Regulamento da IA da UE: classifique os seus casos de utilização e planeie as evidências

A governação da IA começa por saber que sistemas a organização fornece, implanta ou disponibiliza de outra forma. Uma lista de nomes de modelos não basta: a finalidade prevista, o contexto de implantação e o seu papel determinam as obrigações a analisar.

Para a liderança, a classificação é uma decisão de afetação de recursos, além de uma avaliação jurídica. Determina que projetos precisam de revisão especializada, o que os fornecedores têm de demonstrar e que evidências têm de existir antes do lançamento. Uma ferramenta de recrutamento e um assistente interno de redação podem utilizar o mesmo modelo e, ainda assim, exigir avaliações muito diferentes.

O resultado útil é um registo revisto de casos de utilização, ligado a responsáveis, requisitos, evidências e decisões de alteração, e não um rótulo para toda a empresa a dizer “IA de baixo risco”.

Estabeleça o âmbito e a responsabilidade antes de atribuir o risco

O Regulamento da IA da UE é um regulamento cujas obrigações dependem da atividade, do sistema e do operador. O seu âmbito territorial inclui os prestadores que colocam sistemas no mercado da UE ou os colocam em serviço, os responsáveis pela implantação estabelecidos ou localizados na UE e determinados prestadores e responsáveis pela implantação de fora da UE quando os resultados dos sistemas são utilizados na UE. A nacionalidade, por si só, não é o critério.

Peça a revisores jurídicos e técnicos que determinem se a aplicação corresponde à definição de sistema de IA do Regulamento e se se aplica alguma exclusão de âmbito relevante. Não presuma que todos os scripts de automatização são IA, nem que um serviço alojado externamente fica fora das suas responsabilidades.

Em seguida, registe o seu papel:

• Prestador: desenvolve um sistema, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu próprio nome ou marca.
• Responsável pela implantação: utiliza um sistema sob a sua autoridade num contexto profissional.
• Importador ou distribuidor: introduz sistemas relevantes no mercado da UE ou disponibiliza-os através da cadeia de abastecimento, com os correspondentes deveres de verificação.
• Fabricante do produto ou mandatário: tem responsabilidades decorrentes da configuração específica do produto ou do mandato escrito.

Uma organização pode assumir papéis diferentes ao longo do seu portefólio. Comprar uma API não resolve o papel da aplicação final. A alteração de marca, a modificação substancial ou a alteração da finalidade prevista podem desencadear responsabilidades de prestador nas condições aplicáveis. O fine-tuning é, por isso, um fator que desencadeia revisão, não uma conclusão jurídica automática.

Distinga o modelo de IA de finalidade geral do sistema construído à sua volta. As obrigações do prestador do modelo e as obrigações relativas ao sistema a jusante estão relacionadas, mas não são intercambiáveis.

Construa um inventário de casos de utilização que suporte decisões

Faça o inventário das funções de negócio, e não apenas dos fornecedores. Entreviste as compras, os recursos humanos, o produto, as operações e as TI: a IA pode chegar através de uma nova funcionalidade de um fornecedor existente, e não de uma compra dedicada.

Para cada caso de utilização, registe:

Registe os fluxos de trabalho reais ao lado da finalidade prevista. Uma ferramenta descrita como “assistência ao recrutador” pode, na prática, excluir candidatos se a equipa só analisar a sua lista de pré-selecionados. Uma política escrita que exige revisão humana não prova que a revisão acontece.

O resultado é um registo versionado por caso de utilização. As classificações por resolver devem continuar visivelmente por resolver, com um responsável e um prazo de decisão, em vez de assumirem por omissão a categoria menos exigente.

Avalie separadamente as proibições, as vias de risco elevado e a transparência

A conhecida descrição em quatro níveis (proibido, risco elevado, relacionado com transparência e risco mais baixo) é uma introdução útil. Não é uma árvore de decisão completa. Os deveres de transparência podem sobrepor-se às obrigações de risco elevado, e os deveres de literacia em IA não se limitam aos sistemas de risco elevado.

Faça primeiro a triagem das práticas proibidas

O artigo 5.º proíbe práticas especificadas, sem prejuízo das condições e exceções detalhadas da disposição. As perguntas de triagem relevantes incluem saber se um sistema utiliza manipulação prejudicial ou explora vulnerabilidades, realiza uma classificação social proibida, cria bases de dados de reconhecimento facial através de recolha não direcionada de imagens ou efetua uma categorização biométrica proibida.

A inferência de emoções baseada em IA a partir de dados biométricos no local de trabalho e em instituições de ensino também é proibida, exceto por razões médicas ou de segurança especificadas. A análise de sentimento exclusivamente textual não fica abrangida por esta proibição só por avaliar o tom emocional. Determinadas utilizações biométricas para fins de aplicação da lei têm regras estritamente delimitadas; “todo o reconhecimento facial é proibido” não é um substituto exato para a avaliação.

Escale uma eventual prática proibida antes da aquisição ou da implantação. As evidências devem descrever a funcionalidade e o raciocínio jurídico, e não limitar-se a repetir a declaração de “IA ética” de um fornecedor.

Teste ambas as vias para a classificação de risco elevado

A via dos produtos regulamentados, artigo 6.º, n.º 1: examine se a IA é ela própria um produto, ou um componente de segurança de um produto, abrangido pela legislação relevante do Anexo I, e se esse produto exige uma avaliação da conformidade por terceiros. Ambas as condições contam. Utilize o texto jurídico alterado do regime específico do produto; a incorporação de IA não estabelece, por si só, o estatuto de risco elevado.

A via do Anexo III, artigo 6.º, n.º 2: examine se a função prevista corresponde a um caso de utilização enumerado. As oito áreas são títulos amplos, não regras que tornem de risco elevado todas as aplicações de um setor.

Leia as entradas detalhadas e as exclusões. Por exemplo, a deteção de fraude financeira distingue-se da utilização enumerada relativa à capacidade de endividamento, e a verificação de documentos de viagem está excluída da entrada relevante sobre identificação no âmbito da migração. A organização administrativa de campanhas não equivale a influenciar eleitores.

Avalie a transparência mesmo quando as regras de risco elevado não se aplicam

O artigo 50.º aborda interações e resultados específicos. Consoante o papel e as circunstâncias, as obrigações dizem respeito a informar as pessoas de que estão a interagir com IA, à marcação legível por máquina de resultados sintéticos, à divulgação de falsificações profundas (deepfakes) e a determinados textos gerados por IA sobre questões de interesse público. As utilizações de reconhecimento de emoções e de categorização biométrica também têm disposições de divulgação, quando permitidas.

Não reduza isto a “rotular todos os documentos assistidos por IA”. Determine que disposição se aplica, quem tem de agir e se alguma exceção é relevante. Conserve como evidências a redação dos avisos, a sua colocação, as soluções de marcação dos resultados e os resultados dos testes.

Trate a exceção do artigo 6.º, n.º 3, como uma avaliação documentada

Alguns sistemas do Anexo III podem ficar fora da classificação de risco elevado ao abrigo do artigo 6.º, n.º 3. Não se trata de uma isenção geral para ferramentas que tenham um ser humano algures no processo.

A avaliação tem de abordar se o sistema apresenta um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais, incluindo se influencia de forma significativa o resultado das decisões. A disposição identifica circunstâncias que envolvem tarefas processuais restritas, a melhoria do resultado de uma atividade humana previamente concluída, a deteção de padrões ou desvios em condições de revisão especificadas e tarefas preparatórias. O recurso à exceção exige o cumprimento de pelo menos uma destas condições e a demonstração de que o sistema não apresenta o risco significativo especificado.

Um prestador que recorra a esta exceção tem de documentar a avaliação antes de colocar o sistema no mercado ou em serviço e cumprir a obrigação de registo aplicável. Fundamentalmente, um sistema do Anexo III que efetue a definição de perfis de pessoas singulares continua a ser de risco elevado; isto não significa que todos os sistemas de definição de perfis, em qualquer contexto, se tornem automaticamente de risco elevado.

As evidências devem explicar que informação o sistema utiliza, como os resultados afetam os revisores e se a tarefa alegadamente preparatória determina quem recebe uma apreciação substantiva. Inclua observações do fluxo de trabalho e resultados representativos. Uma frase como “a decisão final é tomada por um ser humano” é insuficiente se a ordenação, a filtragem ou as recomendações determinarem efetivamente essa decisão.

Planeie com base nas datas de aplicação atuais

Conforme verificado a 7 de outubro de 2026, a visão geral e o calendário atuais da Comissão Europeia sobre o Regulamento da IA identificam os seguintes marcos:

Verifique o texto jurídico alterado e as disposições transitórias específicas que lhe dizem respeito. Os sistemas existentes, as datas de colocação de modelos no mercado, as alterações e as configurações específicas de operadores podem exigir uma análise adicional. Guias mais antigos podem ainda indicar datas anteriores para o risco elevado.

Não interprete o calendário atualizado para o risco elevado como um adiamento de todo o Regulamento. Orçamente separadamente os deveres já aplicáveis e a preparação para o regime de risco elevado relevante. O seu registo deve identificar o marco aplicável e a fonte utilizada para o estabelecer.

Transforme a classificação num plano de evidências

As responsabilidades do prestador e do responsável pela implantação são diferentes. A liderança deve exigir um plano específico para cada papel, em vez de atribuir todas as obrigações a todas as equipas.

Se fornece um sistema de risco elevado

Os requisitos de risco elevado e os deveres do prestador abrangem a gestão de riscos, a governação de dados, a documentação técnica, a manutenção de registos, a informação aos responsáveis pela implantação, a supervisão humana, a exatidão, a solidez, a cibersegurança e a gestão da qualidade. Os processos aplicáveis de avaliação da conformidade, declaração, marcação, registo, acompanhamento pós-comercialização e incidentes também precisam de ser planeados.

Traduza-os em resultados concretos:

• Uma avaliação de riscos ao longo do ciclo de vida, com medidas de mitigação, riscos residuais e decisões de aprovação.
• Registos de proveniência, adequação e qualidade dos dados, quando relevantes para o sistema.
• Documentação técnica que identifique a finalidade, o desenho, as dependências, as limitações e os métodos de avaliação.
• Resultados de testes associados a critérios de aceitação e ao contexto de implantação.
• Instruções de supervisão que expliquem a intervenção, a anulação e o escalamento.
• Especificações de registo, mecanismos de monitorização e procedimentos de incidentes.
• Um plano de trabalho de conformidade que identifique a via aplicável e os registos exigidos.

Nem todos os sistemas de risco elevado seguem a mesma via de avaliação. Não orçamente uma auditoria universal por terceiros nem trate uma certificação de segurança como prova de conformidade com o Regulamento da IA.

Se implanta um sistema de risco elevado

Concentre-se em utilizar o sistema de acordo com as instruções, atribuir uma supervisão competente, monitorizar a sua utilização e manter os registos exigidos. Trate da adequação dos dados de entrada quando controlar esses dados e dos requisitos aplicáveis de informação aos trabalhadores ou às pessoas afetadas.

Peça aos fornecedores as instruções, limitações, requisitos de supervisão e informações de conformidade relevantes. Identifique o que não conseguem fornecer e quem vai colmatar essa lacuna. Uma declaração de garantia de um fornecedor não estabelece que a sua configuração local é adequada.

Avalie se é exigida uma avaliação de impacto sobre os direitos fundamentais para a sua categoria de responsável pela implantação e para o caso de utilização. Não é universal para todas as implantações. Quando estiverem envolvidos dados pessoais, avalie separadamente os requisitos do RGPD; uma avaliação de impacto sobre a proteção de dados e uma avaliação ao abrigo do Regulamento da IA servem finalidades jurídicas diferentes, mesmo quando as evidências se sobrepõem.

Para cada resultado, especifique um responsável, um revisor, uma data-limite, a localização da fonte e um critério de aceitação. “Política carregada” não equivale a “controlo demonstrado”.

Exemplo prático: um modelo, duas decisões de negócio

Pressupostos ilustrativos: um empregador da UE utiliza um modelo de linguagem de terceiros para um assistente interno de redação e para uma aplicação de recrutamento separada. A aplicação de recrutamento pontua os candidatos face aos critérios da vaga e apresenta uma lista ordenada de pré-selecionados. O empregador utiliza ambos internamente; os seus papéis exatos de operador exigem revisão.

Para o assistente de redação, registe as tarefas de redação permitidas, as restrições de dados, a revisão dos resultados e quaisquer requisitos de transparência aplicáveis. A redação interna corrente não se torna de risco elevado só por utilizar IA. Um alargamento à avaliação no contexto laboral desencadearia uma reavaliação.

Para o recrutamento, a entrada do Anexo III relativa ao emprego é diretamente relevante. Reveja a pontuação e a definição de perfis dos candidatos, e não apenas a descrição da interface. Se os recrutadores só considerarem os candidatos pré-selecionados, o sistema molda de forma significativa o acesso ao emprego. A aprovação humana da contratação final não elimina essa influência.

A decisão da liderança é, por isso, diferente para cada aplicação. O assistente de redação pode avançar com controlos proporcionados após revisão. O projeto de recrutamento precisa de um plano de preparação para o risco elevado, de evidências do fornecedor, de supervisão com formação, da avaliação da utilização local e de uma decisão de lançamento documentada.

Se a equipa propuser alterar a função de recrutamento para o agendamento de entrevistas, avalie de novo essa nova finalidade e esse fluxo de trabalho. O agendamento pode ser uma tarefa processual restrita, mas manter a pontuação de candidatos nos bastidores comprometeria a fundamentação revista. Crie uma nova versão da decisão em vez de sobrescrever o registo original.

Torne a responsabilidade visível nas decisões operacionais

Atribua um responsável de negócio capaz de explicar a finalidade e aprovar recursos, um responsável técnico capaz de fundamentar o comportamento e um revisor jurídico ou de conformidade capaz de contestar a classificação. A aprovação executiva deve resolver o financiamento, as restrições ao lançamento e o risco por resolver, e não substituir a análise especializada.

Como recomendação prática, reveja a classificação quando a finalidade, os utilizadores, os dados, as integrações, a autonomia ou a influência sobre decisões com consequências se alterarem. Ligue essa revisão às renovações de contratos de aquisição e aos lançamentos de produto. Uma atualização do modelo, por si só, pode não alterar a classificação, mas pode invalidar as evidências de avaliação ou os pressupostos de funcionamento.

Os erros comuns incluem aceitar classificações genéricas do fornecedor, presumir que a revisão humana cria automaticamente uma isenção, ignorar os deveres de literacia e de transparência já aplicáveis e reunir documentos sem testar o funcionamento local. Um sistema de gestão ISO/IEC 42001 pode apoiar a governação, mas a certificação não estabelece automaticamente a conformidade com o Regulamento da IA.

A Secani pode apoiar o fluxo de evidências ligando requisitos, controlos, material de origem, responsáveis, tarefas e decisões revistas. Comece com um processo, associe as evidências àquilo que provam e mantenha os comentários, as aprovações e as marcas temporais junto das conclusões materiais. Trate as sugestões assistidas por IA como rascunhos para revisão humana, e não como determinações jurídicas. O nosso guia de governação de agentes de IA apresenta controlos práticos para permissões e revisão.

O próximo passo útil é um workshop de classificação focado: selecione os casos de utilização em produção com mais consequências, reúna os respetivos responsáveis de negócio e técnicos e produza registos revistos com as questões por resolver e as tarefas de evidências. Isso dá à liderança uma base defensável para decidir o que pode avançar, o que precisa de condições e o que exige uma avaliação mais aprofundada.