A Lei de Inteligência Artificial da União Europeia (AI Act), que entrou em vigor em 1º de agosto de 2024, estabelece um quadro regulatório baseado em risco para a inteligência artificial. Entre suas quatro categorias de risco, os sistemas de IA de alto risco são aqueles que se espera representarem ameaças significativas à saúde, à segurança ou aos direitos fundamentais. Esses sistemas enfrentam as obrigações mais rigorosas sob a regulamentação, incluindo avaliações de conformidade obrigatórias, requisitos de transparência, supervisão humana e, em certos casos, uma Avaliação de Impacto sobre os Direitos Fundamentais (FRIA) antes da implantação. A AI Act foi proposta pela Comissão Europeia em 21 de abril de 2021, aprovada pelo Parlamento Europeu em 13 de março de 2024 e aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. Suas disposições estão sendo implementadas gradualmente ao longo de 6 a 36 meses a partir da entrada em vigor.
A classificação de alto risco se aplica a sistemas de IA usados em setores críticos, como saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei e justiça. Esses sistemas devem cumprir obrigações de qualidade, transparência e segurança ao longo de todo o seu ciclo de vida, desde o design até a implantação. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem alterar a própria AI Act, permitindo que a regulamentação se adapte a riscos emergentes. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA de alto risco e de receber explicações sobre decisões tomadas por tais sistemas que afetem seus direitos.
Definição e Escopo
Os sistemas de IA de alto risco são definidos pela AI Act como aplicações que provavelmente causarão danos significativos a indivíduos ou à sociedade. A classificação é baseada na finalidade pretendida do sistema, não em sua tecnologia subjacente. Por exemplo, um sistema de IA usado para diagnóstico médico é de alto risco, enquanto o mesmo algoritmo usado para triagem administrativa de documentos pode ser de risco mínimo. A Lei abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para uso militar, segurança nacional, pesquisa e uso não profissional. Como uma forma de regulamentação de produtos, ela impõe deveres a provedores e implantadores, não a indivíduos.
A categoria de alto risco inclui sistemas de IA que são componentes de segurança de produtos, ou que são eles próprios produtos, sujeitos à legislação de harmonização da UE, como o Regulamento de Dispositivos Médicos ou o Regulamento de Máquinas. Além disso, sistemas de IA autônomos em áreas específicas são de alto risco, incluindo identificação biométrica, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, serviços essenciais, aplicação da lei, migração e asilo, e administração da justiça. O escopo é amplo, refletindo o potencial desses sistemas de afetar direitos fundamentais.
Obrigações para Provedores e Implantadores
Os provedores de sistemas de IA de alto risco devem implementar um sistema de gestão de riscos que identifique e mitigue riscos ao longo do ciclo de vida do sistema. Eles devem garantir que os dados de treinamento, validação e teste sejam relevantes, representativos e livres de viés. A documentação técnica deve ser elaborada antes da colocação do sistema no mercado, demonstrando conformidade com a Lei. Capacidades de registro (logging) devem ser incorporadas para permitir a rastreabilidade das operações do sistema. A supervisão humana é obrigatória, o que significa que pessoas físicas devem ser capazes de interpretar a saída do sistema e anulá-la quando necessário.
Os implantadores, ou usuários, de sistemas de IA de alto risco têm suas próprias obrigações. Eles devem usar o sistema de acordo com as instruções de uso, garantir que os dados de entrada sejam relevantes e suficientemente representativos, e monitorar a operação do sistema em busca de sinais de risco. Eles também devem informar os indivíduos afetados de que estão interagindo com um sistema de alto risco e, em alguns casos, conduzir uma Avaliação de Impacto sobre os Direitos Fundamentais antes da implantação. Essa avaliação é uma revisão ex ante para identificar e mitigar potenciais impactos sobre os direitos fundamentais, baseando-se em trabalhos anteriores sobre avaliações de impacto algorítmico que sugerem que tais ferramentas devem identificar comunidades afetadas, descrever possíveis danos e fornecer uma base para escrutínio público.
Avaliação de Conformidade e Vigilância de Mercado
Antes que um sistema de IA de alto risco possa ser colocado no mercado da UE, ele deve passar por uma avaliação de conformidade. Esse processo verifica se o sistema atende aos requisitos da AI Act. Para muitos sistemas de alto risco, o provedor pode fazer uma autoavaliação, mas para aqueles usados em áreas como identificação biométrica ou aplicação da lei, um organismo notificado deve estar envolvido. A avaliação inclui uma revisão do sistema de gestão de riscos, governança de dados, documentação técnica e medidas de supervisão humana. Após a aprovação, o sistema recebe a marcação CE, indicando conformidade.
As autoridades de vigilância de mercado em cada estado-membro monitoram a conformidade após a implantação. Elas podem exigir que os provedores tomem medidas corretivas se um sistema for considerado não conforme. O Conselho Europeu de Inteligência Artificial, criado pela Lei, promove a cooperação nacional e garante a aplicação consistente em toda a UE. Como o Regulamento Geral sobre a Proteção de Dados, a AI Act pode se aplicar extraterritorialmente a provedores fora da UE se eles tiverem usuários dentro da UE, o que significa que empresas não europeias também devem cumprir.
Avaliação de Impacto sobre os Direitos Fundamentais
Uma Avaliação de Impacto sobre os Direitos Fundamentais (FRIA) é exigida para sistemas de IA de alto risco usados em certos setores, como serviços públicos, aplicação da lei e migração. A FRIA deve ser conduzida antes da implantação e envolve uma análise detalhada do impacto potencial do sistema sobre os direitos fundamentais, incluindo não discriminação, privacidade e proteção de dados. Ela deve descrever a finalidade pretendida do sistema, as categorias de indivíduos afetados e os riscos específicos para seus direitos. Medidas de mitigação devem ser delineadas, e a avaliação deve ser mantida atualizada.
A FRIA é uma inovação-chave da AI Act, refletindo uma tendência mais ampla em direção a avaliações de impacto algorítmico. Estudiosos argumentaram que tais avaliações devem identificar quais indivíduos e comunidades são afetados, descrever possíveis danos e fornecer uma base para escrutínio público e institucional. O requisito de FRIA da AI Act é projetado para garantir que sistemas de alto risco sejam implantados somente após consideração cuidadosa de suas implicações sociais.
Alto Risco vs. Outras Categorias de Risco
A AI Act classifica as aplicações de IA em quatro níveis: risco inaceitável, alto, limitado e mínimo. Aplicações de risco inaceitável são proibidas diretamente, incluindo aquelas que manipulam o comportamento humano, usam identificação biométrica remota em tempo real em espaços públicos ou permitem pontuação social. Aplicações de alto risco, como descrito, estão sujeitas a obrigações estritas. Aplicações de risco limitado, como deepfakes, têm apenas obrigações de transparência, exigindo que os usuários sejam informados de que estão interagindo com IA. Aplicações de risco mínimo, como videogames ou filtros de spam, não são regulamentadas, e os estados-membros não podem impor restrições adicionais devido a regras de harmonização máxima.
Esse esquema baseado em risco segue um modelo de segurança de produto, onde os deveres regulatórios aumentam com o impacto potencial. Ele visa focar a supervisão em sistemas que provavelmente criarão riscos significativos, enquanto permite abordagens mais leves para usos menos sensíveis. Alguns estudiosos do direito argumentam que a Lei enquadra a 'IA confiável' como sistemas que podem demonstrar conformidade com esses limites de segurança e risco. O Serviço de Pesquisa do Parlamento Europeu observou que a avaliação de impacto da Comissão se baseou em consultas às partes interessadas e pesquisas existentes ao comparar opções de políticas.
IA de Propósito Geral e Sobreposição com Alto Risco
Em 2023, o projeto da Lei foi revisado para abordar o surgimento de sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal. Uma nova categoria para IA de propósito geral foi adicionada, cobrindo modelos de fundação que podem executar uma ampla gama de tarefas. Esses modelos, como os desenvolvidos pela OpenAI, Anthropic e Google DeepMind, estão sujeitos a requisitos de transparência, com obrigações reduzidas para modelos de código aberto. Modelos de alto impacto que representam riscos sistêmicos, exigindo mais de 10^25 operações de ponto flutuante para treinar, devem passar por avaliação extra e testes adversariais.
Embora a IA de propósito geral não seja automaticamente de alto risco, seu uso em aplicações de alto risco aciona as obrigações de alto risco. Por exemplo, um modelo de linguagem grande usado em uma ferramenta de diagnóstico médico estaria sujeito aos requisitos de alto risco da AI Act. O Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade. A participação no código é voluntária, mas fornece um quadro para cumprir as obrigações da Lei.
Execução e Penalidades
A execução da AI Act começa gradualmente, com proibições sobre aplicações de risco inaceitável aplicáveis a partir de fevereiro de 2025, e obrigações de alto risco aplicáveis a partir de agosto de 2026. As penalidades por não conformidade são significativas, variando até 35 milhões de euros ou 7% do faturamento anual global, o que for maior, para violações envolvendo práticas proibidas. Para outras violações, as penalidades podem chegar a 15 milhões de euros ou 3% do faturamento. Essas multas são comparáveis às do Regulamento Geral sobre a Proteção de Dados, refletindo o compromisso da UE com uma execução robusta.
O Conselho Europeu de Inteligência Artificial, composto por representantes dos estados-membros e da Comissão, desempenha um papel-chave na coordenação da execução. Ele emite orientações e pareceres para garantir a aplicação consistente da Lei. As autoridades nacionais de supervisão são responsáveis por investigar reclamações e impor penalidades. O alcance extraterritorial da Lei significa que provedores de fora da UE, como aqueles nos Estados Unidos ou na Ásia, também devem cumprir se oferecerem sistemas de IA a usuários da UE.
Impacto na Inovação e na Indústria
Os requisitos de alto risco da AI Act têm implicações significativas para a indústria de IA. Empresas que desenvolvem sistemas de IA para saúde, finanças ou serviços públicos devem investir em medidas de conformidade, incluindo documentação, testes e supervisão humana. Isso pode aumentar os custos de desenvolvimento, mas também fornece um quadro regulatório claro que pode aumentar a confiança nas tecnologias de IA. A Lei visa equilibrar inovação com proteção, e sua abordagem baseada em risco é vista como um modelo para outras jurisdições.
Para pesquisadores e desenvolvedores de Artificial intelligence, a Lei incentiva o uso de técnicas como Machine learning e Deep learning de maneira responsável. Ela também promove a transparência, o que pode ajudar a abordar preocupações sobre viés e responsabilização. Os requisitos da Lei para governança de dados e registro são particularmente relevantes para sistemas baseados em Neural network e Transformer (architecture), que são frequentemente opacos. Ao exigir supervisão humana, a Lei busca garantir que os sistemas de IA permaneçam sob controle humano, mesmo à medida que se tornam mais autônomos.
Desenvolvimentos Futuros
A lista de aplicações de alto risco pode ser expandida ao longo do tempo, permitindo que a UE responda a novos riscos. A Lei também inclui disposições para um código de conduta voluntário para sistemas de risco mínimo, incentivando melhores práticas. À medida que a tecnologia de IA evolui, a Comissão Europeia pode propor atualizações à Lei, e o Conselho Europeu de Inteligência Artificial continuará a fornecer orientações. O sucesso da Lei dependerá de execução eficaz e cooperação entre os estados-membros, bem como do alinhamento internacional na regulamentação de IA.
Em resumo, os sistemas de IA de alto risco sob a AI Act da UE estão sujeitos a alguns dos requisitos regulatórios mais abrangentes do mundo. Eles devem atender a padrões estritos de segurança, transparência e supervisão humana, e passar por avaliações de conformidade antes da entrada no mercado. A Lei representa um passo importante em direção à regulamentação da IA de uma forma que protege os direitos fundamentais enquanto fomenta a inovação. Seu impacto será sentido globalmente, pois muitas empresas precisarão se adaptar aos seus requisitos para operar no mercado da UE.