Skip to main content

Artigo 9.º: sistema de gestão de riscos para a IA de risco elevado

Artigo 9.º do AI Act: os fornecedores de sistemas de IA de risco elevado devem aplicar um sistema de gestão de riscos contínuo. O que abrange, quando se aplica, quanto custam as infrações e por onde começar.

Os fornecedores (prestadores) de sistemas de IA de risco elevado colocados no mercado da UE devem aplicar um sistema de gestão de riscos (artigo 9.º). Abrange todo o ciclo de vida. Identifica, avalia e reduz os riscos.

A regra aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III (lista de utilizações de risco elevado). Para os produtos do anexo I, aplica-se a partir de 2 de agosto de 2028 (artigo 113.º, alínea c). Os produtos da secção B ficam excluídos (artigo 2(2)). As coimas por incumprimento chegam a 15 milhões de EUR ou 3 % do volume de negócios mundial, consoante o montante mais elevado (artigo 99(4)). Próximo passo: confirme, com o artigo 6.º, que o seu sistema é de risco elevado e abra um registo de riscos.

O artigo 9.º exige identificar, avaliar, reduzir e testar os riscos

Identificar os riscos

Liste os riscos conhecidos e razoavelmente previsíveis para a saúde, a segurança ou os direitos fundamentais quando o sistema é utilizado de acordo com a finalidade prevista (artigo 9(2), alínea a)). Só contam os riscos que se podem reduzir de forma razoável através da conceção, do desenvolvimento ou de informações técnicas (artigo 9(3)).

Estimar e avaliar os riscos

Inclua os riscos em caso de utilização indevida razoavelmente previsível e os que surgem nos dados do acompanhamento pós-comercialização (artigo 9(2), alíneas b) e c)).

Reduzir os riscos por uma ordem definida

Primeiro elimine ou reduza os riscos através da conceção e do desenvolvimento. Depois acrescente medidas de atenuação e controlo. Por fim, dê aos responsáveis pela implantação informações e, se for caso disso, formação. O risco residual tem de ser aceitável (artigo 9(5)).

Testar com métricas definidas

Teste durante o desenvolvimento e antes de colocar o sistema no mercado, com métricas e limiares probabilísticos definidos previamente (artigo 9(6) e (8)). Os ensaios em condições reais são possíveis nos termos do artigo 60.º (artigo 9(7)).

Ter em conta crianças e grupos vulneráveis

Pondere se o sistema é suscetível de ter um impacto negativo em pessoas com menos de 18 anos e, se for caso disso, noutros grupos vulneráveis (artigo 9(9)).

Quatro práticas de engenharia que geram provas para o artigo 9.º

O artigo 9.º não prescreve ferramentas. Estas quatro práticas são sugestões para um processo documentado e repetível.

Registo de riscos como código

Mantenha um registo de riscos legível por máquina (JSON ou YAML) sob controlo de versões, junto do código. Anote para cada risco a probabilidade, a gravidade, a medida de atenuação e o responsável.

Verificações de risco em CI/CD

Acrescente ao pipeline análises e testes que assinalem padrões relevantes para o risco, como a falta de validação de entradas ou de limiares de confiança.

Testes para riscos conhecidos

Escreva testes que verifiquem se cada medida funciona, com métricas e limiares definidos previamente (artigo 9(8)).

Monitorização após o lançamento

Leve os dados de produção para o registo: quebras de desempenho, deriva, resultados anómalos e intervenções humanas (artigo 9(2), alínea c)).

A gestão de riscos continua durante todo o ciclo de vida

O artigo 9(2) descreve o sistema como um processo iterativo contínuo, executado ao longo de todo o ciclo de vida, com revisão e atualização sistemáticas e regulares.

1

Identificar e avaliar os riscos antes de cada versão.

2

Aplicar as medidas de atenuação e testá-las.

3

Monitorizar após o lançamento e devolver as conclusões ao registo.

Perguntas frequentes sobre o artigo 9.º

O artigo 9.º aplica-se a todos os sistemas de IA?

Não. O artigo 9.º aplica-se aos sistemas de IA de risco elevado, que o artigo 6.º define através dos anexos III e I. Aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III e a partir de 2 de agosto de 2028 aos do anexo I (artigo 113.º, alínea c). Para os sistemas de risco elevado relacionados com produtos abrangidos pela legislação do anexo I, secção B, aplicam-se apenas o artigo 6(1), o artigo 60.º-A e os artigos 102.º a 112.º, e os artigos 57.º a 59.º só se aplicam na medida em que os requisitos para os sistemas de IA de risco elevado tenham sido integrados nessa legislação (artigo 2(2)).

Que documentação exige o artigo 9.º?

O artigo 9(1) exige que o sistema de gestão de riscos seja documentado, e o anexo IV, ponto 5, exige a sua descrição detalhada na documentação técnica. O regulamento não enumera um conjunto fixo de documentos. Registe os riscos, as medidas, a avaliação do risco residual e os resultados dos testes.

Com que frequência deve o sistema de gestão de riscos ser revisto?

De forma regular e sistemática durante todo o ciclo de vida (artigo 9(2)). O regulamento não fixa um intervalo.

Quem é responsável pelo sistema de gestão de riscos?

O fornecedor. Os fornecedores devem assegurar que os seus sistemas de IA de risco elevado cumprem os requisitos da secção 2, incluindo o artigo 9.º (artigo 16, alínea a)). Os responsáveis pela implantação não o gerem, mas devem monitorizar o funcionamento do sistema e informar os fornecedores, se for caso disso (artigo 26(5)).

Que coima se aplica se um fornecedor infringir o artigo 9.º?

As coimas por incumprimento das obrigações dos fornecedores do artigo 16.º chegam a 15 milhões de EUR ou 3 % do volume de negócios anual a nível mundial, consoante o montante que for mais elevado (artigo 99(4)). Para as PME e as pequenas empresas de média capitalização, o limite é o mais baixo dos dois montantes (artigo 99(6) e (6-A)).

A seguir: registos, supervisão e documentação técnica

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.