Artigo 13.º para a IA fintech: transparência e instruções de utilização

O artigo 13.º estabelece obrigações do fornecedor para com o responsável pela implantação. Não impõe nenhuma obrigação de explicar uma decisão a um requerente ou cliente.

• art. 13(1)
  Transparência que permite aos responsáveis pela implantação interpretar os resultados

  Os sistemas de IA de risco elevado devem ser concebidos e desenvolvidos de maneira que o seu funcionamento seja suficientemente transparente para permitir aos responsáveis pela implantação interpretar os resultados do sistema e utilizá-los de forma adequada. Deve ser garantido um tipo e um grau adequados de transparência, para que o fornecedor e o responsável pela implantação possam cumprir as suas obrigações nos termos da secção 3.

• art. 13(2)
  Instruções de utilização

  Os sistemas de risco elevado devem ser acompanhados de instruções de utilização, num formato digital adequado ou outro. Estas devem incluir informações concisas, completas, corretas e claras, pertinentes, acessíveis e compreensíveis para os responsáveis pela implantação.

• art. 13(3)(a), (b)
  Conteúdo mínimo: fornecedor, desempenho e limites

  As instruções devem incluir, pelo menos, a identidade e os dados de contacto do fornecedor, bem como as características, capacidades e limitações de desempenho do sistema. Entre estas conta-se a sua finalidade prevista. Conta-se o nível de exatidão, incluindo os seus parâmetros, de solidez e de cibersegurança usado como referência para testar e validar o sistema e que pode ser esperado, bem como as circunstâncias conhecidas que o possam afetar. Contam-se as circunstâncias conhecidas ou previsíveis que possam causar riscos para a saúde, a segurança ou os direitos fundamentais. Se for caso disso ou quando oportuno, contam-se também as capacidades técnicas para explicar os resultados, o desempenho em relação a determinadas pessoas ou grupos, as especificações para os dados de entrada e as informações que permitam aos responsáveis pela implantação interpretar os resultados.

• art. 13(3)(c)–(f)
  Alterações, supervisão, recursos e registos

  As instruções devem indicar também as alterações predeterminadas pelo fornecedor aquando da avaliação da conformidade inicial, se for caso disso, e as medidas de supervisão humana previstas no artigo 14.º. Devem indicar os recursos computacionais e de hardware necessários, a vida útil esperada e as medidas de manutenção, incluindo as atualizações do software. Sempre que pertinente, descrevem os mecanismos que permitem aos responsáveis pela implantação recolher, armazenar e interpretar corretamente os registos, em conformidade com o artigo 12.º.

O artigo 13.º aplica-se apenas aos sistemas de IA de risco elevado. As linhas abaixo mostram onde a IA fintech passa a ser de risco elevado.

• A fintech não é uma categoria do regulamento

  O regulamento não tem uma categoria «fintech». Este sítio usa a palavra para a IA que entra no regulamento por dois usos do anexo III, ponto 5. O ponto 5, alínea b), abrange os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito. Exclui os sistemas de IA utilizados para efeitos de deteção de fraude financeira. O ponto 5, alínea c), abrange os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde. O ponto 5 não nomeia a deteção de fraude, o branqueamento de capitais nem o conhecimento do cliente, a negociação algorítmica, o aconselhamento automatizado, os seguros não vida, a regularização de sinistros nem as decisões de crédito sobre pessoas coletivas. Um sistema destinado a um destes usos só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• O artigo 6.º, n.º 3, pode retirar um sistema do anexo III

  Um sistema abrangido pelo ponto 5, alínea b), ou pelo ponto 5, alínea c), é de risco elevado nos termos do artigo 6.º, n.º 2. Nos termos do artigo 6.º, n.º 3, não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais. Isso inclui não influenciar de forma significativa o resultado da tomada de decisões. O regulamento aplica esta exceção quando estiver preenchida qualquer das seguintes condições (artigo 6.º, n.º 3, alíneas a) a d)). O sistema destina-se a desempenhar uma tarefa processual restrita. Ou destina-se a melhorar o resultado de uma atividade humana previamente concluída. Ou destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de tomada de decisões anteriores e não se destina a substituir nem influenciar uma avaliação humana previamente concluída, sem que se proceda a uma verificação adequada por um ser humano. Ou destina-se a executar uma tarefa preparatória no contexto de uma avaliação pertinente para os casos de utilização enumerados no anexo III. Saber como estas condições se combinam com o critério do risco significativo é uma questão para um jurista. O sistema é sempre de risco elevado se executar a definição de perfis de pessoas singulares. A definição de perfis consta do artigo 4.º, ponto 4), do RGPD (artigo 3.º, ponto 52). Saber se um determinado sistema de classificação de crédito ou de fixação de preços a executa é também uma questão para um jurista. O fornecedor que invoque a exceção documenta a sua avaliação antes de o sistema ser colocado no mercado ou colocado em serviço. Tem também de registar o sistema (artigo 6.º, n.º 4, artigo 49.º, n.º 2).

• Fornecedor e responsável pela implantação

  O fornecedor («prestador» no regulamento) desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou a sua própria marca (artigo 3.º, ponto 3). A colocação em serviço inclui o fornecimento para utilização própria do fornecedor (artigo 3.º, ponto 11). Um banco ou uma seguradora que desenvolve um sistema e o coloca em serviço sob o seu próprio nome é, por isso, fornecedor. Um banco ou uma seguradora que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). O responsável pela implantação passa a ser fornecedor em três casos. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, sem prejuízo de disposições contratuais que estipulem uma atribuição diferente das obrigações. Faz uma modificação substancial desse sistema que o mantém de risco elevado. Ou altera a finalidade prevista de um sistema que não era de risco elevado, de modo a que passe a sê-lo (artigo 25.º, n.º 1). O fornecedor que inicialmente colocou o sistema no mercado ou em serviço deixa então de ser considerado o fornecedor desse sistema específico e deve cooperar estreitamente com o novo fornecedor (artigo 25.º, n.º 2). Isto não se aplica se o fornecedor inicial tiver especificado claramente que o seu sistema não deve ser transformado num sistema de IA de risco elevado.

• Explicar uma decisão a um requerente não é o artigo 13.º

  O artigo 86.º, n.º 1, confere um direito a explicações. Aplica-se quando um responsável pela implantação toma uma decisão com base nos resultados de um sistema de risco elevado do anexo III, com exceção do ponto 2. A decisão tem de produzir efeitos jurídicos ou afetar a pessoa de forma análoga e significativa, de modo que esta considere ter repercussões negativas na sua saúde, segurança ou direitos fundamentais. A pessoa tem então o direito de obter do responsável pela implantação explicações claras e pertinentes sobre o papel do sistema de IA no processo de tomada de decisão e sobre os principais elementos da decisão tomada. O direito não se aplica quando as exceções ou restrições decorram do direito da União ou do direito nacional em conformidade com o direito da União (artigo 86.º, n.º 2). Aplica-se apenas na medida em que esse direito não esteja estipulado em contrário no direito da União (artigo 86.º, n.º 3). Os responsáveis pela implantação de sistemas do anexo III que tomam decisões ou ajudam a tomar decisões relacionadas com pessoas singulares devem também informá-las de que estão sujeitas à utilização do sistema (artigo 26.º, n.º 11).

• Datas

  Os requisitos para estes usos do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c), subalínea i)). Um sistema colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, depois, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

• Coimas

  Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, que inclui os artigos 9.º a 15.º (artigo 16.º, alínea a)). O incumprimento das obrigações dos fornecedores previstas no artigo 16.º ou das obrigações dos responsáveis pela implantação previstas no artigo 26.º pode ser punido com coima. A coima pode ir até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4, alíneas a) e e)). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo dos dois (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro define regras que permitam determinar em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Âmbito e limites do regulamento

  O regulamento aplica-se aos fornecedores e responsáveis pela implantação que tenham o seu local de estabelecimento ou estejam localizados num país terceiro, se o resultado produzido pelo sistema de IA for utilizado na União (artigo 2.º, n.º 1, alínea c)). Não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional (artigo 2.º, n.º 3). O regulamento não se aplica aos sistemas ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço exclusivamente para fins de investigação e desenvolvimento científicos (artigo 2.º, n.º 6). Também não se aplica às atividades de investigação, testagem ou desenvolvimento antes de um sistema ser colocado no mercado ou colocado em serviço. A testagem em condições reais não é abrangida por essa exclusão (artigo 2.º, n.º 8). Os sistemas de IA lançados ao abrigo de licenças gratuitas e de código aberto ficam fora do regulamento. Essa exclusão não se aplica se forem colocados no mercado ou colocados em serviço como sistemas de IA de risco elevado, ou se se enquadrarem nos artigos 5.º ou 50.º (artigo 2.º, n.º 12).

• Nenhum formato de divulgação próprio da fintech

  O regulamento não indica nenhum formato, modelo nem redação das instruções de utilização no crédito ou nos seguros. O fornecedor decide como apresentar os elementos exigidos pelo artigo 13.º, n.º 3. O regulamento não nomeia nenhuma norma harmonizada. Presume-se que os sistemas de risco elevado conformes com normas harmonizadas publicadas no Jornal Oficial da União Europeia são conformes com os requisitos da secção 2, desde que essas normas os abranjam (artigo 40.º, n.º 1). A Comissão deve elaborar orientações sobre a aplicação prática dos requisitos e obrigações dos artigos 8.º a 15.º, 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: conteúdo para um sistema de classificação de crédito

  Exemplo, não um requisito do regulamento: as instruções de utilização de um sistema de classificação de crédito poderiam indicar os dados de que o modelo precisa e a população em que a sua exatidão foi medida. Poderiam também indicar os casos em que o resultado não deve ser usado isoladamente.

• Exemplo: dados de entrada controlados pelo responsável pela implantação

  Exemplo, não um requisito do regulamento: as instruções de utilização poderiam enumerar os dados de entrada do lado do banco de que o modelo depende, para que um responsável pela implantação que controle os dados de entrada possa cumprir o artigo 26.º, n.º 4.

• Artigo 13 do Regulamento de IA: transparência e instruções de utilização

  O artigo 13.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para fintech: guia

  A visão geral da fintech: como o regulamento abrange a IA de classificação de crédito e de seguros.

• Artigo 14.º para a IA fintech: supervisão humana

  IA fintech e artigo 14.º: supervisão por pessoas singulares e o que o regulamento não exige.

• Anexo III em detalhe: as 8 categorias de risco elevado

  As categorias do anexo III, incluindo o ponto 5, sobre a classificação de crédito e os seguros de vida e de saúde.