Skip to main content

Obrigações GPAI: o que fornecedores e programadores têm de fazer

Quatro obrigações para os fornecedores de modelos GPAI, mais quatro com risco sistémico e o que têm de fazer os que desenvolvem sobre eles.

Os fornecedores de modelos de IA de finalidade geral (GPAI) têm quatro obrigações (artigo 53.º). Têm de documentar o modelo, informar os fornecedores a jusante, publicar um resumo dos dados de treino e manter uma política de direitos de autor.

As obrigações aplicam-se aos modelos colocados no mercado da UE desde 2 de agosto de 2025. A Comissão pode aplicar coimas por infrações desde 2 de agosto de 2026. Podem ir até 3 % do volume de negócios mundial ou 15 milhões de EUR, consoante o mais elevado (artigo 101.º). Nos modelos anteriores, as infrações não podem ocorrer antes de 2 de agosto de 2027 (artigo 111.º, n.º 3). Os fornecedores fora da UE precisam de um representante autorizado, com uma exceção para o código aberto (artigo 54.º). Próximo passo: os fornecedores elaboram a documentação; os fornecedores a jusante (criadores de sistemas) pedem informação do modelo.

Um modelo GPAI é um modelo de IA que realiza muitas tarefas diferentes

Um modelo de IA de finalidade geral apresenta uma generalidade significativa, executa de forma competente uma vasta gama de tarefas distintas e pode ser integrado em muitos sistemas e aplicações a jusante (artigo 3.º, ponto 63). A investigação, os ensaios e o desenvolvimento de um modelo antes da sua colocação no mercado ou em serviço ficam fora do regulamento, mas os ensaios em condições reais não (artigo 2.º, n.º 8). Também ficam de fora os modelos desenvolvidos e colocados em serviço com o único objetivo da investigação e do desenvolvimento científicos (artigo 2.º, n.º 6).

Todos os modelos GPAI

Os fornecedores de modelos GPAI têm de cumprir as quatro obrigações do artigo 53.º, n.º 1, com uma exceção para os modelos de código aberto (artigo 53.º, n.º 2).

Modelos GPAI com risco sistémico

Um modelo tem risco sistémico se tiver capacidades de elevado impacto (artigo 51.º, n.º 1, alínea a)). São capacidades iguais ou superiores às dos modelos GPAI mais avançados (artigo 3.º, ponto 64). O regulamento presume-o quando o treino usou mais de 1025 operações de vírgula flutuante (FLOP) (artigo 51.º, n.º 2). A Comissão também pode designar um modelo. Estes fornecedores têm de cumprir ainda as obrigações do artigo 55.º.

O artigo 53.º impõe quatro obrigações aos fornecedores de GPAI

Documentar o modelo

Elabore e mantenha atualizada a documentação técnica do modelo, incluindo os resultados do treino, dos testes e da avaliação. Disponibilize-a, a pedido, ao Serviço para a IA (a função da Comissão que supervisiona os modelos GPAI) e às autoridades nacionais (artigo 53.º, n.º 1, alínea a)).

Informar os fornecedores a jusante

Elabore e disponibilize informação sobre as capacidades e os limites do modelo, para que os fornecedores que desenvolvem sistemas de IA sobre ele possam cumprir as suas próprias obrigações. Isto não afeta a necessidade de respeitar e proteger os direitos de propriedade intelectual e as informações comerciais de caráter confidencial ou os segredos comerciais, em conformidade com o direito da União e o direito nacional (artigo 53.º, n.º 1, alínea b)).

Manter uma política de direitos de autor

Aplique uma política de cumprimento do direito de autor da União. Deve identificar e respeitar as reservas de direitos dos titulares contra a prospeção de textos e dados (análise automatizada de conteúdos para encontrar padrões) (artigo 53.º, n.º 1, alínea c); Diretiva (UE) 2019/790, artigo 4.º, n.º 3).

Publicar um resumo dos dados de treino

Publique um resumo suficientemente pormenorizado dos conteúdos utilizados para treinar o modelo, segundo o modelo do Serviço para a IA (artigo 53.º, n.º 1, alínea d)).

Os fornecedores de modelos sob licença livre e de código aberto estão isentos das duas primeiras obrigações, documentação e informação, se os parâmetros, a arquitetura e a informação de utilização forem públicos. A política de direitos de autor e o resumo continuam obrigatórios. A isenção não abrange os modelos com risco sistémico (artigo 53.º, n.º 2).

Os fornecedores de modelos colocados no mercado antes de 2 de agosto de 2025 têm até 2 de agosto de 2027 para cumprir (artigo 111.º, n.º 3). A Comissão não pode aplicar coima por uma infração às obrigações por parte destes modelos antes de 2 de agosto de 2027 (artigo 101.º, n.º 1, alínea a)). As coimas previstas no artigo 101.º, n.º 1, alíneas b) a d), por não responder a um pedido de informações, não cumprir uma medida solicitada ou não dar acesso para uma avaliação, aplicam-se a partir de 2 de agosto de 2026.

Os fornecedores podem recorrer a códigos de práticas (artigo 56.º) para demonstrar que cumprem estas obrigações, até ser publicada uma norma harmonizada. O cumprimento de normas europeias harmonizadas confere a presunção de conformidade na medida em que essas normas abranjam estas obrigações. Os fornecedores que não cumpram um código de práticas aprovado ou não cumpram uma norma europeia harmonizada têm de demonstrar meios de conformidade alternativos adequados, para avaliação pela Comissão (artigo 53.º, n.º 4). Próximo passo: leia o Código de Conduta para a Inteligência Artificial de Finalidade Geral da Comissão e as suas orientações para os fornecedores de modelos de IA de finalidade geral.

Os modelos com risco sistémico têm mais quatro obrigações

Os fornecedores de modelos GPAI com risco sistémico têm de cumprir estas obrigações, além das dos artigos 53.º e 54.º (artigo 55.º, n.º 1). Têm também de notificar a Comissão no prazo de duas semanas depois de o modelo cumprir a condição de capacidades de elevado impacto, ou de se saber que a cumprirá (artigo 52.º, n.º 1).

Avaliar e testar o modelo

Avalie o modelo com protocolos e ferramentas normalizados que reflitam o estado da arte. Isto inclui testes adversariais (atacar o modelo de propósito para encontrar fraquezas) (artigo 55.º, n.º 1, alínea a)).

Avaliar e mitigar os riscos sistémicos

Avalie e mitigue os possíveis riscos sistémicos a nível da União, incluindo as suas fontes (artigo 55.º, n.º 1, alínea b)).

Comunicar os incidentes graves

Acompanhe os incidentes graves, documente-os com as possíveis medidas corretivas e comunique-os sem demora injustificada ao Serviço para a IA e, se for caso disso, às autoridades nacionais competentes (artigo 55.º, n.º 1, alínea c)).

Proteger contra ciberataques

Garanta um nível adequado de proteção da cibersegurança para o modelo e para a sua infraestrutura física (artigo 55.º, n.º 1, alínea d)).

Se fornece um sistema de IA construído sobre um modelo GPAI, é fornecedor a jusante

Um fornecedor a jusante é o fornecedor de um sistema de IA que integra um modelo de IA, quer o tenha criado ele próprio, quer o obtenha de outra entidade (artigo 3.º, ponto 68). As obrigações do artigo 53.º continuam a cargo do fornecedor do modelo.

Peça a informação ao fornecedor do modelo

O fornecedor do modelo tem de pôr à sua disposição informação sobre as capacidades e os limites do modelo (artigo 53.º, n.º 1, alínea b)). Use-a na sua própria avaliação de riscos. Os direitos de propriedade intelectual e os segredos comerciais do fornecedor continuam protegidos. Os fornecedores de modelos livres e de código aberto sem risco sistémico estão isentos.

O seu próprio sistema é classificado em separado

Se o seu sistema de IA for de risco elevado nos termos do anexo III (a lista de utilizações de risco elevado do regulamento, como o recrutamento ou a avaliação de crédito), tem de cumprir os requisitos de risco elevado, como seu fornecedor, a partir de 2 de dezembro de 2027 (artigo 113.º). Os sistemas colocados no mercado ou colocados em serviço antes dessa data só ficam abrangidos após alterações significativas da sua conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). As obrigações do fornecedor do modelo nos termos do artigo 53.º dizem respeito ao modelo, não ao seu sistema.

Perguntas frequentes: uso de uma API e fornecedores fora da UE

Usar uma API torna-me fornecedor de GPAI?

Não. Quem desenvolve um sistema de IA sobre um modelo GPAI através de uma API é fornecedor a jusante. As obrigações do artigo 53.º continuam a cargo do fornecedor do modelo. Se alterar ou aperfeiçoar um modelo, a resposta pode mudar: o considerando 109 indica que as obrigações do fornecedor devem limitar-se a essa alteração, e as orientações da Comissão indicam a partir de quando uma alteração é suficientemente importante para o tornar fornecedor. As orientações não são juridicamente vinculativas e a interpretação da Comissão pode mudar. Se o seu sistema for de risco elevado, cumpre, como seu fornecedor, os requisitos de risco elevado.

E se o meu fornecedor de GPAI estiver fora da UE?

As obrigações aplicam-se na mesma se o modelo for colocado no mercado da UE (artigo 2.º, n.º 1, alínea a)). O fornecedor tem primeiro de designar um representante autorizado (o «mandatário» do regulamento) na UE, a menos que o modelo seja livre e de código aberto e não tenha risco sistémico (artigo 54.º).

O pormenor de cada obrigação

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.