Regulamento de IA para biometria: guia

O anexo III, ponto 1, abrange a biometria na medida em que a sua utilização seja permitida ao abrigo do direito da União ou do direito nacional aplicável. A palavra «biometria» deste sítio corresponde aos pontos de ligação abaixo.

• Ponto 1, alínea a): sistemas de identificação biométrica à distância

  Um sistema de identificação biométrica à distância identifica pessoas singulares sem a sua participação ativa, normalmente à distância, comparando os dados biométricos de uma pessoa com os dados biométricos contidos numa base de dados de referência (artigo 3.º, ponto 41). O anexo III enumera estes sistemas sem separar a identificação em tempo real da identificação em diferido (artigo 3.º, ponto 42, artigo 3.º, ponto 43).

• A verificação está excluída do ponto 1, alínea a)

  O ponto 1, alínea a), não inclui os sistemas de IA concebidos para serem utilizados para verificação biométrica com o único propósito de confirmar que uma determinada pessoa singular é a pessoa que alega ser. A verificação biométrica é a verificação automatizada, um para um, incluindo a autenticação, comparando dados biométricos com dados biométricos previamente fornecidos (artigo 3.º, ponto 36). Um sistema desse tipo só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• Ponto 1, alínea b): categorização de acordo com atributos sensíveis ou protegidos

  Sistemas de IA concebidos para serem utilizados para categorização biométrica, de acordo com atributos ou características sensíveis ou protegidos com base na inferência desses atributos ou características. Um sistema de categorização biométrica atribui pessoas singulares a categorias específicas com base nos seus dados biométricos, exceto se for acessório de outro serviço comercial e estritamente necessário por razões técnicas objetivas (artigo 3.º, ponto 40). O artigo 5.º, n.º 1, alínea g) proíbe uma parte da categorização (ver abaixo).

• Ponto 1, alínea c): reconhecimento de emoções

  Sistemas de IA concebidos para serem utilizados para o reconhecimento de emoções. Um sistema de reconhecimento de emoções é um sistema de IA concebido para identificar ou inferir emoções ou intenções de pessoas singulares com base nos seus dados biométricos (artigo 3.º, ponto 39). O artigo 5.º, n.º 1, alínea f) proíbe inferir emoções no local de trabalho e nas instituições de ensino, exceto por razões médicas ou de segurança (ver abaixo).

• Pontos 6 e 7: outras utilizações por autoridades públicas

  O anexo III, ponto 7, alínea d), abrange os sistemas de IA utilizados por autoridades públicas competentes, ou em seu nome, ou por instituições, órgãos ou organismos da União, no contexto da gestão da migração, do asilo ou do controlo das fronteiras, para efeitos de deteção, reconhecimento ou identificação de pessoas singulares, com exceção da verificação de documentos de viagem. O ponto 6 enumera utilizações para efeitos de aplicação da lei; ver a visão geral correspondente. O registo dos sistemas dos pontos 1, 6 e 7 nestas áreas é feito numa secção segura não pública da base de dados da UE (artigo 49.º, n.º 4).

• Tempo real, em diferido e aplicação da lei

  Um sistema de identificação biométrica à distância «em tempo real» é um sistema em que a recolha dos dados biométricos, a comparação e a identificação ocorrem sem atraso significativo, incluindo pequenos atrasos limitados para evitar a evasão (artigo 3.º, ponto 42). Um sistema em diferido é qualquer outro sistema de identificação biométrica à distância (artigo 3.º, ponto 43). A «aplicação da lei» designa as atividades realizadas por autoridades responsáveis pela aplicação da lei ou em seu nome para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais, incluindo a proteção contra ameaças à segurança pública e a sua prevenção (artigo 3.º, ponto 46). Uma autoridade responsável pela aplicação da lei é uma autoridade pública competente para essas tarefas ou qualquer outro organismo ou entidade a quem o direito de um Estado-Membro confie o exercício da autoridade e dos poderes públicos para esses efeitos (artigo 3.º, ponto 45). Um «espaço acessível ao público» é qualquer local físico, de propriedade pública ou privada, acessível a um número indeterminado de pessoas singulares, independentemente de poderem aplicar-se certas condições de acesso (artigo 3.º, ponto 44).

As alíneas e) a h) do artigo 5.º, n.º 1 aplicam-se desde 2 de fevereiro de 2025 (artigo 113.º, alínea a)). As coimas podem chegar a 35 milhões de EUR ou, no caso de uma empresa, a 7 % do seu volume de negócios anual mundial total, consoante o que for mais elevado (artigo 99.º, n.º 3).

• Recolha aleatória para criar bases de dados faciais (alínea e))

  Sistemas de IA que criam ou expandem bases de dados de reconhecimento facial através da recolha aleatória de imagens faciais a partir da Internet ou de imagens de televisão em circuito fechado. A proibição abrange a colocação no mercado, a colocação em serviço para esta finalidade específica e a utilização. O texto não indica nenhum teste de consentimento nem conjunto de dados nomeado.

• Inferência de emoções no trabalho e no ensino (alínea f))

  Sistemas de IA para inferir emoções de uma pessoa singular no local de trabalho e nas instituições de ensino, exceto nos casos em que a utilização do sistema se destine a ser instalada ou introduzida no mercado por razões médicas ou de segurança. Os sistemas de reconhecimento de emoções constam do anexo III, ponto 1, alínea c), que não os limita a uma área.

• Categorização biométrica de características sensíveis (alínea g))

  Sistemas de categorização biométrica que classifiquem individualmente as pessoas singulares com base nos seus dados biométricos para deduzir ou inferir a sua raça, opiniões políticas, filiação sindical, convicções religiosas ou filosóficas, vida sexual ou orientação sexual. A proibição não abrange rotulagens nem filtragens de conjuntos de dados biométricos legalmente adquiridos, tais como imagens, com base em dados biométricos ou na categorização de dados biométricos no domínio da aplicação da lei.

• Identificação biométrica à distância em tempo real para efeitos de aplicação da lei (alínea h))

  A utilização de sistemas de identificação biométrica à distância em «tempo real» em espaços acessíveis ao público para efeitos de aplicação da lei é proibida, a menos e na medida em que seja estritamente necessária para um de três fins. O primeiro é a busca seletiva de vítimas específicas de rapto, tráfico de seres humanos ou exploração sexual de seres humanos, bem como a busca de pessoas desaparecidas. O segundo é a prevenção de uma ameaça específica, substancial e iminente à vida ou à segurança física, ou de uma ameaça real e atual ou real e previsível de um ataque terrorista. O terceiro é a localização ou identificação de uma pessoa suspeita de ter cometido uma infração penal referida no anexo II e punível com pena ou medida de segurança privativa de liberdade de duração máxima não inferior a quatro anos. A utilização só pode servir para confirmar a identidade da pessoa especificamente visada (artigo 5.º, n.º 2). Cada utilização exige uma autorização prévia de uma autoridade judiciária ou de uma autoridade administrativa independente cuja decisão seja vinculativa. Numa situação de urgência devidamente justificada, a utilização pode começar sem autorização, desde que esta seja solicitada sem demora injustificada e, o mais tardar, no prazo de 24 horas. Se for rejeitada, a utilização é interrompida com efeitos imediatos e os dados e resultados são apagados (artigo 5.º, n.º 3). A autorização exige também uma avaliação de impacto sobre os direitos fundamentais concluída e o registo do sistema na base de dados da UE; em casos de urgência devidamente justificados, o registo pode ser concluído sem demora injustificada (artigo 5.º, n.º 2). Cada utilização é notificada à autoridade de fiscalização do mercado e à autoridade nacional de proteção de dados (artigo 5.º, n.º 4). Essas autoridades apresentam relatórios anuais à Comissão, que publica relatórios anuais (artigo 5.º, n.º 6, artigo 5.º, n.º 7). Um Estado-Membro pode decidir se prevê essa autorização (artigo 5.º, n.º 5). A alínea h) diz respeito à utilização para efeitos de aplicação da lei; não prejudica o artigo 9.º do Regulamento (UE) 2016/679 para outros fins.

• Fornecedores

  Um fornecedor desenvolve um sistema, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou marca (artigo 3.º, ponto 3). Um fornecedor deve assegurar que o seu sistema de risco elevado cumpre os requisitos da secção 2, que inclui os artigos 9.º a 15.º, dispor de um sistema de gestão da qualidade conforme com o artigo 17.º e assegurar que o sistema é submetido à avaliação da conformidade do artigo 43.º antes de ser colocado no mercado ou colocado em serviço (artigo 16.º, alíneas a), c) e f)).

• Responsáveis pela implantação

  Um responsável pela implantação é uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que utilize um sistema de IA sob a sua autoridade (artigo 3.º, ponto 4). Os responsáveis pela implantação adotam medidas técnicas e organizativas adequadas para utilizar o sistema de acordo com as instruções de utilização, atribuem a supervisão humana a pessoas singulares com a competência, formação e autoridade necessárias e conservam os registos que estejam sob o seu controlo (artigo 26.º, n.os 1, 2 e 6). Os responsáveis pela implantação que sejam autoridades públicas registam a sua utilização na base de dados da UE (artigo 26.º, n.º 8, artigo 49.º, n.º 3). Os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos realizam uma avaliação do impacto sobre os direitos fundamentais antes de implantar um sistema referido no artigo 6.º, n.º 2 (artigo 27.º, n.º 1).

• Responsáveis pela implantação de identificação biométrica à distância em diferido

  No âmbito de uma investigação seletiva de uma pessoa suspeita ou condenada por ter cometido uma infração penal, o responsável pela implantação de um sistema de identificação biométrica à distância em diferido deve solicitar uma autorização, prévia ou sem demora injustificada e no prazo máximo de 48 horas, a uma autoridade judiciária ou a uma autoridade administrativa cuja decisão seja vinculativa e esteja sujeita a controlo jurisdicional. A exceção é a utilização para a identificação inicial de um potencial suspeito com base em factos objetivos e verificáveis diretamente relacionados com a infração. As autoridades responsáveis pela aplicação da lei não podem tomar nenhuma decisão que produza efeitos jurídicos prejudiciais a uma pessoa exclusivamente com base nos resultados desse sistema. Independentemente da finalidade ou do responsável pela implantação, cada utilização destes sistemas é registada na documentação policial pertinente e disponibilizada, a pedido, à autoridade de fiscalização do mercado e à autoridade nacional de proteção de dados, com exclusão de dados operacionais sensíveis relacionados com a aplicação da lei. Os responsáveis pela implantação apresentam a essas autoridades relatórios anuais sobre a sua utilização de sistemas de identificação biométrica à distância em diferido; os relatórios podem ser agregados (artigo 26.º, n.º 10).

As infrações às proibições do artigo 5.º podem ser sancionadas com coimas até 35 milhões de EUR ou, no caso de uma empresa, até 7 % do seu volume de negócios anual mundial total do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 3). As infrações às obrigações dos fornecedores do artigo 16.º e dos responsáveis pela implantação do artigo 26.º podem ser sancionadas com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 %, consoante o que for mais elevado; o mesmo escalão abrange as obrigações de transparência do artigo 50.º (artigo 99.º, n.º 4, alíneas a), e) e g)). Para as PME, incluindo as empresas em fase de arranque, cada coima é de valor até ao mais baixo dos dois montantes (artigo 99.º, n.º 6). Para as pequenas empresas de média capitalização (artigo 3.º, ponto 14b), o mesmo se aplica às coimas dos artigo 99.º, n.º 4 e artigo 99.º, n.º 5, mas não às do artigo 99.º, n.º 3 (artigo 99.º, n.º 6a). Cada Estado-Membro estabelece regras sobre em que medida podem ser aplicadas coimas às autoridades públicas e aos organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8). O artigo 99.º, n.os 3 a 5, não indica nenhum escalão para o artigo 27.º nem para o artigo 49.º.

• art. 5(1)(e)–(h)
  Proibições: verificar primeiro

  Verifique se o sistema cabe nas alíneas e) a h) do artigo 5.º, n.º 1 antes de aplicar as regras de risco elevado. Ver as proibições acima.

• art. 9
  Sistema de gestão de riscos

  Uma obrigação do fornecedor. Inclui a ponderação relativa a pessoas com menos de 18 anos e outros grupos vulneráveis (artigo 9.º, n.º 9). O regulamento não indica nenhum valor ou método de risco específico para a biometria.

• art. 10, 4a
  Governação de dados e categorias especiais de dados

  Critérios de qualidade para os dados de treino, validação e teste (artigo 10.º). Os fornecedores podem excecionalmente tratar categorias especiais de dados pessoais para a deteção e correção de enviesamentos, sob seis condições (artigo 4.º-A, n.º 1).

• art. 12(3)
  Manutenção de registos: conteúdo mínimo

  Nos sistemas do ponto 1, alínea a), os registos anotam o período de cada utilização, a base de dados de referência, os dados de entrada com correspondência e as pessoas que verificaram o resultado (artigo 12.º, n.º 3).

• art. 13
  Transparência e instruções de utilização

  O fornecedor fornece instruções de utilização com, no mínimo, os elementos do artigo 13.º, n.º 3. O artigo 13.º não estabelece nenhuma regra sobre painéis ou avisos para as pessoas captadas por um sistema.

• art. 14(5)
  Supervisão humana: verificação por duas pessoas

  Nos sistemas do ponto 1, alínea a), nenhuma ação ou decisão com base numa identificação antes da verificação e confirmação separadas por, pelo menos, duas pessoas singulares com a competência, formação e autoridade necessárias (artigo 14.º, n.º 5). Exceção para a aplicação da lei, a migração, o controlo das fronteiras e o asilo quando o direito considere o requisito desproporcionado.

• art. 15, 17
  Exatidão, solidez, cibersegurança e gestão da qualidade

  Obrigações do fornecedor (artigo 15.º, artigo 17.º). O regulamento não indica, para a biometria, nenhum valor de exatidão, métrica de taxa de erro nem método de teste. O fornecedor declara os níveis e as métricas de exatidão nas instruções de utilização (artigo 15.º, n.º 3).

• art. 26–27
  Obrigações dos responsáveis pela implantação e avaliação do impacto sobre os direitos fundamentais

  Utilização de acordo com as instruções, supervisão humana, registos (artigo 26.º). Os responsáveis pela implantação de sistemas de risco elevado do anexo III que tomem decisões ou ajudem a tomar decisões relacionadas com pessoas singulares informam essas pessoas (artigo 26.º, n.º 11). Identificação à distância em diferido em investigações penais: autorização e relatórios (artigo 26.º, n.º 10). Avaliação do impacto sobre os direitos fundamentais para os responsáveis pela implantação referidos no artigo 27.º, n.º 1.

• art. 43(1)
  Procedimento de avaliação da conformidade para o ponto 1

  Quando o fornecedor tenha aplicado normas harmonizadas (artigo 40.º) ou, se aplicável, especificações comuns (artigo 41.º), opta entre o controlo interno do anexo VI e uma avaliação com um organismo notificado nos termos do anexo VII. O anexo VII aplica-se quando essas normas não existam e não estejam disponíveis especificações comuns, quando o fornecedor não tenha aplicado a norma ou a tenha aplicado apenas em parte, quando não tenha aplicado especificações comuns existentes, ou quando uma norma tenha sido publicada com uma restrição. Nos sistemas colocados em serviço por autoridades de aplicação da lei, de imigração ou de asilo ou por instituições da União, a autoridade de fiscalização do mercado atua como organismo notificado (artigo 43.º, n.º 1).

• art. 49
  Registo na base de dados da UE

  Os fornecedores registam-se a si próprios e ao seu sistema antes de o colocarem no mercado ou em serviço (artigo 49.º, n.º 1). Os responsáveis pela implantação que sejam autoridades públicas registam a sua utilização (artigo 49.º, n.º 3). Nos sistemas dos pontos 1, 6 e 7 nos domínios da aplicação da lei, da migração, do asilo e da gestão do controlo das fronteiras, o registo é feito numa secção segura não pública, com informações limitadas (artigo 49.º, n.º 4).

• art. 50(3)
  Dever de informação no reconhecimento de emoções e na categorização biométrica

  Os responsáveis pela implantação de um sistema de reconhecimento de emoções ou de categorização biométrica informam as pessoas singulares expostas ao sistema do seu funcionamento e tratam os dados pessoais em conformidade com o direito de proteção de dados. A obrigação não se aplica aos sistemas cuja utilização a lei permita para detetar, prevenir ou investigar infrações penais, sob reserva de salvaguardas adequadas e em conformidade com o direito da União (artigo 50.º, n.º 3). A identificação biométrica à distância não é nomeada neste número.

• Artigo 9.º para a IA biométrica: gestão de riscos

  A gestão de riscos para a IA biométrica: o que o artigo 9.º exige ao fornecedor.

• Artigo 14.º para a IA biométrica: supervisão humana

  A supervisão humana para a IA biométrica, incluindo a verificação por duas pessoas na identificação à distância.

• Práticas de IA proibidas: artigo 5.º do AI Act

  Todas as práticas de IA proibidas do artigo 5.º, incluindo as biométricas.

• Regulamento de IA para forças da ordem

  A visão geral da aplicação da lei: anexo III, ponto 6, e as regras para as autoridades responsáveis pela aplicação da lei.