Skip to main content

Artigo 26.º em fintech: obrigações dos responsáveis pela implantação

Como se aplica o artigo 26.º (obrigações do responsável pela implantação) a bancos, seguradoras e mutuantes que utilizam IA de risco elevado: supervisão, acompanhamento, registos, regras para as instituições financeiras, artigos 27.º e 86.º, datas e coimas.

Os responsáveis pela implantação de sistemas de IA de risco elevado, como os bancos e as seguradoras, têm de seguir as instruções de utilização, atribuir a supervisão humana, acompanhar o funcionamento e manter os registos (artigo 26.º).

As vias fintech são o anexo III, ponto 5, alíneas b) e c), desde 2 de dezembro de 2027; «fintech» não é uma categoria do regulamento. Os responsáveis pela implantação desses sistemas têm também de avaliar o impacto nos direitos fundamentais (artigo 27.º, n.º 1). As coimas vão até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do volume de negócios anual mundial, o mais elevado (artigo 99.º, n.º 4). Próximo passo: peça a cada fornecedor as instruções de utilização.

O artigo 26.º pede aos responsáveis pela implantação que utilizem, supervisionem, acompanhem e registem

O artigo 26.º fixa estas obrigações aos responsáveis pela implantação de sistemas de IA de risco elevado.

  • art. 26(1)
    Utilizar de acordo com as instruções

    Tomar medidas técnicas e organizativas adequadas para utilizar o sistema de acordo com as instruções de utilização.

  • art. 26(2)
    Atribuir a supervisão humana

    Atribuir a supervisão humana a pessoas singulares que possuam as competências, a formação e a autoridade necessárias, bem como o apoio necessário.

  • art. 26(4)
    Verificar os dados de entrada

    Na medida em que o responsável pela implantação exerça controlo sobre os dados de entrada, garantir que esses dados são pertinentes e suficientemente representativos tendo em conta a finalidade prevista.

  • art. 26(5)
    Acompanhar, informar, suspender

    Acompanhar o funcionamento com base nas instruções de utilização e, se for caso disso, informar os fornecedores. Se a utilização de acordo com as instruções puder apresentar um risco na aceção do artigo 79.º, n.º 1, informar sem demora injustificada o fornecedor ou o distribuidor e a autoridade de fiscalização do mercado e suspender a utilização. Após um incidente grave, informar imediatamente primeiro o fornecedor e depois o importador ou o distribuidor e as autoridades de fiscalização do mercado. Se não conseguir contactar o fornecedor, aplica-se o artigo 73.º, com as devidas adaptações.

  • art. 26(6)
    Conservar os registos

    Conservar os registos gerados automaticamente pelo sistema, na medida em que estejam sob o seu controlo, durante um período adequado à finalidade prevista e de, pelo menos, seis meses, salvo disposição em contrário do direito da União ou nacional, em especial em matéria de proteção de dados pessoais.

  • art. 26(7)
    Informar os trabalhadores

    Os empregadores devem informar os representantes dos trabalhadores e os trabalhadores afetados, antes de colocarem em serviço ou utilizarem um sistema de risco elevado no local de trabalho, de que estarão sujeitos à sua utilização. Esta informação é prestada, se aplicável, em conformidade com as regras e os procedimentos do direito e da prática da União e nacionais em matéria de informação dos trabalhadores e dos seus representantes.

  • art. 26(8)
    As autoridades públicas registam-se

    Os responsáveis pela implantação que sejam autoridades públicas, ou instituições, órgãos ou organismos da União, devem cumprir as obrigações de registo do artigo 49.º, que dizem respeito a sistemas do anexo III. Não devem utilizar um sistema que não esteja registado na base de dados da UE.

  • art. 26(9)
    Avaliação de impacto sobre a proteção de dados

    Se for caso disso, utilizar as informações prestadas nos termos do artigo 13.º para a avaliação de impacto sobre a proteção de dados prevista no artigo 35.º do Regulamento (UE) 2016/679 ou no artigo 27.º da Diretiva (UE) 2016/680.

  • art. 26(11)
    Informar as pessoas afetadas por decisões

    Nos sistemas do anexo III que tomam ou ajudam a tomar decisões sobre pessoas singulares, informar essas pessoas de que estão sujeitas à utilização do sistema, sem prejuízo do artigo 50.º.

  • art. 26(12)
    Cooperar com as autoridades

    Cooperar com as autoridades competentes em qualquer ação que estas empreendam relativamente ao sistema de IA de risco elevado.

Como se aplica o artigo 26.º num banco ou seguradora

O artigo 26.º só vincula os responsáveis pela implantação de sistemas de IA de risco elevado. As linhas abaixo mostram quando a IA fintech passa a ser de risco elevado e que regras visam as instituições financeiras.

  • «Fintech» não é uma categoria do regulamento

    O regulamento não tem uma categoria «fintech». Este sítio usa a palavra para a IA que entra no regulamento por duas vias do anexo III: o ponto 5, alínea b) (solvabilidade e classificação de crédito de pessoas singulares) e o ponto 5, alínea c) (avaliação de riscos e fixação de preços em seguros de vida e de saúde). A alínea b) exclui a deteção de fraude. O ponto 5 do anexo III não menciona controlos de combate ao branqueamento de capitais, negociação algorítmica, aconselhamento automatizado, seguros que não sejam de vida e de saúde nem a avaliação de crédito de pessoas coletivas. Um sistema pode, ainda assim, ser de risco elevado ao abrigo de outro ponto do anexo III.

  • Anexo III, ponto 5, alíneas b) e c)

    O anexo III, ponto 5, alínea b), abrange os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito, com exceção dos sistemas de IA utilizados para efeitos de deteção de fraude financeira. A alínea c) abrange os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde. Nos termos do artigo 6.º, n.º 2, os sistemas de IA referidos no anexo III são considerados de risco elevado. O fornecedor que considere que um sistema desse tipo não é de risco elevado nos termos do artigo 6.º, n.º 3 deve documentar a sua avaliação antes de o sistema ser colocado no mercado ou em serviço, e registá-lo nos termos do artigo 49.º, n.º 2. A derrogação nunca se aplica quando o sistema realiza definição de perfis de pessoas singulares. A definição de perfis é a definida no artigo 4.º, ponto 4, do Regulamento (UE) 2016/679 (artigo 3.º, ponto 52); o regulamento não responde se um determinado sistema de pontuação realiza definição de perfis.

  • Fornecedor e responsável pela implantação

    O fornecedor desenvolve o sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome (artigo 3.º, ponto 3); pode ser um fornecedor de software ou um banco que desenvolve um sistema para uso próprio. Uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que utiliza um sistema sob a sua autoridade, como um banco, uma seguradora ou um mutuante, é um responsável pela implantação (artigo 3.º, ponto 4). Passa a ser fornecedor se apuser o seu nome ou marca num sistema de risco elevado já colocado no mercado, fizer uma modificação substancial que o mantenha de risco elevado, ou alterar a finalidade prevista de um sistema que não era de risco elevado de modo a que passe a sê-lo (artigo 25.º, n.º 1). As pessoas singulares que utilizam um sistema no âmbito de uma atividade puramente pessoal e não profissional não estão vinculadas como responsáveis pela implantação (artigo 2.º, n.º 10). Apor o seu nome ou marca no sistema não prejudica os acordos contratuais que atribuam as obrigações de outra forma (artigo 25.º, n.º 1, alínea a)); o fornecedor inicial deixa então de ser o fornecedor desse sistema e coopera estreitamente com o novo fornecedor (artigo 25.º, n.º 2).

  • Datas

    O anexo III, ponto 5, alíneas b) e c), aplica-se desde 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c)). Um sistema colocado no mercado ou em serviço antes dessa data só fica abrangido se, depois, sofrer alterações significativas em termos de conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

  • Coimas

    O incumprimento das obrigações dos fornecedores (artigo 16.º) e dos responsáveis pela implantação (artigo 26.º) pode ser punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro estabelece as regras sobre em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8). Os artigos 27.º, 49.º e 86.º não constam do artigo 99.º, n.os 3 a 5; os Estados-Membros estabelecem as regras relativas às sanções aplicáveis a qualquer infração do regulamento por parte dos operadores (artigo 99.º, n.º 1).

  • Limites do âmbito de aplicação do regulamento

    O regulamento aplica-se aos fornecedores que coloquem no mercado ou em serviço sistemas de IA na União, ou coloquem no mercado modelos de IA de finalidade geral na União, independentemente do local onde estejam estabelecidos (artigo 2.º, n.º 1, alínea a)), e aos fornecedores e responsáveis pela implantação estabelecidos num país terceiro quando os resultados do sistema de IA sejam utilizados na União (alínea c)). Não se aplica a domínios que não sejam abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional; também não se aplica aos sistemas de IA utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2.º, n.º 3).

  • Instituições financeiras: acompanhamento e registos (artigo 26.º, n.os 5 e 6)

    Para os responsáveis pela implantação que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros, considera-se cumprida a obrigação de acompanhamento mediante o cumprimento das regras em matéria de governação, mecanismos, processos e dispositivos internos previstas na legislação pertinente em matéria de serviços financeiros (artigo 26.º, n.º 5, segundo parágrafo). Esses responsáveis pela implantação mantêm os registos como parte da documentação conservada nos termos do direito da União no domínio dos serviços financeiros (artigo 26.º, n.º 6, segundo parágrafo). O regulamento não indica o direito dos serviços financeiros em causa.

  • Avaliação de impacto sobre os direitos fundamentais (artigo 27.º)

    Artigo 27.º, n.º 1: antes de colocar em utilização um sistema de IA de risco elevado referido no artigo 6.º, n.º 2, com exceção dos sistemas destinados a ser utilizados na área enumerada no ponto 2 do anexo III, os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos, e os responsáveis pela implantação de sistemas referidos no anexo III, ponto 5, alíneas b) e c), devem avaliar o impacto que a utilização desse sistema pode ter nos direitos fundamentais. Para as alíneas b) e c), o texto refere os responsáveis pela implantação desses sistemas sem os limitar a organismos públicos. A obrigação aplica-se à primeira utilização; em casos semelhantes, o responsável pela implantação pode basear-se em avaliações anteriores (artigo 27.º, n.º 2). O responsável pela implantação notifica a autoridade de fiscalização do mercado dos resultados (artigo 27.º, n.º 3) e pode remeter para uma avaliação de impacto sobre a proteção de dados (artigo 27.º, n.º 4).

  • Explicação das decisões (artigo 86.º) e informação (artigo 26.º, n.º 11)

    Nos termos do artigo 26.º, n.º 11, os responsáveis pela implantação de sistemas de IA de risco elevado do anexo III que tomem decisões relacionadas com pessoas singulares, ou ajudem a tomá-las, devem informar essas pessoas de que estão sujeitas à utilização do sistema. Em separado, qualquer pessoa afetada sujeita a uma decisão tomada pelo responsável pela implantação com base nos resultados de um sistema de IA de risco elevado do anexo III (com exceção do ponto 2), que produza efeitos jurídicos ou a afete de forma igualmente significativa, de uma forma que considere ter um impacto negativo na sua saúde, segurança ou direitos fundamentais, tem o direito de obter do responsável pela implantação explicações claras e significativas sobre o papel do sistema de IA no processo de tomada de decisão e sobre os principais elementos da decisão tomada (artigo 86.º, n.º 1). Isto só se aplica na medida em que esse direito não esteja previsto de outra forma no direito da União (artigo 86.º, n.º 3). O n.º 1 não se aplica quando decorram exceções ou restrições do direito da União ou do direito nacional, em conformidade com o direito da União (artigo 86.º, n.º 2).

  • Que autoridade é competente

    Para os sistemas de IA de risco elevado colocados no mercado, colocados em serviço ou utilizados por instituições financeiras reguladas pelo direito da União no domínio dos serviços financeiros, a autoridade de fiscalização do mercado é a autoridade nacional responsável pela supervisão financeira dessas instituições nos termos dessa legislação, na medida em que a colocação no mercado, a colocação em serviço ou a utilização do sistema esteja diretamente relacionada com a prestação desses serviços financeiros (artigo 74.º, n.º 6). Em circunstâncias adequadas e desde que seja assegurada a coordenação, o Estado-Membro pode designar outra autoridade competente (artigo 74.º, n.º 7).

O que o regulamento deixa em aberto para fintech

  • Sem números de pessoal ou de formação

    O artigo 26.º não fixa efetivos, horas de formação nem qualificações para as pessoas que supervisionam um sistema de crédito ou de seguros. Exige a competência, a formação, a autoridade e o apoio necessários. A Comissão elabora orientações sobre a aplicação dos requisitos e obrigações dos artigos 8.º a 15.º e 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

  • Registos e conservação no direito financeiro

    O artigo 26.º, n.º 6, fixa pelo menos seis meses para os registos sob o controlo do responsável pela implantação e cede perante outro direito da União ou nacional, em especial sobre dados pessoais. O regulamento não indica nenhum prazo de conservação do direito dos serviços financeiros.

  • Escolha de conceção: papéis de supervisão

    Uma opção de conceção comum, não um requisito do regulamento: designar as pessoas de supervisão pela sua função nos procedimentos de crédito ou de subscrição e registar a sua formação.

  • Revisão humana de cada decisão

    O artigo 14.º, n.º 4, e o artigo 26.º, n.º 2, dizem respeito à supervisão humana do sistema. Nenhum deles diz que uma pessoa deve rever cada decisão individual. O regulamento não responde se outro direito, por exemplo sobre decisões individuais automatizadas, o exige.

Perguntas sobre o artigo 26.º em fintech

Um banco que utiliza o sistema de classificação de crédito de um fornecedor é responsável pela implantação?

Sim, se utilizar o sistema de IA sob a sua autoridade (artigo 3.º, ponto 4). Tem então as obrigações do artigo 26.º desde 2 de dezembro de 2027, quando o sistema é de risco elevado nos termos do anexo III, ponto 5, alínea b). Passa a ser fornecedor nos casos do artigo 25.º, n.º 1.

Um banco privado tem de realizar uma avaliação de impacto sobre os direitos fundamentais?

Se implantar um sistema referido no anexo III, ponto 5, alínea b) ou c), o artigo 27.º, n.º 1, exige a avaliação antes da implantação. O texto refere os responsáveis pela implantação desses sistemas sem os limitar a organismos públicos. Os resultados são notificados à autoridade de fiscalização do mercado (artigo 27.º, n.º 3).

Durante quanto tempo deve um banco conservar os registos de um sistema de IA?

Um responsável pela implantação que seja uma instituição financeira sujeita a requisitos de governação interna nos termos do direito da União no domínio dos serviços financeiros mantém os registos como parte da documentação conservada nos termos desse direito (artigo 26.º, n.º 6). Os outros responsáveis pela implantação conservam os registos sob o seu controlo durante, pelo menos, seis meses, salvo disposição em contrário de outro direito da União ou nacional. O regulamento não indica nenhum prazo de conservação do direito dos serviços financeiros.

Um banco tem de explicar ao requerente a recusa de um pedido de crédito?

Quando estão reunidas as condições do artigo 86.º, n.º 1, a pessoa afetada tem o direito de obter do responsável pela implantação explicações claras e significativas sobre o papel do sistema de IA na decisão e sobre os principais elementos da decisão. O artigo 26.º, n.º 11, exige em separado que o responsável pela implantação informe as pessoas de que estão sujeitas à utilização de um sistema do anexo III que toma decisões sobre elas ou ajuda a tomá-las. O artigo 86.º só se aplica na medida em que esse direito não esteja previsto de outra forma no direito da União (artigo 86.º, n.º 3). O n.º 1 não se aplica quando decorram exceções ou restrições do direito da União ou do direito nacional, em conformidade com o direito da União (artigo 86.º, n.º 2).

Páginas relacionadas

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.