Regulamento de IA para forças da ordem

art. 5.º, n.º 1, al. d

Avaliação do risco de infração baseada apenas na definição de perfis

São proibidos os sistemas de IA que efetuam avaliações de risco de pessoas singulares para avaliar ou prever o risco de uma pessoa cometer uma infração penal, com base unicamente na definição do seu perfil ou na avaliação dos seus traços de personalidade e características. A proibição não se aplica aos sistemas que apoiam a avaliação humana do envolvimento de uma pessoa numa atividade criminosa, já baseada em factos objetivos e verificáveis diretamente ligados a uma atividade criminosa (artigo 5.º, n.º 1, alínea d).

art. 5.º, n.º 1, al. e

Bases de dados de reconhecimento facial por recolha aleatória

São proibidos os sistemas de IA que criam ou expandem bases de dados de reconhecimento facial através da recolha aleatória de imagens faciais da internet ou de filmagens de CCTV (artigo 5.º, n.º 1, alínea e).

art. 5.º, n.º 1, al. h, art. 5.º, n.º 2, art. 5.º, n.º 3

Identificação biométrica à distância «em tempo real»

A utilização desses sistemas em espaços acessíveis ao público para efeitos de aplicação da lei é proibida, salvo se e na medida em que for estritamente necessária para: (i) a pesquisa seletiva de vítimas específicas de rapto, tráfico de seres humanos ou exploração sexual, bem como a pesquisa de pessoas desaparecidas; (ii) a prevenção de uma ameaça específica, substancial e iminente para a vida ou a segurança física de pessoas singulares ou de uma ameaça real e atual ou real e previsível de ataque terrorista; (iii) a localização ou identificação de uma pessoa suspeita de uma infração referida no anexo II, punível com pena ou medida de segurança privativas de liberdade de duração máxima não inferior a quatro anos (artigo 5.º, n.º 1, alínea h). A utilização limita-se a confirmar a identidade da pessoa especificamente visada e só é autorizada se a autoridade tiver realizado uma avaliação de impacto sobre os direitos fundamentais nos termos do artigo 27.º e registado o sistema nos termos do artigo 49.º; em casos de urgência devidamente justificados, o registo pode seguir-se sem demora injustificada (artigo 5.º, n.º 2). Cada utilização exige autorização prévia de uma autoridade judiciária ou de uma autoridade administrativa independente cuja decisão seja vinculativa; numa situação de urgência devidamente justificada, a utilização pode começar e a autorização deve ser pedida no prazo de 24 horas; se for recusada, a utilização cessa e os dados são apagados (artigo 5.º, n.º 3). Cada utilização é notificada à autoridade de fiscalização do mercado e à autoridade nacional de proteção de dados (artigo 5.º, n.º 4). Um Estado-Membro pode decidir se prevê essa utilização (artigo 5.º, n.º 5).

art. 5.º, n.º 1, al. g

Categorização biométrica: uma exclusão para as forças da ordem

A proibição dos sistemas de categorização biométrica que deduzem ou inferem a raça, as opiniões políticas, a filiação sindical, as convicções religiosas ou filosóficas, a vida sexual ou a orientação sexual não abrange a rotulagem ou filtragem de conjuntos de dados biométricos adquiridos legalmente, como imagens, com base em dados biométricos, nem a categorização de dados biométricos no domínio da aplicação da lei (artigo 5.º, n.º 1, alínea g).

art. 5.º, n.º 1

O restante do artigo 5.º

O artigo 5.º, n.º 1 proíbe também técnicas subliminares ou manipuladoras (alínea a), a exploração de vulnerabilidades (alínea b), certo material íntimo ou abusivo gerado (alíneas ba e bb), a classificação social (alínea c) e a inferência de emoções no local de trabalho e em instituições de ensino, com uma exceção por razões médicas ou de segurança (alínea f). Não são específicas das forças da ordem; ver a página sobre o artigo 5.º.

art. 3.º, n.º 46

As forças da ordem no regulamento

O regulamento não prevê um regime setorial geral de aplicação da lei; o ponto 6 do anexo III é a área de risco elevado intitulada «Aplicação da lei». O regulamento define a aplicação da lei como as atividades levadas a cabo por autoridades responsáveis pela aplicação da lei, ou em seu nome, para efeitos de prevenção, investigação, deteção ou repressão de infrações penais ou de execução de sanções penais, incluindo a salvaguarda e a prevenção de ameaças à segurança pública (artigo 3.º, n.º 46). As utilizações de risco elevado constam do anexo III: o ponto 6 para a aplicação da lei e o ponto 1 para a biometria, cada um «na medida em que a sua utilização seja permitida pelo direito da União ou nacional aplicável».

Anexo III, 6

Anexo III, ponto 6: as cinco entradas

Cada entrada abrange os sistemas utilizados por autoridades responsáveis pela aplicação da lei ou em seu nome, ou por instituições, órgãos e organismos da União em apoio dessas autoridades. (a) Avaliar o risco de uma pessoa singular ser vítima de infrações penais. (b) Polígrafos ou instrumentos semelhantes. (c) Avaliar a fiabilidade dos elementos de prova no decurso da investigação ou repressão de infrações penais. (d) Avaliar o risco de uma pessoa singular cometer ou reincidir numa infração, não com base apenas na definição de perfis (referida no artigo 3.º, n.º 4 da Diretiva (UE) 2016/680), ou avaliar os traços de personalidade e as características ou o comportamento criminoso passado de pessoas singulares ou grupos. (e) Definição de perfis de pessoas singulares (referida no artigo 3.º, n.º 4 da Diretiva (UE) 2016/680) no decurso da deteção, investigação ou repressão de infrações penais.

Anexo III, 1

Anexo III, ponto 1: biometria

O ponto 1 abrange (a) os sistemas de identificação biométrica à distância, excluindo os sistemas de verificação biométrica cujo único objetivo seja confirmar que uma pessoa singular específica é quem afirma ser; (b) os sistemas de categorização biométrica segundo atributos ou características sensíveis ou protegidos, com base na inferência desses atributos ou características; (c) os sistemas de reconhecimento de emoções.

art. 5.º, n.º 1, al. d, art. 6.º, n.º 3

Policiamento preditivo e análise da criminalidade

O regulamento não usa nenhum dos dois termos, e o anexo III, ponto 6 não contém nenhuma entrada sobre análise da criminalidade. É proibido avaliar ou prever o risco de uma pessoa singular cometer uma infração penal com base unicamente na definição de perfis ou na avaliação dos seus traços de personalidade e características (artigo 5.º, n.º 1, alínea d). A proibição não se aplica aos sistemas que apoiam a avaliação humana do envolvimento de uma pessoa numa atividade criminosa, já baseada em factos objetivos e verificáveis diretamente ligados a uma atividade criminosa. Um sistema do anexo III que efetua a definição de perfis de pessoas singulares é sempre considerado de risco elevado (artigo 6.º, n.º 3). Saber se uma ferramenta que trabalha sobre zonas e não sobre pessoas corresponde a uma entrada depende da sua finalidade prevista.

Anexo III, 7, anexo III, 8, al. a

Entradas vizinhas: pontos 7 e 8, alínea a

O ponto 7 abrange a gestão da migração, do asilo e do controlo das fronteiras: polígrafos e instrumentos semelhantes, avaliações de riscos de pessoas que entram ou entraram no território de um Estado-Membro, apoio à análise de pedidos de asilo, visto e autorização de residência, e deteção, reconhecimento ou identificação de pessoas, exceto a verificação de documentos de viagem. O ponto 8, alínea a, abrange os sistemas utilizados por uma autoridade judiciária ou em seu nome para a auxiliar na investigação e interpretação de factos e do direito e na aplicação do direito a um conjunto concreto de factos, ou utilizados de forma semelhante na resolução alternativa de litígios.

art. 3.º, n.º 3, art. 3.º, n.º 4, art. 25.º, n.º 1

Fornecedor e responsável pela implantação

O fornecedor (no regulamento, «prestador») é uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolve um sistema de IA, ou manda desenvolvê-lo, e o coloca no mercado ou o põe em serviço sob o seu próprio nome ou marca (artigo 3.º, n.º 3). O responsável pela implantação é uma pessoa ou organismo desse tipo que utiliza um sistema de IA sob a sua própria autoridade, exceto no âmbito de uma atividade pessoal de caráter não profissional (artigo 3.º, n.º 4). Uma autoridade policial que compra um sistema é responsável pela implantação. Torna-se fornecedor se colocar o seu nome ou marca num sistema de risco elevado já colocado no mercado, lhe fizer uma modificação substancial que o mantenha de risco elevado, ou alterar a finalidade prevista de um sistema que não é de risco elevado de modo a que passe a sê-lo (artigo 25.º, n.º 1).

art. 16.º, art. 43.º, n.º 1

Fornecedores

Os fornecedores garantem que o sistema cumpre os requisitos da secção 2, entre os quais os artigos 9.º a 15.º; dispõem de um sistema de gestão da qualidade conforme com o artigo 17.º; asseguram que o procedimento de avaliação da conformidade do artigo 43.º é realizado antes da colocação no mercado ou em serviço; elaboram uma declaração UE de conformidade, apõem a marcação CE e registam-se nos termos do artigo 49.º, n.º 1 (artigo 16.º). Para os sistemas do anexo III, ponto 1, o fornecedor escolhe o controlo interno (anexo VI) ou o procedimento do anexo VII se tiverem sido aplicadas normas harmonizadas ou especificações comuns. Quando se aplica o procedimento do anexo VII e o sistema vai ser colocado em serviço por autoridades policiais, de imigração ou de asilo ou por instituições, órgãos e organismos da União, a autoridade de fiscalização do mercado referida no artigo 74.º, n.º 8 ou 9 atua como organismo notificado (artigo 43.º, n.º 1). Os sistemas dos pontos 2 a 8 seguem o controlo interno (artigo 43.º, n.º 2).

art. 26.º, art. 49.º, n.º 3

Responsáveis pela implantação como as autoridades policiais

Os responsáveis pela implantação tomam medidas adequadas para utilizar o sistema de acordo com as instruções de utilização (artigo 26.º, n.º 1), atribuem a supervisão a pessoas competentes, formadas e com autoridade (artigo 26.º, n.º 2), conservam os registos sob o seu controlo (artigo 26.º, n.º 6) e informam as pessoas singulares sobre as quais são tomadas decisões; para a utilização por autoridades responsáveis pela aplicação da lei aplica-se o artigo 13.º da Diretiva (UE) 2016/680 (artigo 26.º, n.º 11). Os responsáveis pela implantação que sejam autoridades públicas ou instituições, órgãos e organismos da União registam-se antes da utilização e não devem utilizar um sistema não registado (artigo 26.º, n.º 8); o mesmo vale para as pessoas que atuem em seu nome (artigo 49.º, n.º 3). Para a identificação biométrica à distância a posteriori na pesquisa seletiva de uma pessoa suspeita ou condenada, pedem autorização ex ante, ou sem demora injustificada e o mais tardar em 48 horas, a uma autoridade judiciária ou administrativa cuja decisão seja vinculativa e sujeita a controlo jurisdicional, exceto para a identificação inicial de um potencial suspeito com base em factos objetivos e verificáveis diretamente ligados à infração (artigo 26.º, n.º 10).

art. 27.º, n.º 1, art. 27.º, n.º 2

Avaliação de impacto sobre os direitos fundamentais

Antes de implantar um sistema de risco elevado referido no artigo 6.º, n.º 2, com exceção dos do ponto 2 do anexo III, os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos, e os responsáveis pela implantação de sistemas dos pontos 5, alíneas b e c, realizam uma avaliação do impacto sobre os direitos fundamentais (artigo 27.º, n.º 1). A obrigação aplica-se à primeira utilização; o responsável pela implantação pode, em casos semelhantes, basear-se em avaliações anteriores (artigo 27.º, n.º 2).

art. 49.º, n.º 4, art. 74.º, n.º 8

Registo e supervisão

Os sistemas de risco elevado dos pontos 1, 6 e 7 do anexo III nos domínios da aplicação da lei, da migração, do asilo e da gestão do controlo das fronteiras são registados numa secção segura não pública da base de dados da UE; só a Comissão e as autoridades nacionais referidas no artigo 74.º, n.º 8 têm acesso (artigo 49.º, n.º 4). Para os sistemas do ponto 1 utilizados para fins de aplicação da lei, gestão das fronteiras e justiça e democracia, e para os pontos 6, 7 e 8, os Estados-Membros designam como autoridades de fiscalização do mercado as autoridades de controlo da proteção de dados competentes nos termos do Regulamento (UE) 2016/679 (RGPD) ou da Diretiva (UE) 2016/680, ou outra autoridade designada nas mesmas condições dos artigos 41.º a 44.º da Diretiva (UE) 2016/680 (artigo 74.º, n.º 8).

art. 46.º, n.º 2, art. 46.º, n.º 3

Utilização urgente sem autorização

Numa situação de urgência devidamente justificada por razões excecionais de segurança pública, ou perante uma ameaça específica, substancial e iminente para a vida ou a segurança física de pessoas singulares, as autoridades responsáveis pela aplicação da lei ou as autoridades de proteção civil podem colocar em serviço um sistema de risco elevado específico sem a autorização da autoridade de fiscalização do mercado referida no artigo 46.º, n.º 1, desde que essa autorização seja pedida durante ou após a utilização sem demora injustificada. Se for recusada, a utilização cessa de imediato e todos os resultados e saídas são imediatamente descartados (artigo 46.º, n.º 2). A autoridade de fiscalização do mercado não tem de informar a Comissão e os outros Estados-Membros sobre dados operacionais sensíveis relativos às atividades das autoridades responsáveis pela aplicação da lei (artigo 46.º, n.º 3).

art. 113.º, al. c i, art. 111.º, n.º 2

Datas

Os requisitos para os sistemas de risco elevado do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113.º, alínea c, subalínea i). Um sistema de risco elevado colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, a partir daí, sofrer alterações significativas na sua conceção. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). As proibições do artigo 5.º, n.º 1, alíneas d, e, g e h, aplicam-se desde 2 de fevereiro de 2025 (artigo 113.º, alínea a).

art. 2.º, n.º 3, art. 2.º, n.º 6, art. 2.º, n.º 8

Limites do âmbito de aplicação

O regulamento não se aplica a domínios que se situem fora do âmbito de aplicação do direito da União, nem aos sistemas de IA quando e na medida em que sejam utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2.º, n.º 3). Não se aplica às autoridades públicas de países terceiros nem às organizações internacionais que utilizem sistemas de IA no âmbito da cooperação internacional ou de acordos de cooperação policial e judiciária com a União ou com um ou vários Estados-Membros, desde que esse país terceiro ou organização internacional ofereça garantias adequadas em matéria de proteção dos direitos e liberdades fundamentais (artigo 2.º, n.º 4). Não se aplica aos sistemas ou modelos de IA, incluindo os respetivos resultados, especificamente desenvolvidos e colocados em serviço com o único objetivo de investigação e desenvolvimento científicos (artigo 2.º, n.º 6), nem às atividades de investigação, ensaio ou desenvolvimento anteriores à colocação no mercado ou à colocação em serviço de um sistema; os ensaios em condições reais não são abrangidos por essa exclusão (artigo 2.º, n.º 8). Não se aplica aos sistemas de IA divulgados ao abrigo de licenças de fonte aberta e gratuitas, a menos que sejam colocados no mercado ou em serviço como sistemas de IA de risco elevado ou como sistema de IA abrangido pelo artigo 5.º ou pelo artigo 50.º (artigo 2.º, n.º 12).

art. 99.º, art. 100.º

Coimas

Violação de uma proibição do artigo 5.º: até 35 milhões de EUR ou, se o infrator for uma empresa, até 7 % do seu volume de negócios anual a nível mundial correspondente ao exercício anterior, consoante o montante mais elevado (artigo 99.º, n.º 3). Violação das obrigações dos fornecedores do artigo 16.º, dos responsáveis pela implantação do artigo 26.º ou de transparência do artigo 50.º: até 15 milhões de EUR ou, no caso de uma empresa, 3 %, consoante o montante mais elevado (artigo 99.º, n.º 4). Informações incorretas, incompletas ou enganosas prestadas em resposta a um pedido a organismos notificados ou autoridades nacionais competentes: até 7,5 milhões de EUR ou, no caso de uma empresa, 1 %, consoante o montante mais elevado (artigo 99.º, n.º 5). No caso das PME, incluindo as empresas em fase de arranque, cada coima é de, no máximo, essas percentagens ou esse montante, consoante o que for mais baixo (artigo 99.º, n.º 6); para as pequenas empresas de média capitalização isso aplica-se às coimas dos n.os 4 e 5 (artigo 99.º, n.º 6a). Cada Estado-Membro determina em que medida podem ser aplicadas coimas às autoridades públicas (artigo 99.º, n.º 8). A Autoridade Europeia para a Proteção de Dados pode aplicar às instituições, órgãos e organismos da União coimas até 1,5 milhões de EUR por violação do artigo 5.º e até 750 000 EUR pelos demais requisitos (artigo 100.º).

Anexo III, 6, al. b

Exemplo: uma ferramenta do tipo polígrafo

Exemplo: uma ferramenta que as autoridades policiais usam como polígrafo ou instrumento semelhante em interrogatórios enquadra-se no anexo III, ponto 6, alínea b.

Anexo III, 6, al. c

Exemplo: uma ferramenta de avaliação da fiabilidade de elementos de prova

Exemplo: um sistema que a polícia usa para avaliar a fiabilidade de elementos de prova numa investigação enquadra-se no anexo III, ponto 6, alínea c.

Anexo III, 6, al. d

Exemplo: uma ferramenta de risco de reincidência

Exemplo: uma ferramenta que avalia o risco de reincidência sem se basear unicamente na definição de perfis enquadra-se no anexo III, ponto 6, alínea d; a que se baseia unicamente em perfis ou traços de personalidade cai na proibição do artigo 5.º, n.º 1, alínea d, a menos que apenas apoie uma avaliação humana baseada em factos objetivos e verificáveis diretamente ligados a uma atividade criminosa.