Artigo 13.º para a IA biométrica: transparência e instruções de utilização

O artigo 13.º diz respeito às informações que um fornecedor presta aos responsáveis pela implantação. Não é uma obrigação de informação perante as pessoas captadas por um sistema.

• art. 13(1)
  Suficientemente transparente para interpretar os resultados

  Os sistemas de IA de risco elevado são concebidos e desenvolvidos de forma a assegurar que o seu funcionamento seja suficientemente transparente para permitir que os responsáveis pela implantação interpretem os resultados do sistema e os utilizem de forma adequada. Deve ser assegurado um tipo e um grau de transparência adequados, com vista ao cumprimento das obrigações pertinentes do fornecedor e do responsável pela implantação estabelecidas na secção 3.

• art. 13(2)
  Instruções de utilização num formato adequado

  Os sistemas de IA de risco elevado são acompanhados de instruções de utilização num formato digital adequado ou noutro formato. Incluem informações concisas, completas, corretas e claras que sejam pertinentes, acessíveis e compreensíveis para os responsáveis pela implantação.

• art. 13(3)(a)–(b)
  Identidade do fornecedor, capacidades e limitações

  As instruções de utilização devem conter, no mínimo, a identidade e os contactos do fornecedor e, se for caso disso, do seu mandatário. Devem descrever as características, capacidades e limitações de desempenho do sistema, incluindo as seguintes. A finalidade prevista. O nível de exatidão, incluindo as respetivas métricas, de solidez e de cibersegurança em relação ao qual o sistema foi testado e validado e que se pode esperar, bem como quaisquer circunstâncias conhecidas e previsíveis que possam ter impacto nesse nível. Quaisquer circunstâncias conhecidas ou previsíveis suscetíveis de conduzir a riscos para a saúde e a segurança ou os direitos fundamentais. Se for caso disso, as capacidades e características técnicas do sistema para fornecer informações relevantes para explicar os seus resultados. Se for adequado, o seu desempenho em relação a pessoas ou grupos de pessoas específicos a quem se destina a utilização do sistema. Se for adequado, as especificações para os dados de entrada ou quaisquer outras informações pertinentes sobre os conjuntos de dados de treino, validação e teste utilizados. Se for caso disso, informações que permitam aos responsáveis pela implantação interpretar os resultados do sistema e utilizá-los de forma adequada.

• art. 13(3)(c)–(f)
  Alterações, supervisão humana, recursos e registos

  As instruções de utilização devem conter igualmente o seguinte. As alterações ao sistema e ao seu desempenho que tenham sido predeterminadas pelo fornecedor no momento da avaliação da conformidade inicial, se existirem. As medidas de supervisão humana referidas no artigo 14.º, incluindo as medidas técnicas implementadas para facilitar a interpretação dos resultados do sistema pelos responsáveis pela implantação. Os recursos computacionais e de hardware necessários, a vida útil prevista do sistema e quaisquer medidas necessárias de manutenção e de assistência, incluindo a sua frequência, para assegurar o bom funcionamento do sistema, incluindo no que respeita às atualizações de software. Se for relevante, uma descrição dos mecanismos incluídos no sistema que permitam aos responsáveis pela implantação recolher, armazenar e interpretar corretamente os registos, nos termos do artigo 12.º.

O artigo 13.º vincula apenas os sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA biométrica é de risco elevado, quem está vinculado e onde se encontram as obrigações perante as pessoas afetadas.

• O anexo III contém um domínio «Biometria», limitado a três tipos de sistemas

  O anexo III contém um domínio «Biometria», na medida em que a sua utilização seja permitida ao abrigo do direito da União ou do direito nacional aplicável. O domínio limita-se ao ponto 1, alíneas a) a c); o regulamento não tem um regime mais amplo para a biometria. A palavra «biometria» deste sítio designa estes sistemas. A alínea a) do ponto 1 abrange os sistemas de identificação biométrica à distância. Não inclui os sistemas de IA concebidos para serem utilizados para verificação biométrica com o único propósito de confirmar que uma determinada pessoa singular é a pessoa que alega ser. A alínea b) abrange os sistemas de IA concebidos para serem utilizados para categorização biométrica, de acordo com atributos ou características sensíveis ou protegidos com base na inferência desses atributos ou características. A alínea c) abrange os sistemas de IA concebidos para serem utilizados para o reconhecimento de emoções. Um sistema de identificação biométrica à distância identifica pessoas singulares sem a sua participação ativa, normalmente à distância, comparando os dados biométricos de uma pessoa com os dados biométricos contidos numa base de dados de referência (artigo 3.º, ponto 41). A verificação biométrica é a verificação automatizada, um para um, incluindo a autenticação, da identidade de pessoas singulares comparando os seus dados biométricos com dados biométricos previamente fornecidos (artigo 3.º, ponto 36). Um sistema biométrico que o ponto 1 não enumera só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• O artigo 6.º, n.º 3, pode retirar um sistema do anexo III

  Um sistema abrangido pelo anexo III, ponto 1, é de risco elevado nos termos do artigo 6.º, n.º 2. Nos termos do artigo 6.º, n.º 3, não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais. Isso inclui não influenciar de forma significativa o resultado da tomada de decisões. O regulamento aplica esta exceção quando estiver preenchida qualquer das seguintes condições (artigo 6.º, n.º 3, alíneas a) a d)). O sistema destina-se a desempenhar uma tarefa processual restrita. Ou destina-se a melhorar o resultado de uma atividade humana previamente concluída. Ou destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de tomada de decisões anteriores e não se destina a substituir nem influenciar uma avaliação humana previamente concluída, sem que se proceda a uma verificação adequada por um ser humano. Ou destina-se a executar uma tarefa preparatória no contexto de uma avaliação pertinente para os casos de utilização enumerados no anexo III. Saber como estas condições se combinam com o critério do risco significativo é uma questão para um jurista. O sistema é sempre de risco elevado se executar a definição de perfis de pessoas singulares. A definição de perfis consta do artigo 4.º, ponto 4), do RGPD (artigo 3.º, ponto 52). Saber se um determinado sistema biométrico a executa é também uma questão para um jurista. O fornecedor que invoque a exceção documenta a sua avaliação antes de o sistema ser colocado no mercado ou colocado em serviço. Tem também de registar o sistema (artigo 6.º, n.º 4, artigo 49.º, n.º 2). Independentemente disso, o próprio ponto 1, alínea a), exclui os sistemas de IA concebidos para serem utilizados para verificação biométrica com o único propósito de confirmar que uma determinada pessoa singular é a pessoa que alega ser.

• Fornecedor e responsável pela implantação

  O fornecedor («prestador» no regulamento) desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou a sua própria marca (artigo 3.º, ponto 3). A colocação em serviço inclui o fornecimento para utilização própria do fornecedor (artigo 3.º, ponto 11). Uma empresa ou autoridade pública que desenvolve um sistema biométrico e o coloca em serviço sob o seu próprio nome é, por isso, fornecedor. Uma empresa ou autoridade pública que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). O responsável pela implantação passa a ser fornecedor em três casos. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, sem prejuízo de disposições contratuais que estipulem uma atribuição diferente das obrigações. Faz uma modificação substancial desse sistema que o mantém de risco elevado. Ou altera a finalidade prevista de um sistema que não era de risco elevado, de modo a que passe a sê-lo (artigo 25.º, n.º 1). O fornecedor que inicialmente colocou o sistema no mercado ou em serviço deixa então de ser considerado o fornecedor desse sistema específico e deve cooperar estreitamente com o novo fornecedor (artigo 25.º, n.º 2). Isto não se aplica se o fornecedor inicial tiver especificado claramente que o seu sistema não deve ser transformado num sistema de IA de risco elevado.

• As obrigações de informar as pessoas afetadas figuram noutros artigos

  O artigo 13.º diz respeito às informações para os responsáveis pela implantação. Não estabelece nenhuma regra sobre painéis, avisos ou mensagens no ecrã para as pessoas captadas por um sistema biométrico. Os responsáveis pela implantação de sistemas de IA de risco elevado referidos no anexo III que tomem decisões ou ajudem a tomar decisões relacionadas com pessoas singulares informam essas pessoas de que estão sujeitas à utilização do sistema (artigo 26.º, n.º 11). Os responsáveis pela implantação de um sistema de reconhecimento de emoções ou de um sistema de categorização biométrica informam as pessoas singulares expostas ao sistema do seu funcionamento e tratam os dados pessoais em conformidade com o direito de proteção de dados (artigo 50.º, n.º 3). Esta obrigação não se aplica a esses sistemas quando a lei permita a sua utilização para detetar, prevenir ou investigar infrações penais, sob reserva de salvaguardas adequadas dos direitos e liberdades de terceiros e em conformidade com o direito da União. O direito da União em matéria de proteção de dados continua a aplicar-se (artigo 2.º, n.º 7).

• Datas

  Os requisitos para estes usos do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, alínea c), subalínea i)). Um sistema colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, depois, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). Esta regra não abrange os sistemas referidos no artigo 111.º, n.º 1.

• Coimas

  Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, que inclui os artigos 9.º a 15.º (artigo 16.º, alínea a)). O incumprimento das obrigações dos fornecedores previstas no artigo 16.º ou das obrigações dos responsáveis pela implantação previstas no artigo 26.º pode ser punido com coima. A coima pode ir até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4, alíneas a) e e)). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo dos dois (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro define regras que permitam determinar em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Âmbito e limites do regulamento

  O regulamento aplica-se aos fornecedores e responsáveis pela implantação que tenham o seu local de estabelecimento ou estejam localizados num país terceiro, se o resultado produzido pelo sistema de IA for utilizado na União (artigo 2.º, n.º 1, alínea c)). Não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional (artigo 2.º, n.º 3). O regulamento não se aplica a sistemas de IA ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço exclusivamente para fins de investigação e desenvolvimento científicos (artigo 2.º, n.º 6). Também não se aplica às atividades de investigação, testagem ou desenvolvimento antes de um sistema ser colocado no mercado ou colocado em serviço. A testagem em condições reais não é abrangida por essa exclusão (artigo 2.º, n.º 8). Os sistemas de IA lançados ao abrigo de licenças gratuitas e de código aberto ficam fora do regulamento. Essa exclusão não se aplica se forem colocados no mercado ou colocados em serviço como sistemas de IA de risco elevado, ou se se enquadrarem nos artigos 5.º ou 50.º (artigo 2.º, n.º 12). Não se aplica aos sistemas de IA quando e na medida em que sejam colocados no mercado, colocados em serviço ou utilizados, com ou sem modificação, exclusivamente para finalidades militares, de defesa ou de segurança nacional, independentemente do tipo de entidade que realiza essas atividades (artigo 2.º, n.º 3). Não se aplica a autoridades públicas de países terceiros, nem a organizações internacionais abrangidas pelo seu âmbito nos termos do artigo 2.º, n.º 1, quando usem sistemas de IA no âmbito da cooperação internacional ou de acordos internacionais para efeitos de cooperação policial e judiciária com a União ou com um ou vários Estados-Membros, sob condição de esse país terceiro ou organização internacional apresentar salvaguardas adequadas em matéria de proteção de direitos e liberdades fundamentais das pessoas (artigo 2.º, n.º 4). Não se aplica às obrigações dos responsáveis pela implantação que sejam pessoas singulares e utilizem sistemas de IA no âmbito de uma atividade pessoal de caráter puramente não profissional (artigo 2.º, n.º 10). O direito da União em matéria de proteção de dados pessoais, privacidade e confidencialidade das comunicações aplica-se aos dados pessoais tratados em virtude dos direitos e obrigações estabelecidos no regulamento. Sem prejuízo do artigo 4.º-A e do artigo 59.º, o regulamento não afeta o disposto nos Regulamentos (UE) 2016/679 e (UE) 2018/1725 nem nas Diretivas 2002/58/CE e (UE) 2016/680 (artigo 2.º, n.º 7).

• Nenhum valor de exatidão nem lista de grupos específicos para a biometria

  O artigo 13.º, n.º 3, exige que as instruções indiquem o nível de exatidão e as respetivas métricas e, se for adequado, o desempenho em relação a pessoas ou grupos de pessoas específicos. Não indica, para os sistemas biométricos, nenhum valor de exatidão, métrica nem lista de grupos. O regulamento não nomeia nenhuma norma. Presume-se que os sistemas de risco elevado conformes com normas harmonizadas publicadas no Jornal Oficial da União Europeia são conformes com os requisitos da secção 2, desde que essas normas os abranjam (artigo 40.º, n.º 1). A Comissão deve elaborar orientações sobre a aplicação dos requisitos e obrigações dos artigos 8.º a 15.º, 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: um guia para as pessoas que verificam correspondências

  Exemplo, não um requisito do regulamento: para as pessoas que têm de verificar uma correspondência nos termos do artigo 14.º, n.º 5, o fornecedor poderia acrescentar um guia breve sobre como ler uma correspondência e em que circunstâncias esta é menos fiável.

• Exemplo: versionar as instruções de utilização

  Exemplo, não um requisito do regulamento: um fornecedor poderia versionar as instruções de utilização e registar que versão acompanha cada versão do sistema, para que um responsável pela implantação possa verificar o que se aplicava no momento de uma determinada utilização.

• Artigo 13 do Regulamento de IA: transparência e instruções de utilização

  O artigo 13.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para biometria: guia

  A visão geral da biometria: o que o regulamento abrange, o que proíbe e as regras específicas da biometria.

• Artigo 14.º para a IA biométrica: supervisão humana

  A IA biométrica e o artigo 14.º: supervisão humana e verificação por duas pessoas na identificação à distância.

• Artigo 15 do Regulamento de IA: exatidão, solidez e cibersegurança

  O artigo 15.º para todos os setores: os níveis de exatidão que o artigo 13.º, n.º 3, pede aos fornecedores que indiquem.