Regulamento de IA para fintech: guia

O regulamento não tem uma categoria fintech. Este sítio usa a palavra para a IA que entra no regulamento pelos usos abaixo.

• Classificação de crédito: anexo III, ponto 5, alínea b)

  Os sistemas de IA concebidos para serem utilizados para avaliar a capacidade de solvabilidade de pessoas singulares ou estabelecer a sua classificação de crédito são de risco elevado. Os sistemas de IA utilizados para efeitos de deteção de fraude financeira estão excecionados. O ponto 5, alínea b), refere apenas pessoas singulares, não empresas.

• Seguros de vida e de saúde: anexo III, ponto 5, alínea c)

  Os sistemas de IA concebidos para serem utilizados nas avaliações de risco e na fixação de preços em relação a pessoas singulares no caso de seguros de vida e de saúde são de risco elevado. O ponto 5, alínea c), refere apenas os seguros de vida e de saúde.

• A deteção de fraude está excluída do ponto 5, alínea b)

  A exclusão abrange os sistemas de IA utilizados para efeitos de deteção de fraude financeira. Um sistema de deteção de fraude só é de risco elevado se outro ponto do anexo III ou o anexo I o abranger.

• Outros usos fintech não são nomeados no ponto 5

  O ponto 5 não nomeia o branqueamento de capitais nem o conhecimento do cliente, a negociação algorítmica, o aconselhamento automatizado, os seguros não vida, a regularização de sinistros nem as decisões de crédito sobre pessoas coletivas. Verifique cada uso à luz dos outros pontos do anexo III e do anexo I antes de o tratar como estando fora das regras de risco elevado.

• O artigo 6.º, n.º 3, pode retirar um sistema do anexo III

  Um sistema abrangido pelo ponto 5, alínea b), ou pelo ponto 5, alínea c), é de risco elevado nos termos do artigo 6.º, n.º 2. Nos termos do artigo 6.º, n.º 3, não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais. Isso inclui não influenciar de forma significativa o resultado da tomada de decisões. O regulamento aplica esta exceção quando estiver preenchida qualquer das seguintes condições (artigo 6.º, n.º 3, alíneas a) a d)). O sistema destina-se a desempenhar uma tarefa processual restrita. Ou destina-se a melhorar o resultado de uma atividade humana previamente concluída. Ou destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de tomada de decisões anteriores e não se destina a substituir nem influenciar uma avaliação humana previamente concluída, sem que se proceda a uma verificação adequada por um ser humano. Ou destina-se a executar uma tarefa preparatória no contexto de uma avaliação pertinente para os casos de utilização enumerados no anexo III. Saber como estas condições se combinam com o critério do risco significativo é uma questão para um jurista. O sistema é sempre de risco elevado se executar a definição de perfis de pessoas singulares. A definição de perfis consta do artigo 4.º, ponto 4), do RGPD (artigo 3.º, ponto 52). Saber se um determinado sistema de classificação de crédito ou de fixação de preços a executa é também uma questão para um jurista. O fornecedor que invoque a exceção documenta a sua avaliação antes de o sistema ser colocado no mercado ou colocado em serviço. Tem também de registar o sistema (artigo 6.º, n.º 4, artigo 49.º, n.º 2).

• Outras regras do regulamento que podem abranger a IA fintech

  O artigo 5.º, n.º 1, alínea b), proíbe os sistemas de IA que explorem vulnerabilidades de uma pessoa singular devidas à sua idade, incapacidade ou situação socioeconómica específica. O objetivo ou o efeito tem de ser distorcer substancialmente o comportamento de uma forma que cause ou seja razoavelmente suscetível de causar danos significativos. A alínea c) proíbe os sistemas de IA para avaliação ou classificação de pessoas singulares durante um certo período com base no seu comportamento social ou em características de personalidade ou pessoais, quando a classificação social conduza ao tratamento prejudicial ou desfavorável descrito nessa alínea. Estas proibições aplicam-se a partir de 2 de fevereiro de 2025 (artigo 113.º, terceiro parágrafo, alínea a)). Os fornecedores de sistemas de IA destinados a interagir diretamente com pessoas singulares, como um chatbot, devem concebê-los de modo que as pessoas sejam informadas de que estão a interagir com um sistema de IA, salvo se tal for óbvio (artigo 50.º, n.º 1). Isto aplica-se a partir de 2 de agosto de 2026.

O fornecedor («prestador» no regulamento) desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou a sua própria marca (artigo 3.º, ponto 3). A colocação em serviço inclui o fornecimento para utilização própria do fornecedor (artigo 3.º, ponto 11). Um banco ou uma seguradora que desenvolve um sistema e o coloca em serviço sob o seu próprio nome é, por isso, fornecedor. Um banco ou uma seguradora que utiliza um sistema sob a sua autoridade é um responsável pela implantação (artigo 3.º, ponto 4). O responsável pela implantação passa a ser fornecedor em três casos. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, sem prejuízo de disposições contratuais que estipulem uma atribuição diferente das obrigações. Faz uma modificação substancial desse sistema que o mantém de risco elevado. Ou altera a finalidade prevista de um sistema que não era de risco elevado, de modo a que passe a sê-lo (artigo 25.º, n.º 1). O fornecedor que inicialmente colocou o sistema no mercado ou em serviço deixa então de ser considerado o fornecedor desse sistema específico e deve cooperar estreitamente com o novo fornecedor (artigo 25.º, n.º 2). Isto não se aplica se o fornecedor inicial tiver especificado claramente que o seu sistema não deve ser transformado num sistema de IA de risco elevado.

Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, artigos 8.º a 15.º (artigo 16.º, alínea a)). Devem também cumprir as outras obrigações dos fornecedores previstas no artigo 16.º.

• art. 9
  Sistema de gestão de riscos

  Um processo iterativo contínuo ao longo do ciclo de vida, com testes com base em parâmetros e limiares probabilísticos previamente definidos e adequados à finalidade prevista.

• art. 10
  Dados e governação de dados

  Conjuntos de dados de treino, validação e teste que cumprem os critérios de qualidade do artigo 10.º, incluindo um exame para detetar eventuais enviesamentos.

• art. 12
  Registo por conceção

  O sistema deve permitir tecnicamente o registo automático de eventos («registos») durante a sua vida útil.

• art. 13
  Instruções de utilização

  Informações que permitem aos responsáveis pela implantação interpretar os resultados e utilizá-los de forma adequada, incluindo o nível de exatidão declarado e os seus parâmetros.

• art. 14
  Supervisão humana por conceção

  Medidas que permitem a pessoas singulares supervisionar eficazmente o sistema durante a sua utilização.

• art. 15
  Exatidão, solidez e cibersegurança

  Um nível apropriado, alcançado de forma coerente durante todo o ciclo de vida. Os níveis de exatidão e os parâmetros de exatidão pertinentes são declarados nas instruções de utilização.

• art. 17
  Sistema de gestão da qualidade

  Políticas, procedimentos e instruções escritos que abrangem os aspetos enumerados no artigo 17.º, n.º 1, aplicados de forma proporcionada à dimensão da organização do fornecedor (artigo 17.º, n.º 2).

• art. 43(2)
  Avaliação da conformidade

  Para os sistemas dos pontos 2 a 8 do anexo III, entre os quais o ponto 5, o fornecedor segue o procedimento de avaliação da conformidade baseado no controlo interno (anexo VI). Esse procedimento não prevê um organismo notificado.

• art. 16
  Declaração UE, marcação CE e registo

  O fornecedor elabora uma declaração UE de conformidade e apõe a marcação CE. Regista também a si próprio e o sistema na base de dados da UE antes de colocar o sistema no mercado ou em serviço (artigo 16.º, alíneas g) a i); artigo 49.º, n.º 1).

• art. 72, 73
  Acompanhamento pós-comercialização e incidentes graves

  O fornecedor cria e documenta um sistema de acompanhamento pós-comercialização (artigo 72.º, n.º 1) e comunica os incidentes graves às autoridades de fiscalização do mercado (artigo 73.º).

• art. 26(1), (2)
  Utilizar conforme as instruções, atribuir a supervisão

  Os responsáveis pela implantação tomam medidas técnicas e organizativas adequadas para utilizar o sistema de acordo com as instruções de utilização. Atribuem a supervisão humana a pessoas singulares que possuam as competências, a formação e a autoridade necessárias.

• art. 26(4)–(6)
  Dados de entrada, controlo e registos

  Na medida em que exerçam controlo sobre os dados de entrada, os responsáveis pela implantação asseguram que são pertinentes e suficientemente representativos. Controlam o funcionamento do sistema com base nas instruções de utilização. Conservam os registos que estão sob o seu controlo durante pelo menos seis meses, salvo disposição em contrário no direito da União ou no direito nacional aplicável.

• art. 26(11)
  Informar as pessoas em causa

  Os responsáveis pela implantação de sistemas de risco elevado do anexo III que tomam decisões ou ajudam a tomar decisões relacionadas com pessoas singulares informam-nas de que estão sujeitas à utilização do sistema, sem prejuízo do artigo 50.º (artigo 26.º, n.º 11).

• art. 27
  Avaliação do impacto nos direitos fundamentais

  Antes de implementarem um sistema do ponto 5, alínea b), ou do ponto 5, alínea c), os responsáveis pela implantação realizam uma avaliação do impacto nos direitos fundamentais, sejam públicos ou privados (artigo 27.º, n.º 1). A avaliação inclui: uma descrição dos processos do responsável pela implantação em que o sistema será utilizado de acordo com a sua finalidade prevista; o período e a frequência de utilização previstos; as categorias de pessoas singulares e grupos suscetíveis de serem afetados; os riscos específicos de danos para estes, tendo em conta as informações facultadas pelo fornecedor nos termos do artigo 13.º; uma descrição das medidas de supervisão humana; e as medidas a tomar caso esses riscos se materializem, incluindo as disposições relativas à governação interna e aos mecanismos de apresentação de queixas. Os responsáveis pela implantação notificam a autoridade de fiscalização do mercado dos resultados (artigo 27.º, n.º 3). Pode remeter-se para as obrigações já cumpridas através de uma avaliação de impacto sobre a proteção de dados (artigo 27.º, n.º 4).

• art. 86
  Explicação à pessoa afetada

  Uma pessoa tem direito a explicações quando um responsável pela implantação toma uma decisão com base nos resultados de um sistema de risco elevado enumerado no anexo III, com exceção do ponto 2. A decisão tem de produzir efeitos jurídicos ou afetar a pessoa de forma análoga e significativa, de modo que esta considere ter repercussões negativas na sua saúde, segurança ou direitos fundamentais. A pessoa pode então obter do responsável pela implantação explicações claras e pertinentes sobre o papel do sistema de IA no processo de tomada de decisão e sobre os principais elementos da decisão tomada (artigo 86.º, n.º 1). O direito não se aplica quando as exceções ou restrições decorram do direito da União ou do direito nacional em conformidade com o direito da União (artigo 86.º, n.º 2). Aplica-se apenas na medida em que esse direito não esteja estipulado em contrário no direito da União (artigo 86.º, n.º 3).

O regulamento permite que as instituições financeiras integrem algumas obrigações nas regras que já seguem. As regras aplicam-se às instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros. O regulamento não nomeia nenhuma legislação específica no domínio dos serviços financeiros; saber que regras contam é uma questão para um jurista.

• art. 17(4)
  Sistema de gestão da qualidade

  Para os fornecedores que sejam essas instituições financeiras, considera-se cumprida a obrigação relativa ao sistema de gestão da qualidade mediante o cumprimento das regras de governação interna. Excetuam-se o sistema de gestão de riscos, o acompanhamento pós-comercialização e a comunicação de incidentes graves (artigo 17.º, n.º 4).

• art. 18(3)
  Documentação técnica

  Os fornecedores que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros mantêm a documentação técnica como parte da documentação conservada nos termos dessa legislação (artigo 18.º, n.º 3).

• art. 19(2), 26(6)
  Registos

  Os fornecedores e os responsáveis pela implantação que sejam essas instituições financeiras mantêm os registos gerados automaticamente como parte da documentação conservada nos termos da legislação da União aplicável no domínio dos serviços financeiros (artigo 19.º, n.º 2, e artigo 26.º, n.º 6, segundo parágrafo).

• art. 26(5)
  Controlo pelo responsável pela implantação

  Para os responsáveis pela implantação que sejam essas instituições financeiras, considera-se satisfeita a obrigação de controlo prevista no primeiro parágrafo do artigo 26.º, n.º 5. A condição é o cumprimento das regras em matéria de governação, mecanismos ou processos internos nos termos da legislação aplicável no domínio dos serviços financeiros (artigo 26.º, n.º 5, segundo parágrafo).

• art. 72(4)
  Acompanhamento pós-comercialização

  Os fornecedores podem integrar os elementos do sistema e do plano de acompanhamento pós-comercialização em sistemas e planos já existentes, desde que daí resulte um nível de proteção equivalente. O artigo 72.º, n.º 4, segundo parágrafo, alarga esta opção aos sistemas do anexo III, ponto 5, dessas instituições financeiras.

• art. 74(6)
  Autoridade de supervisão

  Para os sistemas de risco elevado colocados no mercado, colocados em serviço ou utilizados por instituições financeiras regulamentadas pela legislação da União no domínio dos serviços financeiros, a autoridade de fiscalização do mercado é a autoridade nacional responsável pela supervisão financeira dessas instituições ao abrigo dessa legislação. Aplica-se na medida em que a colocação no mercado, a colocação em serviço ou a utilização esteja diretamente relacionada com a prestação desses serviços financeiros (artigo 74.º, n.º 6).

• Datas

  Os requisitos para estes usos do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, terceiro parágrafo, alínea c), subalínea i)). Um sistema colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, depois, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2).

• Coimas

  Os fornecedores devem assegurar que os seus sistemas de risco elevado cumprem os requisitos da secção 2 do capítulo III, que inclui os artigos 9.º a 15.º (artigo 16.º, alínea a)). O incumprimento das obrigações dos fornecedores previstas no artigo 16.º ou das obrigações dos responsáveis pela implantação previstas no artigo 26.º pode ser punido com coima. A coima pode ir até 15 milhões de EUR ou, no caso de uma empresa, até 3 % do seu volume de negócios mundial total anual do exercício anterior, consoante o que for mais elevado (artigo 99.º, n.º 4, alíneas a) e e)). Para as PME, incluindo as empresas em fase de arranque, cada coima fica limitada ao montante mais baixo dos dois (artigo 99.º, n.º 6). O mesmo limite aplica-se às pequenas empresas de média capitalização (artigo 3.º, ponto 14-B, artigo 99.º, n.º 6-A). Cada Estado-Membro define regras que permitam determinar em que medida podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99.º, n.º 8).

• Âmbito e limites do regulamento

  O regulamento aplica-se aos fornecedores e responsáveis pela implantação que tenham o seu local de estabelecimento ou estejam localizados num país terceiro, se o resultado produzido pelo sistema de IA for utilizado na União (artigo 2.º, n.º 1, alínea c)). Não se aplica a domínios não abrangidos pelo âmbito de aplicação do direito da União nem afeta as competências dos Estados-Membros em matéria de segurança nacional (artigo 2.º, n.º 3). O regulamento não se aplica aos sistemas ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço exclusivamente para fins de investigação e desenvolvimento científicos (artigo 2.º, n.º 6). Também não se aplica às atividades de investigação, testagem ou desenvolvimento antes de um sistema ser colocado no mercado ou colocado em serviço. A testagem em condições reais não é abrangida por essa exclusão (artigo 2.º, n.º 8). Os sistemas de IA lançados ao abrigo de licenças gratuitas e de código aberto ficam fora do regulamento. Essa exclusão não se aplica se forem colocados no mercado ou colocados em serviço como sistemas de IA de risco elevado, ou se se enquadrarem nos artigos 5.º ou 50.º (artigo 2.º, n.º 12).

• Nenhuns parâmetros, limiares nem normas próprios da fintech

  O regulamento não indica nenhum valor de exatidão, limite de taxa de erro, parâmetro de equidade nem norma técnica para a classificação de crédito ou a fixação de preços de seguros. Os fornecedores definem os parâmetros dos testes (artigo 9.º, n.º 8) e declaram os níveis de exatidão e os parâmetros nas instruções de utilização (artigo 15.º, n.º 3). O regulamento não nomeia nenhuma norma harmonizada. Presume-se que os sistemas de risco elevado conformes com normas harmonizadas publicadas no Jornal Oficial da União Europeia são conformes com os requisitos da secção 2, desde que essas normas os abranjam (artigo 40.º, n.º 1). Presume-se que os sistemas treinados e testados com dados que refletem o cenário geográfico, comportamental, contextual ou funcional específico da utilização prevista são conformes com o artigo 10.º, n.º 4 (artigo 42.º, n.º 1). A Comissão deve elaborar orientações sobre a aplicação prática dos requisitos e obrigações dos artigos 8.º a 15.º, 25.º e 26.º (artigo 96.º, n.º 1, alínea a)).

• Aplica-se outro direito a par do regulamento

  Continua a aplicar-se outro direito da União e nacional, como o RGPD e a legislação no domínio dos serviços financeiros. Esta página não o descreve, e o regulamento não nomeia nenhuma legislação específica no domínio dos serviços financeiros.

• Exemplo: um inventário único de sistemas de IA

  Exemplo, não um requisito do regulamento: um mutuante ou uma seguradora poderia manter um inventário único dos seus sistemas de IA. Poderia indicar, para cada sistema, a classificação no anexo III, a avaliação do artigo 6.º, n.º 3, quando a invoque, e se a empresa é fornecedor ou responsável pela implantação.

Cada página aplica um artigo à IA de classificação de crédito e de seguros.

• Artigo 9.º para a IA fintech: sistema de gestão de riscos

  Sistema de gestão de riscos para a IA de classificação de crédito e de seguros.

• Artigo 10.º para a IA fintech: dados e governação de dados

  Conjuntos de dados, exame de enviesamentos e categorias especiais de dados pessoais.

• Artigo 12.º para a IA fintech: manutenção de registos

  Registo automático e quem conserva os registos.

• Artigo 13.º para a IA fintech: transparência e instruções de utilização

  Instruções de utilização e a explicação devida às pessoas afetadas.

• Artigo 14.º para a IA fintech: supervisão humana

  Supervisão humana e o que o regulamento não exige.

• Artigo 15.º para a IA fintech: exatidão, solidez e cibersegurança

  Exatidão, solidez e cibersegurança.

• Artigo 17.º para a IA fintech: sistema de gestão da qualidade

  Sistema de gestão da qualidade e a regra para as instituições financeiras.

• Artigo 26.º em fintech: obrigações dos responsáveis pela implantação

  Obrigações dos responsáveis pela implantação nos bancos e seguradoras.

• Artigo 50.º para a IA fintech: transparência e divulgação

  Obrigações de transparência para chatbots e conteúdos gerados.

• Artigo 53.º em fintech: obrigações dos fornecedores de modelos de IA de finalidade geral

  Fornecedores de modelos de IA de finalidade geral.

• Anexo III em detalhe: as 8 categorias de risco elevado

  O ponto 5 do anexo III no contexto das oito categorias.

• Artigo 6.º: classificação de IA de risco elevado

  Como o artigo 6.º classifica os sistemas de IA de risco elevado, incluindo a exceção do artigo 6.º, n.º 3.

• Artigo 27.º: avaliação de impacto nos direitos fundamentais

  A avaliação de impacto que o artigo 27.º, n.º 1, exige aos responsáveis pela implantação nos termos do ponto 5, alínea b), e do ponto 5, alínea c).