A Lei de Inteligência Artificial da União Europeia (Lei da IA) estabelece um quadro jurídico abrangente para a inteligência artificial, com uma camada específica dedicada aos sistemas de IA de alto risco. Esses sistemas, que apresentam riscos significativos para a saúde, a segurança ou os direitos fundamentais, estão sujeitos a um conjunto rigoroso de obrigações antes de serem colocados no mercado da UE. O regulamento visa promover uma IA confiável, garantindo ao mesmo tempo a inovação, equilibrando os benefícios da inteligência artificial com salvaguardas robustas para os cidadãos.
A classificação de alto risco nos termos da Lei da IA abrange duas categorias principais: sistemas de IA que são componentes de segurança de produtos já sujeitos à legislação setorial da UE (como dispositivos médicos, brinquedos e máquinas) e sistemas de IA autônomos listados no Anexo III, incluindo aqueles usados em infraestruturas críticas, educação, emprego, aplicação da lei, migração e serviços privados essenciais, como pontuação de crédito. As obrigações se aplicam aos fornecedores (desenvolvedores) e, em certos casos, aos implantadores (usuários), com um cronograma de implementação em fases.
Escopo e Critérios de Classificação
A Lei da IA define sistemas de IA de alto risco com base em sua finalidade pretendida e no setor em que operam. Para produtos já regulamentados pelas leis existentes da UE (por exemplo, o Regulamento de Dispositivos Médicos ou a Diretiva de Máquinas), o sistema de IA é automaticamente considerado de alto risco se for um componente de segurança. Para sistemas autônomos, a classificação depende de o sistema se enquadrar em uma das oito áreas listadas no Anexo III, como identificação biométrica, gestão de infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, acesso a serviços essenciais, aplicação da lei, migração e controle de fronteiras e administração da justiça.
A Comissão Europeia tem o poder de atualizar o Anexo III por meio de atos delegados, adicionando ou removendo casos de uso específicos com base em evidências de risco. Essa abordagem dinâmica permite que o regulamento se adapte aos desenvolvimentos tecnológicos, incluindo avanços em modelos de aprendizado de máquina e aprendizado profundo. No entanto, a Lei inclui uma exceção restrita: se um sistema listado no Anexo III não representar um risco significativo de dano à saúde, à segurança ou aos direitos fundamentais, um fornecedor pode argumentar pela não classificação, sujeito à revisão pelas autoridades nacionais.
Obrigações para Fornecedores
Os fornecedores de sistemas de IA de alto risco devem implementar um sistema de gestão da qualidade que garanta a conformidade ao longo de todo o ciclo de vida do sistema. As principais obrigações incluem o estabelecimento de um sistema de gestão de riscos que identifique, avalie e mitigue riscos previsíveis, incluindo uso indevido e danos potenciais a grupos vulneráveis. Esse processo deve ser iterativo, com monitoramento contínuo e atualização das avaliações de risco.
A governança de dados é outro requisito crítico. Os conjuntos de dados de treinamento, validação e teste devem ser relevantes, representativos e livres de vieses que possam levar a resultados discriminatórios. Os fornecedores devem documentar a proveniência dos dados, garantir limpeza e preparação adequadas dos dados e considerar o contexto específico do uso pretendido. Para sistemas que envolvem arquiteturas de rede neural, isso significa validação rigorosa para evitar sobreajuste ou sub-representação de certas populações.
A documentação técnica deve ser elaborada antes da colocação do sistema no mercado, contendo informações detalhadas sobre a finalidade, o design, o processo de desenvolvimento e as métricas de desempenho do sistema. Essa documentação deve ser mantida atualizada e disponibilizada às autoridades nacionais competentes mediante solicitação. Além disso, os fornecedores devem implementar recursos de registro automático para permitir a rastreabilidade das operações do sistema, particularmente para sistemas que aprendem continuamente com dados do mundo real.
Avaliação de Conformidade e Registro
Antes que um sistema de IA de alto risco possa ser colocado no mercado da UE, ele deve passar por um procedimento de avaliação de conformidade. Para a maioria dos sistemas, isso envolve uma avaliação interna com base no próprio sistema de gestão da qualidade e na documentação técnica do fornecedor. No entanto, para certas categorias, como sistemas de identificação biométrica, é necessária uma avaliação por terceiros realizada por um organismo notificado. A avaliação verifica a conformidade com as obrigações estabelecidas na Lei, incluindo gestão de riscos, governança de dados e transparência.
Uma vez estabelecida a conformidade, o fornecedor deve elaborar uma declaração de conformidade da UE e afixar a marcação CE. O sistema deve então ser registrado em um banco de dados em toda a UE mantido pela Comissão Europeia. Esse registro inclui informações sobre o fornecedor, a finalidade pretendida do sistema e links para a documentação técnica. O banco de dados é publicamente acessível para a maioria dos sistemas de alto risco, com acesso restrito para aplicações de aplicação da lei e migração, a fim de proteger os interesses de segurança.
Transparência e Supervisão Humana
Os sistemas de IA de alto risco devem ser projetados para permitir uma supervisão humana eficaz. Isso significa que pessoas físicas devem ser capazes de entender a saída do sistema, intervir em sua operação e anular ou reverter decisões quando necessário. O nível de supervisão deve ser proporcional ao risco e à autonomia do sistema. Por exemplo, um sistema usado na triagem de emprego deve permitir que um recrutador humano revise e conteste decisões automatizadas.
As obrigações de transparência também exigem que os usuários sejam informados quando estiverem interagindo com um sistema de IA de alto risco, a menos que isso seja evidente pelo contexto. Para sistemas que geram conteúdo sintético, como deepfakes, os fornecedores devem garantir que as saídas sejam marcadas em um formato legível por máquina para indicar sua origem artificial. Isso é particularmente relevante para modelos de IA generativa que podem produzir imagens, áudio ou texto realistas.
Responsabilidades do Implantador
Os implantadores, ou usuários de sistemas de IA de alto risco, têm seu próprio conjunto de obrigações. Eles devem usar o sistema de acordo com as instruções de uso fornecidas pelo fabricante, o que inclui respeitar a finalidade pretendida e as limitações. Os implantadores também devem garantir que os dados de entrada sejam relevantes e não tendenciosos e que o sistema seja monitorado quanto a sinais de desvio ou degradação no desempenho.
Em contextos de emprego, os implantadores devem informar os funcionários de que estão sujeitos a um sistema de IA de alto risco e fornecer informações claras sobre a lógica do sistema e os impactos potenciais. Para sistemas que tomam decisões que afetam os direitos dos indivíduos, como pontuação de crédito ou seguros, os implantadores devem realizar uma avaliação de impacto sobre os direitos fundamentais, particularmente quando o sistema processa dados sensíveis ou envolve populações vulneráveis.
Os implantadores também são responsáveis por manter os registros automáticos gerados pelo sistema e retê-los por um período especificado no regulamento, tipicamente seis meses, salvo disposição em contrário da legislação setorial. Eles devem cooperar com as autoridades nacionais e relatar quaisquer incidentes graves ou mau funcionamento que possam levar a danos.
Governança e Execução
A aplicação da Lei da IA é compartilhada entre as autoridades nacionais competentes e a Comissão Europeia. Cada Estado-Membro deve designar pelo menos uma autoridade notificadora e uma autoridade de vigilância do mercado. A Comissão Europeia estabelecerá um Conselho Europeu de Inteligência Artificial para facilitar a aplicação consistente em toda a UE e aconselhar sobre questões técnicas e éticas.
As penalidades por não conformidade são significativas. As multas podem chegar a € 35 milhões ou 7% do faturamento anual global de uma empresa, o que for maior, por violações relacionadas a práticas proibidas. Para não conformidade com as obrigações de sistemas de alto risco, as multas podem chegar a € 15 milhões ou 3% do faturamento. Multas menores se aplicam por fornecer informações incorretas às autoridades.
Cronograma e Períodos Transitórios
A Lei da IA entrou em vigor em 1º de agosto de 2024, com um cronograma de implementação escalonado. As proibições de certas práticas de IA, como pontuação social e técnicas manipulativas, tornaram-se aplicáveis em 2 de fevereiro de 2025. As obrigações para sistemas de alto risco são implementadas em fases com base na categoria do sistema: aqueles incorporados em produtos regulamentados têm um período de transição mais longo, com aplicabilidade total até 2 de agosto de 2027. Os sistemas de alto risco autônomos listados no Anexo III devem cumprir até 2 de agosto de 2026, com algumas exceções para sistemas já no mercado.
Os fornecedores de modelos de IA de propósito geral, incluindo sistemas de grande modelo de linguagem, têm obrigações adicionais de transparência que se aplicam a partir de 2 de agosto de 2025. Isso inclui publicar resumos dos dados de treinamento e garantir a conformidade com a lei de direitos autorais. A Lei também estabelece uma estrutura de sandbox regulatório para permitir que empresas inovadoras testem sistemas de alto risco sob condições de supervisão antes que a conformidade total seja exigida.
Impacto na Indústria e na Inovação
As disposições de alto risco da Lei da IA têm implicações significativas para empresas de tecnologia, particularmente aquelas que desenvolvem sistemas de aprendizado de máquina para setores regulamentados. Empresas como OpenAI, Anthropic e Google DeepMind devem adaptar seus processos de desenvolvimento para atender aos padrões de documentação e gestão de riscos. Para fornecedores de hardware como AMD, Intel e NVIDIA (embora não explicitamente nomeados na Lei), o regulamento influencia indiretamente como os aceleradores de IA são projetados, pois devem suportar recursos de registro e rastreabilidade.
Pequenas e médias empresas podem enfrentar desafios para cumprir o ônus da conformidade, mas a Lei inclui medidas para apoiá-las, como taxas reduzidas para avaliação de conformidade e acesso a instalações de teste. O regulamento também incentiva o desenvolvimento de códigos de conduta e normas, que podem ajudar a harmonizar as práticas de conformidade em toda a UE.
Em geral, a Lei de IA da UE representa um esforço pioneiro para regulamentar sistemas de IA de alto risco, estabelecendo uma referência global para a governança de IA. Seu sucesso dependerá da implementação eficaz, da cooperação internacional e da capacidade de equilibrar segurança com inovação. À medida que o campo da inteligência artificial continua a evoluir, a abordagem baseada em risco da Lei pode servir como modelo para outras jurisdições que buscam abordar os desafios sociais colocados pelas tecnologias avançadas de IA.