Artigo 10 do AI Act: Requisitos de dados de treino e aplicação prática

Âmbito e definição do Artigo 10

O Artigo 10 do Regulamento (UE) 2024/1689, conhecido como AI Act, estabelece os requisitos específicos para os conjuntos de dados de treino, validação e teste utilizados no desenvolvimento de sistemas de IA de alto risco. O seu objetivo é garantir que estes sistemas se baseiem em dados de alta qualidade que minimizem os riscos para a saúde, a segurança e os direitos fundamentais.

Este artigo aplica-se aos sistemas de IA de alto risco que utilizam técnicas de treino de modelos. Caso o sistema não empregue tais técnicas, os requisitos limitam-se exclusivamente aos conjuntos de dados de teste. A norma exige que os dados cumpram critérios de pertinência, representatividade, exatidão e completude, adaptados à finalidade prevista do sistema.

A distinção entre sistemas que utilizam técnicas de treino de modelos e aqueles que não as empregam é fundamental para a aplicação correta dos requisitos. Quando um sistema de alto risco não recorre a métodos de aprendizagem automática que dependam de dados de treino, a obrigação legal restringe-se estritamente à qualidade dos conjuntos de dados de teste. Esta limitação reflete a natureza do risco associado à fase de validação final, onde a integridade dos dados é crucial para garantir que o sistema funciona conforme o esperado antes da colocação no mercado.

O objetivo subjacente a esta diferenciação é proporcionalidade regulatória. Ao focar os requisitos de qualidade nos dados de teste para sistemas sem treino de modelos, o regulamento evita imposições desnecessárias que não teriam impacto direto na mitigação de riscos. No entanto, mesmo nestes casos, a exigência de pertinência, representatividade, exatidão e completude mantém-se inalterada, assegurando que a avaliação do desempenho do sistema seja robusta e fiável, independentemente da arquitetura técnica utilizada no seu desenvolvimento.

Os quatro critérios de qualidade de dados

A lei define quatro pilares fundamentais para a qualidade dos dados. Primeiro, a pertinência: os dados devem ser adequados à finalidade específica do sistema. Segundo, a representatividade: os conjuntos devem refletir adequadamente as pessoas ou grupos sobre os quais o sistema será utilizado, incluindo as suas propriedades estatísticas.

Terceiro, a exatidão: os dados devem estar isentos de erros na medida do possível. Quarto, a completude: os dados devem ser completos para a finalidade perseguida. Estes critérios podem ser cumpridos a nível de conjuntos individuais ou mediante a combinação de vários conjuntos de dados. A governança de dados deve incluir processos de recolha, preparação, anotação e avaliação de vieses.

A flexibilidade permitida pelo regulamento para cumprir os critérios de qualidade a nível de conjuntos individuais ou mediante a combinação de vários conjuntos de dados oferece uma abordagem pragmática aos fornecedores. Esta possibilidade reconhece que, em muitos contextos, nenhum conjunto de dados isolado é capaz de capturar a totalidade da complexidade necessária para uma finalidade específica. A agregação de fontes diversas pode, portanto, ser uma estratégia válida para atingir a representatividade e a completude exigidas, desde que a governança de dados documente claramente como esta combinação foi realizada e validada.

A integração de processos de recolha, preparação, anotação e avaliação de vieses na governança de dados sublinha a natureza contínua e iterativa da conformidade. Não se trata de uma verificação pontual, mas de um ciclo de gestão que acompanha a evolução dos dados ao longo do tempo. A anotação, em particular, é um ponto crítico onde a qualidade humana e os protocolos técnicos se encontram, influenciando diretamente a exatidão e a pertinência dos dados para o sistema de IA.

Governança e gestão de vieses

O Artigo 10, n.º 2, exige práticas de governança de dados que abordem desde as opções de design até à identificação de lacunas. É obrigatório examinar possíveis vieses que possam afetar a saúde, a segurança ou os direitos fundamentais, especialmente quando os resultados dos dados influenciem operações futuras.

Os fornecedores devem implementar medidas para detetar, prevenir e mitigar estes vieses. A documentação deve incluir hipóteses sobre o que os dados representam e uma avaliação da disponibilidade e idoneidade dos conjuntos. Esta governança não é opcional, mas sim um requisito legal vinculativo para a conformidade do sistema.

A exigência de examinar possíveis vieses que possam afetar a saúde, a segurança ou os direitos fundamentais é especialmente relevante quando os resultados dos dados influenciam operações futuras do sistema. Esta dimensão prospectiva da governança de dados implica que os fornecedores não apenas analisem o estado atual dos conjuntos, mas também antecipem como a utilização contínua do sistema pode amplificar ou introduzir novos vieses. A documentação das hipóteses sobre o que os dados representam serve como base para esta análise crítica, permitindo identificar lacunas antes que se traduzam em danos concretos.

A implementação de medidas para detetar, prevenir e mitigar estes vieses deve ser proporcional ao risco identificado. A avaliação da disponibilidade e idoneidade dos conjuntos de dados é um passo prévio essencial, pois determina a viabilidade técnica e legal de aplicar certas correções. Esta governança vinculativa reforça a responsabilidade dos fornecedores em garantir que a qualidade dos dados não é apenas uma métrica técnica, mas um pilar ético e legal da operação do sistema de IA de alto risco.

Exceções para dados sensíveis

O n.º 5 permite o tratamento excecional de categorias especiais de dados pessoais (dados sensíveis) apenas se for estritamente necessário para detetar e corrigir vieses. Esta exceção está sujeita a condições estritas para proteger os direitos e liberdades fundamentais.

Entre as condições inclui-se a impossibilidade de atingir o objetivo mediante dados sintéticos ou anonimizados, a aplicação de medidas de segurança de última geração (como a pseudonimização) e a proibição de transmitir estes dados a outras partes. Os dados devem ser suprimidos uma vez corrigido o viés ou terminado o período de conservação, o que ocorrer primeiro.

A condição de impossibilidade de atingir o objetivo mediante dados sintéticos ou anonimizados impõe uma barreira técnica e metodológica significativa. Os fornecedores devem demonstrar, de forma documentada, que tentaram alternativas menos intrusivas antes de recorrer ao tratamento de dados sensíveis. Esta exigência visa minimizar o impacto sobre a privacidade dos indivíduos, garantindo que o uso de dados biométricos ou de saúde, por exemplo, seja a última opção disponível e justificada pela necessidade imperativa de corrigir um viés específico e identificado.

A proibição de transmitir estes dados a outras partes e a obrigação de supressão após a correção do viés ou término do período de conservação reforçam o princípio de minimização de dados. Estas medidas de segurança de última geração, como a pseudonimização, devem ser implementadas de forma a garantir que a reidentificação dos indivíduos seja impossível ou extremamente difícil. A gestão do ciclo de vida destes dados sensíveis exige um controlo rigoroso, assegurando que a sua existência é temporária e estritamente limitada à finalidade de correção de vieses.

Documentação e ligação ao Artigo 9

A documentação da curadoria de dados é um requisito-chave. Deve registar-se a informação sobre os processos de recolha, as decisões de exclusão e a avaliação da qualidade. Esta documentação não é um fim em si mesma, mas sim uma ferramenta para demonstrar a conformidade perante as autoridades reguladoras.

A documentação de dados deve ligar-se ao sistema de gestão de riscos do Artigo 9. Os vieses identificados nos dados são riscos que devem ser geridos dentro do ciclo de vida do sistema. A rastreabilidade permite auditar como foram mitigados os riscos associados à qualidade dos dados.

A documentação da curadoria de dados funciona como um elo de transparência entre o desenvolvimento técnico do sistema e a supervisão regulatória. Ao registar as decisões de exclusão e a avaliação da qualidade, os fornecedores criam um histórico auditável que permite às autoridades compreenderem as escolhas feitas durante o processo de desenvolvimento. Esta rastreabilidade é crucial para demonstrar que a conformidade não foi alcançada por acaso, mas através de um processo deliberado e documentado de gestão da qualidade dos dados.

A integração com o sistema de gestão de riscos do Artigo 9 transforma os vieses identificados nos dados em riscos geríveis dentro do ciclo de vida do sistema. Esta abordagem holística garante que a qualidade dos dados não seja tratada como uma tarefa isolada, mas como parte integrante da estratégia global de mitigação de riscos. A capacidade de auditar como os riscos associados à qualidade dos dados foram mitigados fortalece a confiança dos utilizadores e das autoridades na segurança e na equidade do sistema de IA.

Checklist de conformidade e sanções

Para demonstrar a conformidade, os fornecedores devem manter uma checklist operacional que verifique cada critério do Artigo 10. Isto inclui a validação da representatividade, a documentação das medidas de mitigação de vieses e a justificação do uso de dados sensíveis, se aplicável.

O incumprimento dos requisitos do AI Act pode acarretar sanções significativas. Embora o Artigo 10 não especifique multas diretas, o seu incumprimento afeta a conformidade geral do sistema de alto risco, o que pode resultar em sanções ao abrigo do Artigo 99, que estabelece multas de até 35 milhões de euros ou 7% do volume de negócios global anual para as infrações mais graves.

A manutenção de uma checklist operacional que verifique cada critério do Artigo 10 é uma ferramenta prática para a gestão contínua da conformidade. Esta checklist deve ser dinâmica, refletindo as atualizações nos conjuntos de dados e nas avaliações de qualidade realizadas ao longo do tempo. A validação da representatividade e a documentação das medidas de mitigação de vieses são componentes centrais que devem ser revisados periodicamente para garantir que o sistema continua a cumprir os requisitos legais à medida que a população-alvo ou o contexto de utilização evoluem.

O impacto das sanções previstas no Artigo 99, que podem atingir 35 milhões de euros ou 7% do volume de negócios global anual, destaca a gravidade do incumprimento dos requisitos de qualidade de dados. Embora o Artigo 10 não especifique multas diretas, a sua violação compromete a conformidade geral do sistema de alto risco, expondo o fornecedor a estas penalizações significativas. Esta estrutura de sanções serve como um forte incentivo para que os fornecedores invistam em processos robustos de governança de dados e na documentação adequada da sua conformidade.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.