Artigo 17.º para a IA fintech: sistema de gestão da qualidade

O sistema deve ser documentado de forma sistemática e ordenada, sob a forma de políticas, procedimentos e instruções escritos. Quatro aspetos ligam-se a outras obrigações do regulamento; seguem-se mais nove.

• art. 17(1)(a)
  Estratégia de conformidade regulamentar

  Uma estratégia para o cumprimento da regulamentação, incluindo o cumprimento dos procedimentos de avaliação da conformidade e dos procedimentos de gestão das modificações do sistema.

• art. 17(1)(g)
  Sistema de gestão de riscos

  O sistema de gestão de riscos referido no artigo 9.º.

• art. 17(1)(h)
  Acompanhamento pós-comercialização

  A criação, a aplicação e a manutenção de um sistema de acompanhamento pós-comercialização, nos termos do artigo 72.º.

• art. 17(1)(i)
  Comunicação de incidentes graves

  Os procedimentos de comunicação de um incidente grave nos termos do artigo 73.º.

• art. 17(1)(b)–(f), (j)–(m)
  Os outros nove aspetos

  Conceção e controlo da conceção; desenvolvimento, controlo da qualidade e garantia da qualidade; procedimentos de exame, teste e validação; especificações técnicas e normas; gestão de dados; comunicação com autoridades, organismos notificados e outros; manutenção de registos; gestão de recursos; um quadro de responsabilização.

• art. 17(2)
  Proporcional à dimensão, não à proteção

  A aplicação deve ser proporcional à dimensão da organização do fornecedor, em especial se for uma PME, incluindo uma empresa em fase de arranque, ou uma pequena empresa de média capitalização. Os fornecedores devem, em qualquer caso, respeitar o grau de rigor e o nível de proteção exigidos para que os seus sistemas de IA de risco elevado cumpram o regulamento.

O artigo 17.º só vincula os fornecedores de sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA fintech passa a ser de risco elevado e que regras visam as instituições financeiras.

• «Fintech» não é uma categoria do regulamento

  O regulamento não tem uma categoria «fintech». Este sítio usa a palavra para a IA que entra no regulamento por duas vias do anexo III: o ponto 5, alínea b) (solvabilidade e classificação de crédito de pessoas singulares) e o ponto 5, alínea c) (avaliação de riscos e fixação de preços em seguros de vida e de saúde). A alínea b) exclui a deteção de fraude. O ponto 5 do anexo III não menciona controlos de combate ao branqueamento de capitais, negociação algorítmica, aconselhamento automatizado, seguros que não sejam de vida e de saúde nem a avaliação de crédito de pessoas coletivas. Um sistema pode, ainda assim, ser de risco elevado ao abrigo de outro ponto do anexo III.

• Anexo III, ponto 5, alíneas b) e c)

  O anexo III, ponto 5, alínea b), abrange os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito, com exceção dos sistemas de IA utilizados para efeitos de deteção de fraude financeira. A alínea c) abrange os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde. Nos termos do artigo 6.º, n.º 2, os sistemas de IA referidos no anexo III são considerados de risco elevado. O fornecedor que considere que um sistema desse tipo não é de risco elevado nos termos do artigo 6.º, n.º 3 deve documentar a sua avaliação antes de o sistema ser colocado no mercado ou em serviço, e registá-lo nos termos do artigo 49.º, n.º 2. A derrogação nunca se aplica quando o sistema realiza definição de perfis de pessoas singulares. A definição de perfis é a definida no artigo 4.º, ponto 4, do Regulamento (UE) 2016/679 (artigo 3.º, ponto 52); o regulamento não responde se um determinado sistema de pontuação realiza definição de perfis.

• Fornecedor e responsável pela implantação

  O fornecedor desenvolve o sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome (artigo 3.º, ponto 3); pode ser um fornecedor de software ou um banco que desenvolve um sistema para uso próprio. Uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que utiliza um sistema sob a sua autoridade, como um banco, uma seguradora ou um mutuante, é um responsável pela implantação (artigo 3.º, ponto 4). Passa a ser fornecedor se apuser o seu nome ou marca num sistema de risco elevado já colocado no mercado, fizer uma modificação substancial que o mantenha de risco elevado, ou alterar a finalidade prevista de um sistema que não era de risco elevado de modo a que passe a sê-lo (artigo 25.º, n.º 1).

• Datas

  O anexo III, ponto 5, alíneas b) e c), aplica-se desde 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c)). Um sistema colocado no mercado ou em serviço antes dessa data só fica abrangido se, depois, sofrer alterações significativas em termos de conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

• Coimas

  O incumprimento das obrigações dos fornecedores (artigo 16.º) e dos responsáveis pela implantação (artigo 26.º) pode ser punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro estabelece as regras sobre em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Limites do âmbito de aplicação do regulamento

  O regulamento aplica-se aos fornecedores que coloquem no mercado ou em serviço sistemas de IA na União, ou coloquem no mercado modelos de IA de finalidade geral na União, independentemente do local onde estejam estabelecidos (artigo 2.º, n.º 1, alínea a)), e aos fornecedores e responsáveis pela implantação estabelecidos num país terceiro quando os resultados do sistema de IA sejam utilizados na União (alínea c)). Não se aplica a domínios que não sejam abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional; também não se aplica aos sistemas de IA utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2.º, n.º 3).

• Instituições financeiras: a regra de governação interna (artigo 17.º, n.º 4)

  Para os fornecedores que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros, considera-se cumprida a obrigação de criar um sistema de gestão da qualidade mediante o cumprimento das regras em matéria de governação, mecanismos ou processos internos previstas nesse direito (artigo 17.º, n.º 4). A exceção são as alíneas g), h) e i) do artigo 17.º, n.º 1: o sistema de gestão de riscos (artigo 9.º), o sistema de acompanhamento pós-comercialização (artigo 72.º) e os procedimentos de comunicação de incidentes graves (artigo 73.º). São tidas em conta as normas harmonizadas a que se refere o artigo 40.º. O regulamento não define «instituição financeira» nem indica o direito dos serviços financeiros em causa.

• Sistemas de gestão da qualidade setoriais

  Os fornecedores sujeitos a obrigações relativas a sistemas de gestão da qualidade ou a uma função equivalente ao abrigo do direito setorial da União podem incluir os aspetos do artigo 17.º, n.º 1, no sistema de gestão da qualidade previsto nesse direito (artigo 17.º, n.º 3).

• Documentação, registos e acompanhamento no direito financeiro

  Os fornecedores que sejam instituições financeiras sujeitas a esses requisitos de governação interna mantêm a documentação técnica como parte da documentação conservada nos termos do direito da União no domínio dos serviços financeiros (artigo 18.º, n.º 3) e mantêm do mesmo modo os registos gerados automaticamente (artigo 19.º, n.º 2). O artigo 72.º, n.º 4, segundo parágrafo, estende aos sistemas do anexo III, ponto 5, dessas instituições financeiras a faculdade de integrar elementos do acompanhamento pós-comercialização em sistemas e planos já existentes; o regulamento não diz que sistemas existentes do direito financeiro são elegíveis.

• Que autoridade é competente

  Para os sistemas de IA de risco elevado colocados no mercado, colocados em serviço ou utilizados por instituições financeiras reguladas pelo direito da União no domínio dos serviços financeiros, a autoridade de fiscalização do mercado é a autoridade nacional responsável pela supervisão financeira dessas instituições nos termos dessa legislação, na medida em que a colocação no mercado, a colocação em serviço ou a utilização do sistema esteja diretamente relacionada com a prestação desses serviços financeiros (artigo 74.º, n.º 6). Em circunstâncias adequadas e desde que seja assegurada a coordenação, o Estado-Membro pode designar outra autoridade competente (artigo 74.º, n.º 7).

• Nenhuma norma indicada nem correspondência com o direito financeiro

  O regulamento não indica nenhuma norma ou certificação para o sistema de gestão da qualidade nem faz corresponder as regras de governação do direito financeiro aos 13 aspetos. O artigo 17.º, n.º 4 apenas diz que são tidas em conta as normas harmonizadas a que se refere o artigo 40.º.

• A conservação durante dez anos é do artigo 18.º

  A obrigação de conservar a documentação do sistema de gestão da qualidade durante dez anos após a colocação no mercado ou em serviço do sistema consta do artigo 18.º, n.º 1, e não do artigo 17.º.

• Exemplo: uma tabela de lacunas

  Exemplo, não um requisito do regulamento: um banco que seja fornecedor poderia listar os 13 aspetos numa tabela, indicar o documento de governação interna que cobre cada um e tratar os aspetos g), h) e i) como trabalho à parte, porque o artigo 17.º, n.º 4, não os cobre.

• Artigo 17 do Regulamento de IA: sistema de gestão da qualidade

  O artigo 17.º para todos os setores: os 13 aspetos, a proporcionalidade e as coimas.

• Regulamento de IA para fintech: guia

  A visão geral de fintech: como o regulamento chega à IA de crédito e de seguros.

• Artigo 15.º para a IA fintech: exatidão, solidez e cibersegurança

  A IA fintech e o artigo 15.º: exatidão, solidez, cibersegurança, datas e papéis.

• Anexo III em detalhe: as 8 categorias de risco elevado

  As oito áreas do anexo III, incluindo a classificação de crédito e os seguros de vida e de saúde.