As Autoridades dos Estados-Membros da Lei de IA da UE são os órgãos nacionais de supervisão designados por cada estado-membro da União Europeia para aplicar a Lei da Inteligência Artificial (Lei de IA), um regulamento que entrou em vigor em 1 de agosto de 2024. Essas autoridades são responsáveis por monitorar a conformidade com os requisitos baseados em risco da Lei, conduzir investigações e impor penalidades por violações dentro de suas respectivas jurisdições. O regulamento estabelece um quadro no qual cada estado-membro deve designar pelo menos uma autoridade nacional competente, que normalmente inclui uma autoridade de vigilância de mercado e uma autoridade notificadora, para supervisionar sistemas de IA colocados no mercado ou usados dentro desse estado.
A Lei de IA, proposta pela Comissão Europeia em 21 de abril de 2021, foi aprovada pelo Parlamento Europeu em 13 de março de 2024 e aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. Ela cobre a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou para uso não profissional. Como uma forma de regulamentação de produtos, ela não cria direitos individuais; em vez disso, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional. A Lei pode ser aplicada extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE, semelhante ao Regulamento Geral de Proteção de Dados da UE.
Designação e Estrutura
Cada estado-membro é obrigado a designar autoridades nacionais competentes para implementar e aplicar a Lei de IA. O processo de designação envolve o estabelecimento de uma autoridade de vigilância de mercado, que lida com verificações de conformidade e ações de execução, e uma autoridade notificadora, que gerencia a avaliação e notificação de organismos de avaliação de conformidade. Em muitos estados-membros, essas funções são atribuídas a agências reguladoras existentes, como autoridades de proteção de dados ou órgãos de defesa do consumidor, enquanto outros criaram escritórios dedicados de supervisão de IA. As autoridades operam de forma independente em suas funções de execução, mas coordenam por meio do Conselho Europeu de Inteligência Artificial, que promove a cooperação nacional e garante a aplicação consistente do regulamento em toda a UE.
As autoridades nacionais têm o poder de solicitar documentação e informações de provedores e implantadores de IA, conduzir inspeções sem aviso prévio e acessar conjuntos de dados usados para treinar e testar sistemas de IA. Elas também podem emitir advertências, impor medidas corretivas e ordenar a retirada ou recolhimento de produtos de IA não conformes do mercado. A Lei exige que essas autoridades tenham recursos e conhecimentos suficientes para desempenhar suas funções, incluindo conhecimento técnico de sistemas de Artificial intelligence e seus riscos associados.
Poderes de Execução
Os poderes de execução das autoridades dos estados-membros variam dependendo da categoria de risco do sistema de IA. Para aplicações de alto risco, as autoridades podem exigir avaliações de conformidade, determinar ações corretivas e suspender ou proibir o uso de sistemas que representem ameaças significativas à saúde, segurança ou direitos fundamentais. Para aplicações de risco inaceitável que são proibidas pela Lei, as autoridades têm o poder de ordenar a remoção imediata e podem impor multas substanciais. A Lei estabelece quadros de penalidades que os estados-membros devem implementar, com multas por não conformidade chegando a uma porcentagem do faturamento anual global da empresa infratora ou um valor fixo, o que for maior.
As autoridades também lidam com reclamações de cidadãos sobre sistemas de IA e devem fornecer explicações sobre decisões tomadas por IA de alto risco que afetam os direitos dos indivíduos. Elas são obrigadas a estabelecer procedimentos acessíveis para relatar violações e proteger denunciantes que relatam não conformidade. A abordagem de execução segue um modelo de segurança de produtos, no qual os deveres regulatórios são atribuídos a provedores e implantadores, e esses deveres se tornam mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta.
Coordenação com o Conselho Europeu de Inteligência Artificial
O Conselho Europeu de Inteligência Artificial serve como o mecanismo central de coordenação para as autoridades dos estados-membros. Ele facilita a troca de informações, desenvolve orientações sobre a interpretação consistente da Lei e ajuda a resolver disputas entre autoridades nacionais. O Conselho também aconselha a Comissão Europeia sobre padrões técnicos e questões de implementação. As autoridades dos estados-membros são obrigadas a participar ativamente das atividades do Conselho e a compartilhar informações sobre ações de execução, descobertas de vigilância de mercado e riscos emergentes relacionados a sistemas de IA.
O Conselho desempenha um papel particularmente importante em casos envolvendo modelos de IA de propósito geral, como sistemas de Large language model, que podem ser implantados em vários estados-membros. Quando um risco sistêmico é identificado, o Conselho coordena investigações conjuntas e garante que as ações de execução sejam consistentes entre jurisdições. Essa coordenação é essencial porque a aplicação extraterritorial da Lei significa que provedores de fora da UE, incluindo empresas como OpenAI e Google DeepMind, podem estar sujeitos à supervisão de várias autoridades nacionais simultaneamente.
Responsabilidades de Supervisão Baseadas em Risco
As responsabilidades de supervisão das autoridades dos estados-membros são estruturadas de acordo com os quatro níveis de risco da Lei, mais a categoria de IA de propósito geral. Para aplicações de risco inaceitável, que são proibidas, exceto por isenções específicas, as autoridades devem monitorar ativamente e aplicar proibições em sistemas de IA que manipulam o comportamento humano, usam identificação biométrica remota em tempo real em espaços públicos ou se envolvem em pontuação social. Para aplicações de alto risco em áreas como saúde, educação, recrutamento, gestão de infraestrutura crítica, aplicação da lei ou justiça, as autoridades verificam a conformidade com obrigações de qualidade, transparência, supervisão humana e segurança, e podem exigir Avaliações de Impacto sobre Direitos Fundamentais antes da implantação.
Sistemas de risco limitado, incluindo aqueles que geram ou manipulam imagens, som ou vídeos, como deepfakes, estão sujeitos a obrigações de transparência, e as autoridades garantem que os usuários sejam informados ao interagir com sistemas de IA. Aplicações de risco mínimo, como IA usada em videogames ou filtros de spam, não são regulamentadas, e os estados-membros não podem impor regulamentações adicionais devido às regras de harmonização máxima. Para IA de propósito geral, as autoridades supervisionam requisitos de transparência, incluindo resumos de dados de treinamento e políticas de direitos autorais, com avaliações adicionais exigidas para modelos de alta capacidade que representam riscos sistêmicos.
Penalidades e Medidas Corretivas
A Lei exige que os estados-membros estabeleçam penalidades eficazes, proporcionais e dissuasivas para violações. Os valores específicos das penalidades são determinados pela legislação nacional, mas a Lei estabelece níveis máximos que os estados-membros devem implementar. Para violações envolvendo aplicações de IA de risco inaceitável, as multas podem chegar a até 7% do faturamento anual global da empresa infratora ou €35 milhões, o que for maior. Para violações de outras obrigações, como aquelas relacionadas a sistemas de alto risco ou IA de propósito geral, as multas podem chegar a até 3% do faturamento anual global ou €15 milhões. Fornecer informações incorretas ou enganosas às autoridades pode resultar em multas de até 1% do faturamento anual global ou €7,5 milhões.
As autoridades também têm o poder de impor medidas corretivas além de penalidades financeiras, incluindo exigir que os provedores coloquem os sistemas de IA em conformidade, restringir ou proibir a colocação no mercado de sistemas não conformes e ordenar o recolhimento de produtos já em uso. Em casos urgentes em que um sistema de IA representa um risco grave, as autoridades podem tomar medidas imediatas antes de concluir uma avaliação completa, sujeitas a revisão posterior.
Cronograma de Implementação e Transição
As disposições da Lei de IA estão sendo implementadas gradualmente ao longo de 6 a 36 meses a partir da entrada em vigor em 1 de agosto de 2024. As autoridades dos estados-membros foram obrigadas a ser designadas e operacionais nos primeiros meses de implementação. As proibições de aplicações de risco inaceitável tornaram-se aplicáveis após seis meses, enquanto as obrigações para IA de propósito geral e sistemas de alto risco estão sendo introduzidas gradualmente ao longo de períodos mais longos. O rascunho da Lei foi revisado para abordar o aumento da popularidade de sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal, e essa revisão adicionou a categoria de IA de propósito geral em 2023.
Durante o período de transição, as autoridades dos estados-membros estão desenvolvendo seus procedimentos operacionais, contratando equipe técnica e estabelecendo protocolos de cooperação com outros órgãos reguladores. Elas também estão preparando documentos de orientação para empresas que operam em suas jurisdições e participando do desenvolvimento de padrões harmonizados que apoiarão as avaliações de conformidade. A implementação gradual é projetada para dar tanto às autoridades quanto às entidades reguladas tempo para se adaptar aos novos requisitos, garantindo que os riscos mais graves sejam abordados prontamente.
Relação com Outros Órgãos Reguladores
As autoridades dos estados-membros sob a Lei de IA operam ao lado de outros órgãos reguladores com responsabilidades relacionadas. Elas coordenam com autoridades de proteção de dados, particularmente para sistemas de IA que processam dados pessoais, e com reguladores setoriais em áreas como saúde, serviços financeiros e transporte. A Lei também interage com a legislação existente de segurança de produtos, e as autoridades devem garantir que suas ações de execução sejam consistentes com outros regulamentos da UE. Em casos em que sistemas de IA são usados em conjunto com outras tecnologias, como modelos de Machine learning implantados por meio de serviços em nuvem de provedores como Amazon Web Services ou Microsoft Azure, as autoridades podem precisar coordenar entre múltiplos quadros regulatórios.
A aplicação extraterritorial da Lei significa que as autoridades também podem cooperar com reguladores em países não pertencentes à UE, particularmente para provedores de IA sediados nos Estados Unidos, China ou outros grandes centros de desenvolvimento de IA. Essa dimensão internacional adiciona complexidade à execução, pois as autoridades devem equilibrar os requisitos da Lei com os quadros legais de outras jurisdições, garantindo que os cidadãos da UE sejam protegidos de aplicações de IA prejudiciais.