KI-Verordnung: lista de verificação para fornecedores e responsáveis pela implantação

Aplica-se desde 2 de fevereiro de 2025. As proibições de certos conteúdos íntimos e abusivos aplicam-se a partir de 2 de dezembro de 2026.

• Verifique se algum dos seus sistemas de IA corresponde a uma prática proibida do artigo 5(1), por exemplo manipulação prejudicial, pontuação social, recolha não direcionada de imagens faciais ou inferência de emoções no trabalho e na educação.
• Pare e documente qualquer sistema que corresponda a uma prática proibida, tendo em conta as exceções do artigo 5.
• Verifique os sistemas que geram ou manipulam imagens, vídeo ou áudio realistas das partes íntimas ou de atividades sexualmente explícitas de uma pessoa identificável sem o seu consentimento (artigo 5(1), alínea ba)), e o material abrangido pelo artigo 2, alíneas c) e e), da Diretiva 2011/93/UE, salvo se se aplicar uma defesa de «sem direito» nos termos do direito nacional (alínea bb)). A proibição aplica-se apenas se essa for a finalidade do sistema ou um resultado razoavelmente previsível que salvaguardas adequadas não impeçam (artigo 5(1a)).
• Adote medidas para promover a literacia em matéria de IA do seu pessoal e de outras pessoas que operem ou usem sistemas de IA em seu nome (artigo 4).

Aplica-se desde 2 de agosto de 2025 aos fornecedores de modelos de IA de finalidade geral. Os modelos colocados no mercado antes têm de cumprir até 2 de agosto de 2027.

• Verifique se fornece um modelo de IA de finalidade geral: um modelo de IA com generalidade significativa, capaz de executar com competência uma vasta gama de tarefas distintas (artigo 3, ponto 63).
• Elabore e mantenha atualizada a documentação técnica do modelo e dê informações aos fornecedores a jusante (artigo 53(1), alíneas a) e b)).
• Institua uma política de cumprimento do direito de autor da União (artigo 53(1), alínea c)).
• Publique um resumo suficientemente pormenorizado dos conteúdos usados no treino (artigo 53(1), alínea d)).
• Verifique se o modelo tem risco sistémico, o que implica mais deveres (artigos 51 e 55).

Aplicam-se a partir de 2 de agosto de 2026. Os fornecedores de sistemas que geram conteúdo sintético e foram colocados no mercado antes têm de cumprir o artigo 50(2) até 2 de dezembro de 2026.

• Faça com que os sistemas de IA que interagem diretamente com pessoas as informem de que interagem com um sistema de IA, salvo se for óbvio (artigo 50(1)).
• Marque o conteúdo áudio, de imagem, vídeo e texto sintético num formato legível por máquina, de modo a ser detetável como gerado artificialmente, na medida do tecnicamente viável (artigo 50(2)). Aplicam-se as exceções desse número.
• Informe as pessoas expostas a um sistema de reconhecimento de emoções ou de categorização biométrica (artigo 50(3)).
• Divulgue os deepfakes e os textos gerados por IA publicados para informar o público sobre assuntos de interesse público, sem prejuízo das exceções do artigo 50(4).

Aplicam-se a partir de 2 de dezembro de 2027 (anexo III) e de 2 de agosto de 2028 (anexo I). Os sistemas colocados no mercado ou em serviço antes destas datas só ficam abrangidos após alterações significativas da conceção (artigo 111(2)).

• Inventarie todos os sistemas de IA e classifique cada um segundo o artigo 6 e os anexos III e I. Documente a avaliação se invocar o artigo 6(3) (artigo 6(4)).
• Institua um sistema de gestão de riscos que funcione durante todo o ciclo de vida (artigo 9).
• Aplique governação de dados aos dados de treino, validação e teste e examine-os quanto a possíveis enviesamentos (artigo 10).
• Elabore antes da colocação no mercado ou em serviço uma documentação técnica com pelo menos os elementos do anexo IV e mantenha-a atualizada (artigo 11).
• Faça o sistema registar eventos automaticamente (registos) e conserve os registos sob o seu controlo durante, pelo menos, seis meses, salvo disposição em contrário de outra norma (artigos 12 e 19).
• Forneça instruções de utilização, para que os responsáveis pela implantação interpretem o resultado (artigo 13).
• Conceba a supervisão humana de modo a que as pessoas possam, de forma adequada e proporcionada, intervir no sistema ou interrompê-lo, por exemplo através de um botão de paragem ou de um procedimento semelhante (artigo 14).
• Alcance e teste um nível adequado de exatidão, robustez e cibersegurança (artigo 15).
• Institua um sistema de gestão da qualidade (artigo 17).
• Conclua a avaliação da conformidade antes da colocação no mercado ou em serviço e, após uma modificação substancial, de novo (artigo 43).
• Elabore a declaração UE de conformidade e aponha a marcação CE (artigos 47 e 48).
• Registe o sistema (artigo 49) e conserve a documentação durante dez anos após a colocação no mercado ou em serviço (artigo 18).

Aplicam-se a partir de 2 de dezembro de 2027 (anexo III) e de 2 de agosto de 2028 (anexo I).

• Use o sistema de acordo com as suas instruções de utilização (artigo 26(1)).
• Atribua a supervisão humana a pessoas singulares com a competência, formação, autoridade e apoio necessários (artigo 26(2)).
• Na medida em que controla os dados de entrada, assegure que são pertinentes e suficientemente representativos tendo em conta a finalidade prevista (artigo 26(4)).
• Acompanhe o funcionamento com base nas instruções de utilização. Se tiver motivos para considerar que a utilização de acordo com as instruções pode apresentar um risco na aceção do artigo 79(1), informe sem demora injustificada o fornecedor ou o distribuidor e a autoridade de fiscalização do mercado e suspenda a utilização (artigo 26(5)).
• Conserve os registos sob o seu controlo durante, pelo menos, seis meses, salvo disposição em contrário de outra norma (artigo 26(6)).
• Responsáveis pela implantação que são empregadores: antes de pôr o sistema em serviço ou de o usar no local de trabalho, informe os representantes dos trabalhadores e os trabalhadores afetados (artigo 26(7)).
• Informe as pessoas singulares sobre as quais sistemas do anexo III tomam decisões ou ajudam a tomá-las (artigo 26(11)).
• Use as informações do artigo 13 para uma avaliação de impacto sobre a proteção de dados, quando exigida (artigo 26(9)), e avalie o impacto nos direitos fundamentais onde se aplique o artigo 27.

Os artigos 72 e 73 não constam do artigo 113, alíneas a) a d), pelo que se aplicam a partir da data geral de aplicação, 2 de agosto de 2026. A forma como isto se articula com as datas de risco elevado é uma questão para o assessor jurídico. Os deveres dos responsáveis pela implantação abaixo seguem as datas de risco elevado.

• Os fornecedores mantêm o sistema de monitorização pós-comercialização, baseado num plano de monitorização (artigo 72).
• Os fornecedores comunicam um incidente grave à autoridade de fiscalização do mercado imediatamente após estabelecer um nexo de causalidade, ou a probabilidade razoável de um nexo, entre o sistema e o incidente e, em todo o caso, o mais tardar 15 dias após tomarem conhecimento. Aplicam-se prazos mais curtos: o mais tardar 10 dias após tomarem conhecimento de um falecimento e o mais tardar 2 dias em caso de infração generalizada ou de perturbação grave e irreversível de infraestruturas críticas (artigo 73(2) a (4)).
• Após uma modificação substancial, os fornecedores atualizam a documentação técnica e repetem a avaliação da conformidade (artigos 11 e 43(4)).
• Após um incidente grave, os responsáveis pela implantação informam primeiro o fornecedor e depois o importador ou distribuidor e as autoridades de fiscalização do mercado (artigo 26(5)).
• Repita as verificações de código e documentos antes de cada versão e guarde os relatórios como prova. Uma análise bem-sucedida não demonstra a conformidade.

• KI-Verordnung: sistemas de IA de risco elevado

  Que sistemas de IA são de risco elevado, que requisitos os fornecedores cumprem e quem supervisiona na Alemanha.

• KI-Verordnung: requisitos por função

  O que têm de fazer fornecedores, responsáveis pela implantação, importadores e distribuidores, incluindo os deveres de documentação, gestão de riscos e transparência.