Os sistemas biométricos precisam de notificar as pessoas de que estão a ser digitalizadas?

Sim. O artigo 50.º(1) exige que as pessoas singulares expostas a sistemas de categorização ou identificação biométrica sejam informadas. Para os sistemas em espaços públicos ou semipúblicos, isto significa normalmente sinalização visível antes da área monitorizada, combinada com avisos de privacidade acessíveis. Para os sistemas de verificação de um para um, é exigida a divulgação no ecrã antes da captura biométrica.

O que exige o artigo 13.º para os sistemas de IA biométricos?

As instruções de utilização devem incluir: a identidade do fornecedor, a finalidade prevista do sistema e as modalidades biométricas utilizadas, as métricas de precisão (taxas de falsa aceitação/rejeição) desagregadas por grupos demográficos, as limitações conhecidas (iluminação, oclusão, disparidades de desempenho demográficas), as práticas de conservação de dados e orientações para os responsáveis pela implementação com vista a um funcionamento conforme, incluindo os requisitos de sinalização e notificação.

Qual é o prazo de conformidade para a transparência da IA biométrica?

As práticas biométricas proibidas (identificação à distância em tempo real em espaços públicos, salvo exceções restritas, categorização biométrica por raça ou orientação sexual) entraram em vigor em 2 de fevereiro de 2025. Os sistemas biométricos de alto risco devem cumprir o artigo 13.º até 2 de agosto de 2026. A proposta Digital Omnibus pode adiar as obrigações de alto risco para dezembro de 2027, mas ainda não foi formalmente adotada.

Podemos utilizar o reconhecimento facial sem consentimento se tivermos um interesse legítimo?

O interesse legítimo não é, em geral, uma base jurídica válida para a identificação biométrica ao abrigo do artigo 9.º do GDPR, que exige o consentimento explícito ou outro fundamento específico ao abrigo do artigo 9.º(2). Independentemente da base jurídica, aplicam-se as obrigações de transparência do artigo 13.º da AI Act — as pessoas devem ser informadas do funcionamento e das características do sistema e dos seus direitos. A identificação biométrica encoberta sem notificação viola tanto o GDPR como a AI Act.

Artigo 13.º: transparência na IA biométrica — EU AI Act

Como a transparência do artigo 13.º da EU AI Act se aplica à IA biométrica — obrigações de sinalização, avisos de privacidade e notificação do reconhecimento de emoções.

Publicado 2 de abril de 2026

O artigo 13.º da EU AI Act exige que os sistemas de IA de alto risco sejam suficientemente transparentes para que os responsáveis pela implementação possam interpretar os resultados e utilizá-los de forma adequada. Para os sistemas de IA biométricos, a transparência está indissociavelmente ligada aos direitos fundamentais — as pessoas devem saber quando os seus dados biométricos são recolhidos, tratados e utilizados para fins de identificação ou categorização. Ao abrigo do Anexo III, secção 1, os sistemas de IA destinados à identificação biométrica à distância em tempo real e a posteriori, bem como os sistemas de categorização biométrica, são classificados como de alto risco e sujeitos às obrigações de transparência mais rigorosas.

Esta página explica como os requisitos de transparência do artigo 13.º se aplicam especificamente à IA biométrica — do reconhecimento facial à deteção de emoções — incluindo as obrigações de sinalização, os requisitos dos avisos de privacidade, a divulgação na interface do utilizador e as violações ao nível do código que a Scanara deteta nos sistemas biométricos.

Que sistemas de IA biométricos devem ser transparentes?

Reconhecimento e identificação facial

Os sistemas que comparam rostos com bases de dados de referência para a verificação ou identificação da identidade devem divulgar o seu funcionamento às pessoas em causa. Os sistemas de controlo de acesso a edifícios, as portas de aeroporto e a segurança de eventos que utilizam reconhecimento facial exigem uma notificação clara antes de o tratamento biométrico ocorrer.

Sistemas de categorização biométrica

Os sistemas de IA que categorizam pessoas com base em dados biométricos em grupos por sexo, idade, origem étnica ou outras características devem divulgar que a categorização está a ocorrer. Note-se que a categorização com base na raça ou na orientação sexual é proibida ao abrigo do artigo 5.º(1)(g).

Sistemas de reconhecimento de emoções

Os sistemas de IA que inferem emoções a partir de expressões faciais, da voz ou de sinais fisiológicos devem informar as pessoas analisadas. O artigo 50.º(3) exige especificamente uma notificação para os sistemas de reconhecimento de emoções. Note-se que o reconhecimento de emoções no local de trabalho e nas instituições de ensino é proibido ao abrigo do artigo 5.º(1)(f).

Verificação biométrica (correspondência 1:1)

Os leitores de impressões digitais, o reconhecimento da íris e os sistemas de biometria de voz que verificam uma identidade declarada devem fornecer elementos claros da interface do utilizador que expliquem que dados são recolhidos, como são tratados e o período de conservação. Mesmo a correspondência de um para um exige transparência ao abrigo do artigo 13.º.

Análise da marcha e biometria comportamental

Os sistemas que analisam padrões de marcha, ritmos de digitação ou outras características comportamentais para fins de identificação ou segurança devem divulgar o seu funcionamento. Estes sistemas funcionam frequentemente de forma passiva, o que torna a transparência proativa ainda mais crucial.

Principais obrigações de transparência para a biometria

A IA biométrica enfrenta alguns dos requisitos de transparência mais elevados da AI Act. Para além dos requisitos gerais do artigo 13.º, o artigo 50.º impõe obrigações de notificação adicionais específicas para os sistemas biométricos, e o artigo 9.º do GDPR exige uma base jurídica explícita para o tratamento de dados biométricos de categorias especiais.

Sinalização e notificação em espaços públicos

Quando a vigilância biométrica opera em espaços públicos ou semipúblicos (entradas de edifícios, locais de trabalho, ambientes de retalho), uma sinalização clara deve informar as pessoas antes de estas entrarem na área monitorizada. A notificação deve explicar que dados biométricos são recolhidos, a finalidade da recolha e a base jurídica do tratamento.

Os avisos de privacidade devem abordar especificamente a biometria

Os avisos de privacidade genéricos são insuficientes. Os avisos de privacidade devem mencionar especificamente o tratamento biométrico, as categorias de dados biométricos recolhidos, a base jurídica ao abrigo do artigo 9.º do GDPR, os períodos de conservação e o direito de oposição. O artigo 13.º acrescenta o requisito de divulgar as características e o desempenho do sistema de IA.

Interface do utilizador clara para os sistemas de verificação

Os sistemas de verificação biométrica (impressão digital, íris, rosto) devem fornecer uma interface do utilizador clara que explique que dados estão a ser recolhidos, como estão a ser utilizados e durante quanto tempo são conservados. O artigo 13.º(3) exige que estas informações sejam fornecidas num formato digital adequado — uma breve explicação no ecrã antes da captura é a norma mínima.

O reconhecimento de emoções exige uma notificação explícita

O artigo 50.º(3) exige especificamente que as pessoas expostas a sistemas de reconhecimento de emoções sejam informadas do funcionamento do sistema. Isto aplica-se mesmo quando o reconhecimento de emoções é uma componente de um sistema mais amplo. A notificação deve ser dada antes de o tratamento começar, salvo exceções restritas relativas à atividade policial.

Sobreposições regulamentares

A transparência da IA biométrica situa-se na interseção entre a proteção de dados, os direitos fundamentais e as regulamentações setoriais. Os requisitos que se sobrepõem criam um dos ambientes de transparência mais complexos da AI Act.

Artigo 9.º do GDPR — dados biométricos de categorias especiais

Os dados biométricos utilizados para identificação são dados de categorias especiais ao abrigo do artigo 9.º do GDPR, exigindo o consentimento explícito ou outra base jurídica ao abrigo do artigo 9.º(2). As obrigações de informação do GDPR (artigos 13.º/14.º) exigem a divulgação da base jurídica, da finalidade e dos destinatários. O artigo 13.º da AI Act acrescenta transparência ao nível do sistema sobre as características e o desempenho da IA, para além destes requisitos do GDPR ao nível individual.

Artigos 13.º/14.º do GDPR — direitos de informação

O GDPR exige que os responsáveis pelo tratamento informem as pessoas sobre o tratamento de dados no momento da recolha. Para os sistemas biométricos, isto inclui a identidade do responsável pelo tratamento, a finalidade do tratamento, a base jurídica, o período de conservação e os direitos. O artigo 13.º da AI Act alarga isto com requisitos de divulgação do desempenho do sistema, documentação das limitações e instruções para os responsáveis pela implementação.

Legislação nacional sobre biometria

Vários Estados-Membros da UE dispõem de legislação adicional específica sobre biometria. As orientações da CNIL francesa sobre o controlo de acesso biométrico, as disposições da BDSG alemã sobre o tratamento biométrico e as restrições do Garante italiano sobre o reconhecimento facial em espaços públicos impõem todas requisitos de transparência que complementam as obrigações do artigo 13.º.

Carta dos Direitos Fundamentais — artigos 7.º e 8.º

A Carta da UE protege o direito à vida privada (artigo 7.º) e à proteção de dados pessoais (artigo 8.º). A vigilância biométrica envolve diretamente ambos os direitos. A transparência é um pré-requisito para que as pessoas exerçam os seus direitos ao abrigo da Carta — sem saberem que está a ocorrer um tratamento biométrico, as pessoas não podem opor-se nem procurar reparação.

Violações comuns detetadas pela Scanara

Captura biométrica sem notificação prévia

Código de inicialização de câmara ou sensor que inicia a captura de dados biométricos sem acionar uma notificação ao utilizador ou a apresentação de sinalização. O artigo 13.º(3) e o artigo 50.º exigem uma notificação antes do tratamento — a Scanara assinala os pipelines de captura biométrica que não incluem uma etapa de notificação antes da aquisição de dados.

Período de conservação em falta na divulgação biométrica

Ecrãs de divulgação orientados para o utilizador ou avisos de privacidade para sistemas biométricos que não incluem informação sobre o período de conservação dos dados. Tanto o artigo 13.º(2)(a) do GDPR como os requisitos de transparência da AI Act determinam que as pessoas saibam durante quanto tempo os seus dados biométricos serão armazenados.

Reconhecimento de emoções sem notificação ao abrigo do artigo 50.º(3)

Componentes de análise de emoções que tratam expressões faciais ou padrões de voz sem implementar a notificação explícita exigida pelo artigo 50.º(3). A Scanara deteta invocações de modelos de reconhecimento de emoções que não são precedidas de um mecanismo de notificação ao utilizador.

Lista de verificação de conformidade com o artigo 13.º para a biometria

Art. 13(3)

Fornecer instruções de utilização específicas para a biometria

Documente as características, capacidades e taxas de precisão do sistema biométrico (incluindo as taxas de falsa aceitação/rejeição), as limitações conhecidas entre os grupos demográficos e as práticas de tratamento de dados. As instruções devem ser suficientes para que os responsáveis pela implementação configurem e operem o sistema em conformidade.

Art. 50(1)

Notificar as pessoas antes do tratamento biométrico

Implemente sinalização, notificações no ecrã ou outros mecanismos de divulgação antes de a captura de dados biométricos começar. A notificação deve explicar que dados biométricos são recolhidos, a sua finalidade e a base jurídica do tratamento.

Art. 50(3)

Implementar a notificação de reconhecimento de emoções

Para os sistemas de reconhecimento de emoções, forneça uma notificação explícita às pessoas em causa antes de a análise começar. Verifique que o sistema não é implementado em contextos proibidos (local de trabalho, educação) ao abrigo do artigo 5.º(1)(f).

GDPR Art. 9

Documentar a base jurídica do tratamento biométrico

Assegure que os avisos de privacidade indicam explicitamente a base jurídica ao abrigo do artigo 9.º(2) do GDPR para o tratamento biométrico. Inclua os períodos de conservação, os direitos dos titulares dos dados e a identidade do responsável pelo tratamento. Coordene com os requisitos de divulgação do artigo 13.º da AI Act.

Art. 13(3)(b)(ii)

Divulgar a precisão entre os grupos demográficos

Comunique as taxas de falsa aceitação, as taxas de falsa rejeição e as métricas de precisão desagregadas por grupos demográficos, incluindo idade, sexo, tom de pele e origem étnica. Documente as condições conhecidas de degradação do desempenho (iluminação, ângulo, oclusão).

Perguntas frequentes

Como o Scanara ajuda

O Scanara automatiza a conformidade com o Regulamento de IA do código ao dossiê. Ligue os seus repos GitHub e obtenha relatórios de conformidade em minutos.