Artigo 14.º para a IA biométrica: supervisão humana

O artigo 14.º estabelece obrigações de conceção para o fornecedor. O n.º 5 acrescenta uma regra só para os sistemas de identificação biométrica à distância.

• art. 14(1)–(2)
  Supervisão eficaz por pessoas singulares

  Os sistemas de IA de risco elevado são concebidos e desenvolvidos de modo, nomeadamente com ferramentas de interface homem-máquina adequadas, a poderem ser eficazmente supervisionados por pessoas singulares durante o período de utilização. A supervisão humana tem por objetivo prevenir ou minimizar os riscos para a saúde, a segurança ou os direitos fundamentais que possam surgir quando um sistema é utilizado de acordo com a sua finalidade prevista ou em condições de utilização indevida razoavelmente previsível, em especial quando esses riscos persistem apesar da aplicação de outros requisitos da secção 2.

• art. 14(3)
  Medidas proporcionais aos riscos, à autonomia e ao contexto

  As medidas de supervisão devem ser proporcionais aos riscos, ao nível de autonomia e ao contexto de utilização do sistema. São asseguradas através de um ou de ambos os tipos de medidas seguintes. O primeiro tipo são medidas identificadas e, se for tecnicamente viável, integradas no sistema pelo fornecedor antes de este ser colocado no mercado ou colocado em serviço. O segundo tipo são medidas identificadas pelo fornecedor antes de o sistema ser colocado no mercado ou colocado em serviço e que sejam adequadas para serem aplicadas pelo responsável pela implantação.

• art. 14(4)
  O que as pessoas encarregadas da supervisão devem poder fazer

  O sistema de IA de risco elevado é fornecido ao responsável pela implantação de tal modo que as pessoas singulares a quem seja atribuída a supervisão humana possam, consoante adequado e proporcionado, fazer cinco coisas. Primeiro, compreender corretamente as capacidades e limitações pertinentes do sistema e poder acompanhar devidamente o seu funcionamento, nomeadamente com vista à deteção e resolução de anomalias, disfunções e desempenhos inesperados. Segundo, manter-se ciente da eventual tendência para confiar automaticamente ou excessivamente nos resultados do sistema (enviesamento da automatização), em especial no que toca a sistemas utilizados para prestar informações ou recomendações com vista à tomada de decisões por pessoas singulares. Terceiro, interpretar corretamente os resultados do sistema, tendo em conta, por exemplo, as ferramentas e os métodos de interpretação disponíveis. Quarto, decidir, em qualquer situação específica, não usar o sistema ou ignorar, anular ou reverter os seus resultados. Quinto, intervir no funcionamento do sistema ou interrompê-lo por meio de um botão de «paragem» ou de um procedimento similar que permita parar o sistema de modo seguro.

• art. 14(5)
  Identificação à distância: nenhuma ação sem verificação separada por duas pessoas

  Em relação aos sistemas de IA de risco elevado a que se refere o anexo III, ponto 1, alínea a), as medidas de supervisão devem, além disso, permitir assegurar que nenhuma ação ou decisão seja tomada pelo responsável pela implantação com base na identificação resultante do sistema, salvo se a mesma tiver sido verificada e confirmada separadamente por, pelo menos, duas pessoas singulares com a competência, formação e autoridade necessárias.

• art. 14(5)
  Exceção quando o direito da União ou nacional considera a verificação desproporcionada

  O requisito de verificação separada por, pelo menos, duas pessoas singulares não se aplica aos sistemas de IA de risco elevado utilizados para efeitos de aplicação da lei, de migração, de controlo das fronteiras ou de asilo, em que o direito da União ou o direito nacional considere que a aplicação deste requisito é desproporcionada.

O artigo 14.º vincula apenas os sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA biométrica é de risco elevado, quem está vinculado e quem exerce a supervisão na prática.

• O anexo III contém um domínio «Biometria», limitado a três tipos de sistemas

  O anexo III contém um domínio «Biometria», na medida em que a sua utilização seja permitida ao abrigo do direito da União ou do direito nacional aplicável. O domínio limita-se ao ponto 1, alíneas a) a c); o regulamento não tem um regime mais amplo para a biometria. A palavra «biometria» deste sítio designa estes sistemas. A alínea a) do ponto 1 abrange os sistemas de identificação biométrica à distância. Não inclui os sistemas de IA concebidos para serem utilizados para verificação biométrica com o único propósito de confirmar que uma determinada pessoa singular é a pessoa que alega ser. A alínea b) abrange os sistemas de IA concebidos para serem utilizados para categorização biométrica, de acordo com atributos ou características sensíveis ou protegidos com base na inferência desses atributos ou características. A alínea c) abrange os sistemas de IA concebidos para serem utilizados para o reconhecimento de emoções. Um sistema de identificação biométrica à distância identifica pessoas singulares sem a sua participação ativa, normalmente à distância, comparando os dados biométricos de uma pessoa com os dados biométricos contidos numa base de dados de referência (artigo 3.º, ponto 41). A verificação biométrica é a verificação automatizada, um para um, incluindo a autenticação, da identidade de pessoas singulares comparando os seus dados biométricos com dados biométricos previamente fornecidos (artigo 3.º, ponto 36). Um sistema biométrico que o ponto 1 não enumera só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• O artigo 6.º, n.º 3, pode retirar um sistema do anexo III

  Um sistema abrangido pelo anexo III, ponto 1, é de risco elevado nos termos do artigo 6.º, n.º 2. Nos termos do artigo 6.º, n.º 3, não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais. Isso inclui não influenciar de forma significativa o resultado da tomada de decisões. O regulamento aplica esta exceção quando estiver preenchida qualquer das seguintes condições (artigo 6.º, n.º 3, alíneas a) a d)). O sistema destina-se a desempenhar uma tarefa processual restrita. Ou destina-se a melhorar o resultado de uma atividade humana previamente concluída. Ou destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de tomada de decisões anteriores e não se destina a substituir nem influenciar uma avaliação humana previamente concluída, sem que se proceda a uma verificação adequada por um ser humano. Ou destina-se a executar uma tarefa preparatória no contexto de uma avaliação pertinente para os casos de utilização enumerados no anexo III. Saber como estas condições se combinam com o critério do risco significativo é uma questão para um jurista. O sistema é sempre de risco elevado se executar a definição de perfis de pessoas singulares. A definição de perfis consta do artigo 4.º, ponto 4), do RGPD (artigo 3.º, ponto 52). Saber se um determinado sistema biométrico a executa é também uma questão para um jurista. O fornecedor que invoque a exceção documenta a sua avaliação antes de o sistema ser colocado no mercado ou colocado em serviço. Tem também de registar o sistema (artigo 6.º, n.º 4, artigo 49.º, n.º 2). Independentemente disso, o próprio ponto 1, alínea a), exclui os sistemas de IA concebidos para serem utilizados para verificação biométrica com o único propósito de confirmar que uma determinada pessoa singular é a pessoa que alega ser.

• Fornecedor e responsável pela implantação

  O fornecedor («prestador» no regulamento) desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou a sua própria marca (artigo 3.º, ponto 3). A colocação em serviço inclui o fornecimento para utilização própria do fornecedor (artigo 3.º, ponto 11). Uma empresa ou autoridade pública que desenvolve um sistema biométrico e o coloca em serviço sob o seu próprio nome é, por isso, fornecedor. Uma empresa ou autoridade pública que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). O responsável pela implantação passa a ser fornecedor em três casos. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, sem prejuízo de disposições contratuais que estipulem uma atribuição diferente das obrigações. Faz uma modificação substancial desse sistema que o mantém de risco elevado. Ou altera a finalidade prevista de um sistema que não era de risco elevado, de modo a que passe a sê-lo (artigo 25.º, n.º 1). O fornecedor que inicialmente colocou o sistema no mercado ou em serviço deixa então de ser considerado o fornecedor desse sistema específico e deve cooperar estreitamente com o novo fornecedor (artigo 25.º, n.º 2). Isto não se aplica se o fornecedor inicial tiver especificado claramente que o seu sistema não deve ser transformado num sistema de IA de risco elevado.

• Os responsáveis pela implantação atribuem a supervisão a pessoas competentes

  Os responsáveis pela implantação atribuem a supervisão humana a pessoas singulares que tenham a competência, formação e autoridade necessárias, bem como o apoio necessário (artigo 26.º, n.º 2). Tal não prejudica outras obrigações do responsável pela implantação ao abrigo do direito da União ou nacional, nem a liberdade de o responsável pela implantação organizar os seus próprios recursos e atividades para aplicar as medidas de supervisão humana indicadas pelo fornecedor (artigo 26.º, n.º 3). O registo de um sistema do ponto 1, alínea a), regista as pessoas que verificaram resultados (artigo 12.º, n.º 3, alínea d)).

• Datas

  Os requisitos para estes usos do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, alínea c), subalínea i)). Um sistema colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, depois, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). Esta regra não abrange os sistemas referidos no artigo 111.º, n.º 1.

• Coimas

  Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, que inclui os artigos 9.º a 15.º (artigo 16.º, alínea a)). O incumprimento das obrigações dos fornecedores previstas no artigo 16.º ou das obrigações dos responsáveis pela implantação previstas no artigo 26.º pode ser punido com coima. A coima pode ir até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4, alíneas a) e e)). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo dos dois (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro define regras que permitam determinar em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Âmbito e limites do regulamento

  O regulamento aplica-se aos fornecedores e responsáveis pela implantação que tenham o seu local de estabelecimento ou estejam localizados num país terceiro, se o resultado produzido pelo sistema de IA for utilizado na União (artigo 2.º, n.º 1, alínea c)). Não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional (artigo 2.º, n.º 3). O regulamento não se aplica a sistemas de IA ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço exclusivamente para fins de investigação e desenvolvimento científicos (artigo 2.º, n.º 6). Também não se aplica às atividades de investigação, testagem ou desenvolvimento antes de um sistema ser colocado no mercado ou colocado em serviço. A testagem em condições reais não é abrangida por essa exclusão (artigo 2.º, n.º 8). Os sistemas de IA lançados ao abrigo de licenças gratuitas e de código aberto ficam fora do regulamento. Essa exclusão não se aplica se forem colocados no mercado ou colocados em serviço como sistemas de IA de risco elevado, ou se se enquadrarem nos artigos 5.º ou 50.º (artigo 2.º, n.º 12). Não se aplica aos sistemas de IA quando e na medida em que sejam colocados no mercado, colocados em serviço ou utilizados, com ou sem modificação, exclusivamente para finalidades militares, de defesa ou de segurança nacional, independentemente do tipo de entidade que realiza essas atividades (artigo 2.º, n.º 3). Não se aplica a autoridades públicas de países terceiros, nem a organizações internacionais abrangidas pelo seu âmbito nos termos do artigo 2.º, n.º 1, quando usem sistemas de IA no âmbito da cooperação internacional ou de acordos internacionais para efeitos de cooperação policial e judiciária com a União ou com um ou vários Estados-Membros, sob condição de esse país terceiro ou organização internacional apresentar salvaguardas adequadas em matéria de proteção de direitos e liberdades fundamentais das pessoas (artigo 2.º, n.º 4). Não se aplica às obrigações dos responsáveis pela implantação que sejam pessoas singulares e utilizem sistemas de IA no âmbito de uma atividade pessoal de caráter puramente não profissional (artigo 2.º, n.º 10). O direito da União em matéria de proteção de dados pessoais, privacidade e confidencialidade das comunicações aplica-se aos dados pessoais tratados em virtude dos direitos e obrigações estabelecidos no regulamento. Sem prejuízo do artigo 4.º-A e do artigo 59.º, o regulamento não afeta o disposto nos Regulamentos (UE) 2016/679 e (UE) 2018/1725 nem nas Diretivas 2002/58/CE e (UE) 2016/680 (artigo 2.º, n.º 7).

• O regulamento não diz como as duas pessoas verificam

  O artigo 14.º, n.º 5, não indica procedimento, ferramenta, prazo nem dotação de pessoal para a verificação separada. Exige apenas que, pelo menos, duas pessoas singulares com a competência, formação e autoridade necessárias verifiquem e confirmem separadamente a identificação. O regulamento não nomeia nenhuma norma. Presume-se que os sistemas de risco elevado conformes com normas harmonizadas publicadas no Jornal Oficial da União Europeia são conformes com os requisitos da secção 2, desde que essas normas os abranjam (artigo 40.º, n.º 1). A Comissão deve elaborar orientações sobre a aplicação dos requisitos e obrigações dos artigos 8.º a 15.º, 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: duas comparações independentes

  Exemplo, não um requisito do regulamento: um responsável pela implantação poderia pedir a cada uma das duas pessoas que compare, por si, a correspondência com a imagem de origem, antes de ver a decisão da outra, e registar ambas as decisões.

• Exemplo: uma correspondência apresentada como candidata

  Exemplo, não um requisito do regulamento: um fornecedor poderia apresentar uma correspondência como candidata a verificar, com as informações necessárias para a confirmar, e não como uma identidade confirmada. Isto apoia a consciência do enviesamento da automatização descrita no artigo 14.º, n.º 4, alínea b).

• Artigo 14 do Regulamento de IA: supervisão humana e botão de paragem

  O artigo 14.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para biometria: guia

  A visão geral da biometria: o que o regulamento abrange, o que proíbe e as regras específicas da biometria.

• Artigo 15.º para a biometria: exatidão, robustez e cibersegurança

  A IA biométrica e o artigo 15.º: exatidão, solidez e cibersegurança.

• Artigo 26.º: obrigações do responsável pela implantação de IA de risco elevado

  O artigo 26.º para todos os setores: obrigações dos responsáveis pela implantação, incluindo a atribuição da supervisão humana do artigo 26.º, n.º 2.