Artigo 15.º para as tecnologias de RH: exatidão, solidez e cibersegurança

O artigo 15.º fixa requisitos de conceção para o fornecedor. Não indica nenhum valor de exatidão para nenhum setor.

• art. 15(1)
  Nível adequado, durante todo o ciclo de vida

  Os sistemas de IA de risco elevado devem ser concebidos e desenvolvidos de modo a atingirem um nível adequado de exatidão, solidez e cibersegurança e a funcionarem de forma coerente nesses aspetos durante todo o seu ciclo de vida.

• art. 15(2)
  Os parâmetros de referência são promovidos pela Comissão

  A Comissão incentiva, se for caso disso, o desenvolvimento de parâmetros de referência e metodologias de medição, em cooperação com partes interessadas como as autoridades de metrologia e de avaliação comparativa. Não é uma obrigação do fornecedor.

• art. 15(3)
  Declarar níveis e parâmetros

  Os níveis de exatidão e os parâmetros de exatidão relevantes devem ser declarados nas instruções de utilização que acompanham o sistema.

• art. 15(4)
  Resiliência a erros e ciclos de realimentação

  Os sistemas devem ser tão resilientes quanto possível a erros, falhas ou incoerências que possam ocorrer no sistema ou no ambiente em que funciona, em especial devido à interação com pessoas singulares ou outros sistemas. Devem ser tomadas medidas técnicas e organizativas; a redundância técnica, os planos de salvaguarda ou de segurança em caso de falha são citados como opções. Um sistema que continue a aprender depois de colocado no mercado deve ser desenvolvido de modo a eliminar ou reduzir, tanto quanto possível, o risco de resultados enviesados influenciarem entradas futuras (ciclos de realimentação).

• art. 15(5)
  Cibersegurança contra terceiros não autorizados

  Os sistemas devem ser resilientes a tentativas de terceiros não autorizados de alterar a sua utilização, resultados ou desempenho explorando vulnerabilidades. As soluções técnicas incluem, se for caso disso, medidas contra a contaminação de dados, a contaminação do modelo, os exemplos adversariais ou a evasão do modelo, os ataques à confidencialidade e as falhas do modelo.

O artigo 15.º só vincula os fornecedores de sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA de RH passa a ser de risco elevado.

• As tecnologias de RH não são uma categoria do regulamento

  O regulamento não tem uma categoria «tecnologias de RH». Este sítio usa o termo para a IA que entra no regulamento pelo anexo III, ponto 4 (emprego, gestão de trabalhadores e acesso ao emprego por conta própria), e pela proibição do artigo 5.º, n.º 1, alínea f), de inferir emoções no local de trabalho.

• Anexo III, ponto 4: emprego e gestão de trabalhadores

  O anexo III, ponto 4, alínea a), abrange os sistemas de IA destinados a ser utilizados para o recrutamento ou a seleção de pessoas singulares, nomeadamente para divulgar anúncios de emprego específicos, analisar e filtrar candidaturas a emprego e avaliar os candidatos. A alínea b) abrange os sistemas de IA destinados a ser utilizados para tomar decisões que afetem os termos das relações de trabalho, a promoção ou a cessação das relações contratuais de trabalho, para atribuir tarefas com base no comportamento individual ou em traços ou características pessoais, ou para monitorizar e avaliar o desempenho e o comportamento das pessoas no âmbito dessas relações. Um sistema do anexo III só é considerado não de risco elevado ao abrigo do artigo 6.º, n.º 3, e o fornecedor tem de documentar essa avaliação antes de o sistema ser colocado no mercado ou em serviço (artigo 6.º, n.º 4). O artigo 6.º, n.º 3, nunca se aplica quando o sistema realiza definição de perfis de pessoas singulares. Um fornecedor que conclua que o seu sistema do anexo III não é de risco elevado está sujeito à obrigação de registo do artigo 49.º, n.º 2.

• Fornecedor e responsável pela implantação

  O fornecedor («prestador» no regulamento), por exemplo um fabricante de software de RH, desenvolve o sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome (artigo 3.º, ponto 3). Um empregador, uma agência de recrutamento ou outro organismo que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). Passa a ser fornecedor se apuser o seu nome ou marca num sistema de risco elevado já colocado no mercado, fizer uma modificação substancial que o mantenha de risco elevado, ou alterar a finalidade prevista de um sistema que não era de risco elevado de modo a que passe a sê-lo (artigo 25.º, n.º 1). O regulamento não se aplica às obrigações dos responsáveis pela implantação que sejam pessoas singulares que utilizem sistemas de IA no âmbito de uma atividade pessoal de caráter não profissional (artigo 2.º, n.º 10).

• Datas

  Os sistemas do anexo III, ponto 4, têm de cumprir estas obrigações desde 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c), subalínea i)). Um sistema colocado no mercado ou em serviço antes dessa data só fica abrangido se, depois, sofrer alterações significativas em termos de conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). A proibição do artigo 5.º, n.º 1, alínea f), aplica-se desde 2 de fevereiro de 2025; a exceção do artigo 113.º, terceiro parágrafo, alínea a), não a abrange.

• Coimas

  O incumprimento das obrigações dos fornecedores (artigo 16.º) e dos responsáveis pela implantação (artigo 26.º) pode ser punido com coimas até 15 milhões de EUR ou, se o infrator for uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4). Para as PME, incluindo as empresas em fase de arranque, cada coima pode ir até ao montante mais baixo (artigo 99.º, n.º 6); o mesmo vale para as pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro decide em que medida podem ser aplicadas coimas às autoridades e aos organismos públicos nele estabelecidos (artigo 99.º, n.º 8).

• Limites do âmbito de aplicação

  O regulamento não se aplica a domínios que não sejam abrangidos pelo âmbito de aplicação do direito da União (primeira frase do artigo 2.º, n.º 3), nem a sistemas ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço com o único objetivo de investigação e desenvolvimento científicos (artigo 2.º, n.º 6), nem a atividades de investigação, teste ou desenvolvimento antes de o sistema ser colocado no mercado ou em serviço; os testes em condições reais não estão abrangidos por essa exclusão (artigo 2.º, n.º 8). Não se aplica aos sistemas de IA divulgados ao abrigo de licenças de código aberto e gratuitas, salvo se forem colocados no mercado ou em serviço como sistemas de IA de risco elevado ou abrangidos pelo artigo 5.º ou 50.º (artigo 2.º, n.º 12).

• Nenhum valor de exatidão nem métrica de equidade

  O artigo 15.º não indica, para nenhum setor, uma métrica de exatidão, um valor mínimo, um método de teste ou uma norma, e o regulamento não indica nenhuma métrica de equidade para os sistemas de RH. O fornecedor declara os níveis e as métricas relevantes (artigo 15.º, n.º 3). A documentação técnica deve ainda descrever as métricas usadas para medir a exatidão, a solidez e a conformidade, bem como os impactos potencialmente discriminatórios (anexo IV, ponto 2, alínea g)).

• Presunções de conformidade

  O regulamento não indica por si nenhuma norma. Os sistemas conformes com normas harmonizadas cujas referências tenham sido publicadas no Jornal Oficial presumem-se conformes com os requisitos da secção 2, na medida em que essas normas os abranjam (artigo 40.º, n.º 1). Um certificado de cibersegurança ou uma declaração de conformidade ao abrigo do Regulamento (UE) 2019/881, publicados no Jornal Oficial, dá uma presunção quanto aos requisitos de cibersegurança do artigo 15.º (artigo 42.º, n.º 2); os sistemas abrangidos pelo Regulamento (UE) 2024/2847 que cumpram as condições do seu artigo 12.º, n.º 1, consideram-se conformes com esses requisitos (artigo 42.º, n.º 3). A Comissão elabora orientações sobre a aplicação dos requisitos e obrigações dos artigos 8.º a 15.º e dos artigos 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: ciclos de retroalimentação numa ferramenta de classificação

  Exemplo, não um requisito do regulamento: o fornecedor de uma ferramenta de classificação de candidatos que continua a aprender depois de colocada no mercado poderia testar se as suas classificações anteriores influenciam os dados com que depois aprende, que é o que o artigo 15.º, n.º 4, sobre ciclos de retroalimentação, pede ao fornecedor que trate.

• Artigo 15 do Regulamento de IA: exatidão, solidez e cibersegurança

  O artigo 15.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para tecnologia de RH

  Panorama das tecnologias de RH: como o regulamento chega à IA de recrutamento e de gestão de trabalhadores.

• Artigo 26.º para as tecnologias de RH: obrigações dos responsáveis pela implantação

  IA de RH e artigo 26.º: informação aos trabalhadores, supervisão humana, monitorização e registos.

• Anexo III em detalhe: as 8 categorias de risco elevado

  Como o anexo III torna os sistemas de IA de risco elevado, incluindo o emprego e a gestão de trabalhadores.