AI Act — Inteligência Artificial e Dados
Regulação europeia para sistemas de IA. Classificação de risco, implicações para protecção de dados e conformidade convergente.
Enquadramento Regulatório
O Regulamento (UE) 2024/1689, conhecido como AI Act (Artificial Intelligence Act), é a primeira lei europeia que estabelece requisitos de conformidade para sistemas de IA. Entra em vigência progressivamente, com certas obrigações começando imediatamente para sistemas de risco não aceitável.
O AI Act classifica sistemas de IA por nível de risco e estabelece obrigações proporcionais. Aplica-se a fornecedores de modelos e sistemas de IA, bem como a utilizadores em contextos de alto risco. O seu escopo é global, afectando qualquer sistema de IA fornecido na UE ou que processe dados de residentes na UE.
Para organizações que utilizam IA para tratar dados pessoais, conformidade com AI Act é essencial e converge directamente com obrigações RGPD, especialmente em áreas de decisões automatizadas e rastreamento de comportamento.
Classificação de Risco em IA
O AI Act organiza-se em torno de uma abordagem de classificação de risco. Diferentes níveis de risco resultam em diferentes obrigações:
Risco Não Aceitável
Sistemas que causem perigo claro à segurança ou direitos fundamentais. Exemplos: manipulação de comportamento, sistema de crédito social, exploração de menores. PROIBIDOS na EU.
Elevado Risco
Sistemas que afectem significativamente direitos e liberdades. Exemplos: decisões legais, emprego, acesso a serviços essenciais, policiamento. Obrigações rigorosas de conformidade.
Risco Limitado
Sistemas com risco moderado, especialmente chatbots e sistemas de recomendação. Requerem transparência, divulgação sobre natureza de IA e capacidade de consentimento informado.
Risco Mínimo
Sistemas de baixo risco. Maioria das aplicações de IA. Aplicam-se recomendações de boas práticas, mas menos obrigações prescritivas que sistemas de risco elevado.
Implicações para Protecção de Dados
O AI Act interage criticamente com RGPD em várias áreas. Sistemas de IA frequentemente processam dados pessoais em escala, treino, e aplicação, criando convergência de obrigações:
Dados de Treino
Base legal para recolha de dados de treino é questão RGPD essencial. AI Act não substitui RGPD em questões de consentimento, direitos dos titulares ou transferências internacionais. Dados de treino devem cumprir RGPD: consentimento informado, direito de acesso, direito ao esquecimento.
Decisões Automatizadas
Art. 22 do RGPD proíbe decisões inteiramente automatizadas com efeitos legais significativos, excepção feita para consentimento explícito. AI Act estabelece obrigações complementares: sistemas de elevado risco usados em contextos de emprego, acesso a serviços ou decisões legais requerem avaliação de risco, documentação e possibilidade de intervenção humana.
Rastreamento e Profiling
Sistemas de IA usados para rastreamento de comportamento ou profiling online devem cumprir ambos os regimes: RGPD requer base legal e consentimento; AI Act (se elevado risco) requer medidas de conformidade adicionais como testes de conformidade, monitorização contínua e documentação.
Transparência e Consentimento
AI Act requer divulgação quando interagir com sistema de IA (ex., chatbot não-humano). RGPD requer consentimento transparente e informado. Juntos, criam requisito de consentimento duplo: (1) consentimento para utilização de dados de treino, (2) consentimento ou consciência clara ao utilizar sistema de IA.
Entrada em Vigência Progressiva
AI Act tem calendário de implementação faseado. Sistemas de risco não aceitável são proibidos imediatamente. Obrigações de sistemas de elevado risco aplicam-se a partir de 2026. Recomenda-se avaliação imediata de aplicações de IA dentro da organização para determinar classificação de risco e obrigações de conformidade.
Obrigações Chave para Organizações
Fornecedores de Modelos de IA: Documentação, testes de conformidade, monitorização, reporte de incidentes, conformidade com requisitos técnicos.
Utilizadores de Sistemas de IA em Contexto de Elevado Risco: Avaliação de risco, medidas de mitigação, capacidade de auditoria, documentação de conformidade.
Distribuidores e Importadores: Verificação de conformidade, documentação, cooperação com fornecedores.
Cross-links e Referências
Legislação Primária:
Cross-links:
Implementar Conformidade AI Act
Aplicações de IA requerem conformidade convergente com RGPD e AI Act. Avaliação especializada é recomendada.
Contacte-nos