Artigo 9.º para a IA fintech: sistema de gestão de riscos

O artigo 9.º estabelece obrigações para o fornecedor. Não fixa nenhuma lista de riscos, nenhum valor de parâmetro nem nenhum limiar, para a fintech ou para qualquer outro setor.

• art. 9(1)
  Criar, implantar, documentar e manter

  Deve ser criado, implantado, documentado e mantido um sistema de gestão de riscos em relação aos sistemas de IA de risco elevado.

• art. 9(2)
  Um processo contínuo ao longo de todo o ciclo de vida

  O sistema é um processo iterativo contínuo, planeado e executado ao longo de todo o ciclo de vida, que requer revisões e atualizações sistemáticas regulares. Tem quatro etapas. Primeiro, identificar e analisar os riscos conhecidos e razoavelmente previsíveis para a saúde, a segurança ou os direitos fundamentais quando o sistema é utilizado em conformidade com a sua finalidade prevista. Segundo, estimar e avaliar os riscos que podem surgir nessa utilização e em condições de utilização indevida razoavelmente previsível. Terceiro, avaliar outros riscos com base nos dados do acompanhamento pós-comercialização (artigo 72.º). Quarto, adotar medidas de gestão de riscos adequadas e específicas.

• art. 9(3)
  Só os riscos que a conceção ou a informação podem tratar

  Estão em causa os riscos que possam ser razoavelmente atenuados ou eliminados aquando do desenvolvimento ou da conceção do sistema, ou por meio da prestação de informações técnicas adequadas.

• art. 9(5)
  O risco residual tem de ser considerado aceitável

  O risco residual pertinente associado a cada perigo, bem como o risco residual global, devem ser considerados aceitáveis. Os riscos são eliminados ou reduzidos, tanto quanto tecnicamente viável, através da conceção e do desenvolvimento. Se for caso disso, medidas de atenuação e controlo adequadas fazem face aos riscos que não possam ser eliminados. Os responsáveis pela implantação recebem as informações exigidas pelo artigo 13.º e, se for caso disso, formação.

• art. 9(6)–(8)
  Testes com base em parâmetros definidos previamente

  Os sistemas de risco elevado são sujeitos a testes a fim de se identificarem as medidas de gestão de riscos mais adequadas. Os testes asseguram que funcionam de forma coerente com a sua finalidade prevista e cumprem os requisitos da secção 2. Realizam-se, consoante apropriado, durante o desenvolvimento e, em qualquer caso, antes da colocação no mercado ou da colocação em serviço. Os testes são realizados com base em parâmetros e limiares probabilísticos previamente definidos, adequados à finalidade prevista. Os procedimentos de teste podem incluir a testagem em condições reais (artigo 60.º).

• art. 9(9)
  Pessoas com menos de 18 anos e outros grupos vulneráveis

  Os fornecedores devem ponderar se, tendo em conta a finalidade prevista, existe a probabilidade de o sistema ter repercussões negativas sobre pessoas com menos de 18 anos e, se for o caso, outros grupos vulneráveis.

O artigo 9.º aplica-se apenas aos sistemas de IA de risco elevado. As linhas abaixo mostram onde a IA fintech passa a ser de risco elevado.

• A fintech não é uma categoria do regulamento

  O regulamento não tem uma categoria «fintech». Este sítio usa a palavra para a IA que entra no regulamento por dois usos do anexo III, ponto 5. O ponto 5, alínea b), abrange os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito. Exclui os sistemas de IA utilizados para efeitos de deteção de fraude financeira. O ponto 5, alínea c), abrange os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde. O ponto 5 não nomeia a deteção de fraude, o branqueamento de capitais nem o conhecimento do cliente, a negociação algorítmica, o aconselhamento automatizado, os seguros não vida, a regularização de sinistros nem as decisões de crédito sobre pessoas coletivas. Um sistema destinado a um destes usos só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• O artigo 6.º, n.º 3, pode retirar um sistema do anexo III

  Um sistema abrangido pelo ponto 5, alínea b), ou pelo ponto 5, alínea c), é de risco elevado nos termos do artigo 6.º, n.º 2. Nos termos do artigo 6.º, n.º 3, não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais. Isso inclui não influenciar de forma significativa o resultado da tomada de decisões. O regulamento aplica esta exceção quando estiver preenchida qualquer das seguintes condições (artigo 6.º, n.º 3, alíneas a) a d)). O sistema destina-se a desempenhar uma tarefa processual restrita. Ou destina-se a melhorar o resultado de uma atividade humana previamente concluída. Ou destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de tomada de decisões anteriores e não se destina a substituir nem influenciar uma avaliação humana previamente concluída, sem que se proceda a uma verificação adequada por um ser humano. Ou destina-se a executar uma tarefa preparatória no contexto de uma avaliação pertinente para os casos de utilização enumerados no anexo III. Saber como estas condições se combinam com o critério do risco significativo é uma questão para um jurista. O sistema é sempre de risco elevado se executar a definição de perfis de pessoas singulares. A definição de perfis consta do artigo 4.º, ponto 4), do RGPD (artigo 3.º, ponto 52). Saber se um determinado sistema de classificação de crédito ou de fixação de preços a executa é também uma questão para um jurista. O fornecedor que invoque a exceção documenta a sua avaliação antes de o sistema ser colocado no mercado ou colocado em serviço. Tem também de registar o sistema (artigo 6.º, n.º 4, artigo 49.º, n.º 2).

• Fornecedor e responsável pela implantação

  O fornecedor («prestador» no regulamento) desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou a sua própria marca (artigo 3.º, ponto 3). A colocação em serviço inclui o fornecimento para utilização própria do fornecedor (artigo 3.º, ponto 11). Um banco ou uma seguradora que desenvolve um sistema e o coloca em serviço sob o seu próprio nome é, por isso, fornecedor. Um banco ou uma seguradora que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). O responsável pela implantação passa a ser fornecedor em três casos. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, sem prejuízo de disposições contratuais que estipulem uma atribuição diferente das obrigações. Faz uma modificação substancial desse sistema que o mantém de risco elevado. Ou altera a finalidade prevista de um sistema que não era de risco elevado, de modo a que passe a sê-lo (artigo 25.º, n.º 1). O fornecedor que inicialmente colocou o sistema no mercado ou em serviço deixa então de ser considerado o fornecedor desse sistema específico e deve cooperar estreitamente com o novo fornecedor (artigo 25.º, n.º 2). Isto não se aplica se o fornecedor inicial tiver especificado claramente que o seu sistema não deve ser transformado num sistema de IA de risco elevado.

• Instituições financeiras: o que podem combinar

  Alguns fornecedores estão sujeitos a requisitos relativos aos processos internos de gestão de riscos nos termos de outra legislação da União pertinente. Para eles, os aspetos do artigo 9.º, n.os 1 a 9, podem fazer parte dos procedimentos de gestão de riscos previstos nessa legislação ou ser combinados com eles (artigo 9.º, n.º 10). Para os fornecedores que sejam instituições financeiras sujeitas a requisitos de governação interna nos termos do direito da União no domínio dos serviços financeiros, considera-se cumprida a obrigação relativa ao sistema de gestão da qualidade se cumprirem essas regras. Excetuam-se o sistema de gestão de riscos, o acompanhamento pós-comercialização e a comunicação de incidentes graves (artigo 17.º, n.º 4, que remete para o artigo 17.º, n.º 1, alíneas g), h) e i)). O regulamento não nomeia nenhuma legislação específica no domínio dos serviços financeiros.

• Datas

  Os requisitos para estes usos do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c), subalínea i)). Um sistema colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, depois, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

• Coimas

  Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, que inclui os artigos 9.º a 15.º (artigo 16.º, alínea a)). O incumprimento das obrigações dos fornecedores previstas no artigo 16.º ou das obrigações dos responsáveis pela implantação previstas no artigo 26.º pode ser punido com coima. A coima pode ir até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4, alíneas a) e e)). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo dos dois (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro define regras que permitam determinar em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Âmbito e limites do regulamento

  O regulamento aplica-se aos fornecedores e responsáveis pela implantação que tenham o seu local de estabelecimento ou estejam localizados num país terceiro, se o resultado produzido pelo sistema de IA for utilizado na União (artigo 2.º, n.º 1, alínea c)). Não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional (artigo 2.º, n.º 3). O regulamento não se aplica aos sistemas ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço exclusivamente para fins de investigação e desenvolvimento científicos (artigo 2.º, n.º 6). Também não se aplica às atividades de investigação, testagem ou desenvolvimento antes de um sistema ser colocado no mercado ou colocado em serviço. A testagem em condições reais não é abrangida por essa exclusão (artigo 2.º, n.º 8). Os sistemas de IA lançados ao abrigo de licenças gratuitas e de código aberto ficam fora do regulamento. Essa exclusão não se aplica se forem colocados no mercado ou colocados em serviço como sistemas de IA de risco elevado, ou se se enquadrarem nos artigos 5.º ou 50.º (artigo 2.º, n.º 12).

• Nenhuma lista de riscos nem valores de teste próprios da fintech

  O artigo 9.º não nomeia riscos, parâmetros nem valores-limiar para a classificação de crédito ou a fixação de preços de seguros. O fornecedor identifica os riscos do seu próprio sistema e define os parâmetros e os limiares adequados à sua finalidade prevista (artigo 9.º, n.os 2 e 8). O regulamento não nomeia nenhuma norma harmonizada. Presume-se que os sistemas de risco elevado conformes com normas harmonizadas publicadas no Jornal Oficial da União Europeia são conformes com os requisitos da secção 2, desde que essas normas os abranjam (artigo 40.º, n.º 1). A Comissão deve elaborar orientações sobre a aplicação prática dos requisitos e obrigações dos artigos 8.º a 15.º, 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Exemplo: riscos de um sistema de classificação de crédito

  Exemplo, não um requisito do regulamento: o fornecedor de um sistema de classificação de crédito poderia registar o risco de os requerentes de um grupo serem sistematicamente classificados mais baixo. Poderia testar esse risco com um parâmetro fixado antes dos testes e documentar o resultado.

• Exemplo: riscos da fixação de preços de seguros

  Exemplo, não um requisito do regulamento: o fornecedor de um sistema de fixação de preços de seguros poderia verificar se os seus preços prejudicam grupos vulneráveis (artigo 9.º, n.º 9). Poderia depois decidir que alteração de conceção ou que instrução de utilização reduziria esse risco.

• Artigo 9.º: sistema de gestão de riscos para a IA de risco elevado

  O artigo 9.º para todos os setores: requisitos, datas e coimas.

• Regulamento de IA para fintech: guia

  A visão geral da fintech: como o regulamento abrange a IA de classificação de crédito e de seguros.

• Artigo 10.º para a IA fintech: dados e governação de dados

  IA fintech e artigo 10.º: conjuntos de dados, exame de enviesamentos e categorias especiais de dados pessoais.

• Artigo 6.º: classificação de IA de risco elevado

  Como o artigo 6.º classifica os sistemas de IA de risco elevado, incluindo a exceção do artigo 6.º, n.º 3.