Artigo 15.º para a IA fintech: exatidão, solidez e cibersegurança

O artigo 15.º fixa requisitos de conceção para o fornecedor. Não indica nenhum valor de exatidão para nenhum setor.

• art. 15(1)
  Nível adequado, durante todo o ciclo de vida

  Os sistemas de IA de risco elevado devem ser concebidos e desenvolvidos de modo a atingirem um nível adequado de exatidão, solidez e cibersegurança e a funcionarem de forma coerente nesses aspetos durante todo o seu ciclo de vida.

• art. 15(2)
  Os parâmetros de referência são promovidos pela Comissão

  A Comissão incentiva, se for caso disso, o desenvolvimento de parâmetros de referência e metodologias de medição, em cooperação com partes interessadas como as autoridades de metrologia e de avaliação comparativa. Não é uma obrigação do fornecedor.

• art. 15(3)
  Declarar níveis e parâmetros

  Os níveis de exatidão e os parâmetros de exatidão relevantes devem ser declarados nas instruções de utilização que acompanham o sistema.

• art. 15(4)
  Resiliência a erros e ciclos de realimentação

  Os sistemas devem ser tão resilientes quanto possível a erros, falhas ou incoerências que possam ocorrer no sistema ou no ambiente em que funciona, em especial devido à interação com pessoas singulares ou outros sistemas. Devem ser tomadas medidas técnicas e organizativas; a redundância técnica, os planos de salvaguarda ou de segurança em caso de falha são citados como opções. Um sistema que continue a aprender depois de colocado no mercado deve ser desenvolvido de modo a eliminar ou reduzir, tanto quanto possível, o risco de resultados enviesados influenciarem entradas futuras (ciclos de realimentação).

• art. 15(5)
  Cibersegurança contra terceiros não autorizados

  Os sistemas devem ser resilientes a tentativas de terceiros não autorizados de alterar a sua utilização, resultados ou desempenho explorando vulnerabilidades. As soluções técnicas incluem, se for caso disso, medidas contra a contaminação de dados, a contaminação do modelo, os exemplos adversariais ou a evasão do modelo, os ataques à confidencialidade e as falhas do modelo.

O artigo 15.º só vincula sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA fintech passa a ser de risco elevado.

• «Fintech» não é uma categoria do regulamento

  O regulamento não tem uma categoria «fintech». Este sítio usa a palavra para a IA que entra no regulamento por duas vias do anexo III: o ponto 5, alínea b) (solvabilidade e classificação de crédito de pessoas singulares) e o ponto 5, alínea c) (avaliação de riscos e fixação de preços em seguros de vida e de saúde). A alínea b) exclui a deteção de fraude. O ponto 5 do anexo III não menciona controlos de combate ao branqueamento de capitais, negociação algorítmica, aconselhamento automatizado, seguros que não sejam de vida e de saúde nem a avaliação de crédito de pessoas coletivas. Um sistema pode, ainda assim, ser de risco elevado ao abrigo de outro ponto do anexo III.

• Anexo III, ponto 5, alíneas b) e c)

  O anexo III, ponto 5, alínea b), abrange os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito, com exceção dos sistemas de IA utilizados para efeitos de deteção de fraude financeira. A alínea c) abrange os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde. Nos termos do artigo 6.º, n.º 2, os sistemas de IA referidos no anexo III são considerados de risco elevado. O fornecedor que considere que um sistema desse tipo não é de risco elevado nos termos do artigo 6.º, n.º 3 deve documentar a sua avaliação antes de o sistema ser colocado no mercado ou em serviço, e registá-lo nos termos do artigo 49.º, n.º 2. A derrogação nunca se aplica quando o sistema realiza definição de perfis de pessoas singulares. A definição de perfis é a definida no artigo 4.º, ponto 4, do Regulamento (UE) 2016/679 (artigo 3.º, ponto 52); o regulamento não responde se um determinado sistema de pontuação realiza definição de perfis.

• Fornecedor e responsável pela implantação

  O fornecedor desenvolve o sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome (artigo 3.º, ponto 3); pode ser um fornecedor de software ou um banco que desenvolve um sistema para uso próprio. Uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que utiliza um sistema sob a sua autoridade, como um banco, uma seguradora ou um mutuante, é um responsável pela implantação (artigo 3.º, ponto 4). Passa a ser fornecedor se apuser o seu nome ou marca num sistema de risco elevado já colocado no mercado, fizer uma modificação substancial que o mantenha de risco elevado, ou alterar a finalidade prevista de um sistema que não era de risco elevado de modo a que passe a sê-lo (artigo 25.º, n.º 1).

• Datas

  O anexo III, ponto 5, alíneas b) e c), aplica-se desde 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c)). Um sistema colocado no mercado ou em serviço antes dessa data só fica abrangido se, depois, sofrer alterações significativas em termos de conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

• Coimas

  O incumprimento das obrigações dos fornecedores (artigo 16.º) e dos responsáveis pela implantação (artigo 26.º) pode ser punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro estabelece as regras sobre em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Limites do âmbito de aplicação do regulamento

  O regulamento aplica-se aos fornecedores que coloquem no mercado ou em serviço sistemas de IA na União, ou coloquem no mercado modelos de IA de finalidade geral na União, independentemente do local onde estejam estabelecidos (artigo 2.º, n.º 1, alínea a)), e aos fornecedores e responsáveis pela implantação estabelecidos num país terceiro quando os resultados do sistema de IA sejam utilizados na União (alínea c)). Não se aplica a domínios que não sejam abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional; também não se aplica aos sistemas de IA utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2.º, n.º 3).

• Nenhum valor de exatidão para fintech

  O artigo 15.º não indica, para nenhum setor, parâmetro de exatidão, valor mínimo, método de teste ou norma, nem para a classificação de crédito ou os seguros. O fornecedor declara os níveis e os parâmetros pertinentes (artigo 15.º, n.º 3). As normas harmonizadas cujas referências são publicadas no Jornal Oficial conferem presunção de conformidade na medida em que cubram os requisitos (artigo 40.º, n.º 1); um certificado de cibersegurança publicado nos termos do Regulamento (UE) 2019/881 confere-a quanto aos requisitos de cibersegurança na medida em que os cubra (artigo 42.º, n.º 2). Os sistemas abrangidos pelo âmbito de aplicação do Regulamento (UE) 2024/2847 que cumpram as condições do artigo 12.º, n.º 1, desse regulamento consideram-se conformes com os requisitos de cibersegurança do artigo 15.º (artigo 42.º, n.º 3). A Comissão elabora orientações sobre a aplicação dos requisitos e obrigações dos artigos 8.º a 15.º e 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: parâmetros para um modelo de classificação de crédito

  Exemplo, não um requisito do regulamento: o fornecedor de um modelo de classificação de crédito poderia declarar que parâmetros de exatidão mediu e indicar a população de requerentes e o período em que foram medidos.

• Exemplo: testes de erros e de ataques

  Exemplo, não um requisito do regulamento: um fornecedor poderia testar o sistema com entradas corrompidas ou fora do intervalo e com exemplos adversariais, e conservar os resultados.

• Artigo 15 do Regulamento de IA: exatidão, solidez e cibersegurança

  O artigo 15.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para fintech: guia

  A visão geral de fintech: como o regulamento chega à IA de crédito e de seguros.

• Artigo 17.º para a IA fintech: sistema de gestão da qualidade

  A IA fintech e o artigo 17.º: os 13 aspetos e a regra para as instituições financeiras.

• Anexo III em detalhe: as 8 categorias de risco elevado

  As oito áreas do anexo III, incluindo a classificação de crédito e os seguros de vida e de saúde.