados a produtos abrangidos pela legislação do anexo I, secção B, ficam fora do artigo 13 (artigo 2(2)). Para os produtos do anexo I, secção A, alguns requisitos podem ser limitados (artigo 2(13)). Isto diz respeito aos artigos 9 a 15 e 17 a 25, se a legislação setorial oferecer proteção equivalente ou superior. Os atos delegados previstos até 2 de agosto de 2027 especificarão quais. O regulamento exclui os usos militares, de defesa e de segurança nacional e os sistemas desenvolvidos apenas para investigação científica (artigo 2(3) e (6)). Exclui também a investigação e os testes antes da colocação no mercado (artigo 2(8)). Os sistemas já colocados no mercado ou em serviço antes da data de aplicação só ficam abrangidos após alterações significativas da conceção. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).
Perguntas frequentes: formato, código aberto, fichas de modelo e coimas
Que formato devem ter as instruções de utilização?
O regulamento não fixa um formato de ficheiro. O artigo 13(2) exige um formato digital adequado ou de outro tipo, com informações concisas, completas, corretas e claras, acessíveis e compreensíveis para os responsáveis pela implantação. Um PDF, uma página web ou a documentação fornecida com o software podem servir se forem completos e claros.
O artigo 13 aplica-se à IA de código aberto?
Apenas se o sistema for colocado no mercado ou colocado em serviço como sistema de IA de risco elevado (artigo 2(12)). Nesse caso, o fornecedor tem de fornecer as instruções de utilização, mesmo que o código seja público.
Em que difere o artigo 13 da documentação técnica do artigo 11?
A documentação técnica do artigo 11 é elaborada antes de o sistema ser colocado no mercado (artigo 11(1)). Demonstra às autoridades e aos organismos notificados (entidades de avaliação independentes) que o sistema cumpre os requisitos. As instruções do artigo 13 destinam-se aos responsáveis pela implantação, para que usem o sistema corretamente.
E se o responsável pela implantação ignorar as instruções?
O fornecedor tem de fornecer instruções corretas (artigo 13) e o responsável pela implantação tem de usar o sistema de acordo com elas (artigo 26(1)). Quem não o fizer incumpre a sua própria obrigação. Pode ser sujeito a coimas até 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)).
Uma ficha de modelo chega como instruções de utilização?
Só se cobrir todos os pontos do artigo 13(3), incluindo os contactos do fornecedor, as medidas de supervisão humana e a manutenção. Compare a sua ficha de modelo com os cartões acima e acrescente o que falta.
Quais são as coimas e o limite é mais baixo para as PME?
As coimas chegam até 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Aplicam-se aos fornecedores (artigo 16) e aos responsáveis pela implantação (artigo 26). Para as PME, incluindo as empresas em fase de arranque, e as pequenas empresas de média capitalização, o limite é o menor dos dois montantes (artigo 99(6) e (6-A)). Os Estados-Membros fixam as regras sobre sanções (artigo 99(1)).
Leia a seguir: documentação técnica, supervisão humana e obrigações do responsável pela implantação
Artigo 11: documentação técnica
Os fornecedores elaboram a documentação técnica antes de colocar o sistema no mercado, para demonstrar que cumpre os requisitos.
Artigo 14: supervisão humana
As instruções de utilização têm de descrever as medidas de supervisão que o artigo 14 exige.
Artigo 26: obrigações dos responsáveis pela implantação
Os responsáveis pela implantação usam o sistema de acordo com as instruções, controlam-no e conservam os registos.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.