Artigo 16.º do AI Act: obrigações do fornecedor de IA de alto risco e como verificá-las

O que regula o artigo 16.º e a quem se aplica

O artigo 16.º do Regulamento (UE) 2024/1689 enumera as obrigações dos fornecedores de sistemas de inteligência artificial de alto risco. Não é uma lista autónoma de todos os requisitos técnicos aplicáveis ao sistema: determina quem deve assegurar a conformidade e que medidas organizativas e documentais o fornecedor deve assumir, além de outras obrigações previstas no Regulamento.

O primeiro passo é identificar corretamente o papel da organização. O artigo 16.º dirige-se ao fornecedor, enquanto o artigo 26.º estabelece deveres para o responsável pela implantação, ou seja, quem utiliza o sistema sob a sua autoridade. O artigo 25.º prevê situações em que outras entidades podem passar a ser consideradas fornecedoras, por exemplo, no caso de determinadas modificações ou alterações de função. Por isso, a designação contratual de uma empresa não determina, por si só, o seu papel jurídico.

As oito obrigações do fornecedor

O artigo 16.º contém oito alíneas. Em síntese, o fornecedor deve assegurar que o sistema cumpre os requisitos aplicáveis do capítulo III, secção 2; indicar o seu nome ou marca e um endereço de contacto; dispor de um sistema de gestão da qualidade; conservar a documentação pertinente; conservar os registos gerados automaticamente quando estejam sob o seu controlo; concluir a avaliação da conformidade aplicável; preparar a declaração UE de conformidade e apor a marcação CE; e cumprir as obrigações de registo previstas.

O texto remete para outros artigos para determinar o que significa cumprir cada tarefa. Por exemplo, o conteúdo e a conservação da documentação técnica são especificados no artigo 11.º e no anexo IV; a gestão da qualidade, no artigo 17.º; a avaliação da conformidade, no artigo 43.º; e a declaração e a marcação, nos artigos 47.º e 48.º. O artigo 16.º não substitui, portanto, essas disposições: atribui ao fornecedor a responsabilidade por essas tarefas.

Como transformar as obrigações em controlos demonstráveis

O artigo 16.º não prescreve uma ferramenta de gestão, um formato único para o dossiê nem um modelo técnico específico. A prova de conformidade deve ser organizada em torno da obrigação concreta e das disposições para as quais esta remete. Uma matriz de rastreabilidade útil identifica cada requisito, o documento ou controlo que o sustenta, a pessoa responsável, a data de revisão e quaisquer limitações pendentes.

A documentação deve corresponder à versão efetivamente colocada no mercado. Um dossiê correto para uma versão anterior pode deixar de ser suficiente após alterações ao desenho, aos dados, à finalidade prevista ou aos componentes. A equipa deve manter um processo de controlo de alterações que determine quando é necessário rever provas, documentação, avaliação da conformidade e registo. Esta é uma recomendação operacional: o artigo 16.º atribui obrigações, mas não especifica, por si só, o fluxo interno de engenharia.

Fornecedor e responsável pela implantação: repartição de tarefas

O artigo 16.º atribui ao fornecedor tarefas relacionadas com a conformidade do sistema antes e durante a sua colocação no mercado ou em serviço, incluindo documentação, avaliação da conformidade e, quando aplicável, registo. O artigo 26.º trata de quem implanta o sistema. Entre as obrigações dessa pessoa contam-se utilizá-lo de acordo com as instruções de utilização, atribuir a supervisão humana a pessoas competentes e autorizadas, acompanhar o funcionamento e, quando necessário, suspender a utilização e comunicar riscos ou incidentes nos termos do Regulamento.

Esta repartição não significa que a informação circule automaticamente nem que toda a responsabilidade recaia numa só parte. O fornecedor deve disponibilizar as instruções e informações necessárias nos termos aplicáveis; o responsável pela implantação deve utilizar o sistema de acordo com elas e cumprir os seus próprios deveres. Nos contratos e nos procedimentos relativos a incidentes, é conveniente especificar canais, responsáveis, prazos internos e os dados mínimos para comunicar problemas, sem apresentar esses acordos privados como substitutos das obrigações legais.

Acompanhamento, registos e incidentes: evitar atribuições imprecisas

O artigo 16.º distingue a conservação de registos gerados automaticamente quando estes estão sob o controlo do fornecedor de outras tarefas de acompanhamento ou comunicação previstas em disposições relacionadas. Não se deve resumir tudo isto como uma obrigação geral e idêntica de «supervisionar» a utilização em qualquer contexto: o artigo 26.º impõe deveres operacionais ao responsável pela implantação, enquanto o artigo 16.º remete o fornecedor para as obrigações que lhe cabem no restante Regulamento.

A comunicação de incidentes graves e a cooperação com as autoridades são reguladas por outras disposições do Regulamento. Em particular, o artigo 16.º não contém, por si só, o procedimento completo, os destinatários nem todos os prazos. O fornecedor deve identificar as remissões normativas aplicáveis, preparar um canal de escalonamento e conservar provas das comunicações exigidas. Quando a aplicação de uma obrigação depender das circunstâncias concretas, deve ser confirmada com base no texto completo e em vigor, e não inferida de uma checklist genérica.

Datas de aplicação e sanções: confirmar antes de definir o calendário

O Regulamento (UE) 2024/1689 entrou em vigor em 1 de agosto de 2024 e prevê uma aplicação faseada. A aplicação geral está prevista a partir de 2 de agosto de 2026, embora determinados capítulos e disposições se apliquem antes ou depois, de acordo com o calendário do artigo 113.º e as respetivas alterações. A data exata para um sistema concreto deve ser verificada à luz das disposições transitórias e da sua categoria: não é seguro presumir que todas as obrigações do artigo 16.º começam ao mesmo tempo para todos os sistemas.

O artigo 99.º prevê coimas administrativas por incumprimentos do Regulamento, com limites máximos que variam consoante a infração e que, para as empresas, podem corresponder a um montante fixo ou a uma percentagem do volume de negócios anual mundial total do exercício anterior. Quando o artigo assim o determina, aplica-se o montante mais elevado. Nem todas as infrações ao artigo 16.º conduzem necessariamente ao mesmo limite máximo. A autoridade competente deve ter em conta as circunstâncias e os critérios previstos no Regulamento. Antes de utilizar um valor numa decisão empresarial, é necessário confirmar a categoria exata do incumprimento, a disposição sancionatória aplicável e quaisquer regras especiais pertinentes.

Checklist de conformidade e erros frequentes

Uma revisão eficaz deve distinguir as obrigações impostas pelo Regulamento das decisões internas que ajudam a demonstrar o seu cumprimento. São obrigações legais as tarefas enumeradas no artigo 16.º e os requisitos dos artigos para os quais este remete. Atribuir um responsável a cada alínea, utilizar uma matriz de evidências e programar revisões periódicas são exemplos de práticas recomendadas: não devem ser apresentadas como formatos expressamente exigidos pelo artigo 16.º.

Também importa evitar três erros: tratar o fornecedor e o responsável pela implantação como se fossem o mesmo interveniente; presumir que a lista do artigo 16.º contém todos os requisitos técnicos; e atribuir ao artigo 16.º datas, procedimentos de comunicação de incidentes ou sanções que são especificados noutros artigos. O artigo não obriga, por si só, a utilizar um modelo ou uma tecnologia específicos. A aplicação de obrigações concretas depende da configuração do sistema e do restante Regulamento.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.