Artigo 27 do AI Act: guia operacional para a avaliação de impacto em direitos fundamentais

Introdução: a obrigação crítica do utilizador de IA de alto risco

O artigo 27 do Regulamento (UE) 2024/1689, conhecido como AI Act, estabelece uma obrigação específica para os responsáveis pelo despliegue (deployers) de sistemas de inteligência artificial de alto risco. Diferentemente das obrigações do fornecedor, que se centram no design e na gestão técnica de riscos, esta norma recai diretamente sobre a entidade que utiliza o sistema na sua operação diária.

A avaliação de impacto em direitos fundamentais (FRIA) não é uma mera formalidade administrativa, mas um mecanismo de garantia preventiva. O seu objetivo é identificar, antes do primeiro uso, como o sistema pode afetar os direitos de pessoas físicas e coletivos, e definir as medidas de mitigação e supervisão necessárias para prevenir danos.

Esta distinção reforça a ideia de que a responsabilidade não se esgota na entrega do produto técnico, mas estende-se à integração do sistema no fluxo de trabalho real da organização. O utilizador assume, assim, um papel ativo na salvaguarda dos direitos fundamentais, devendo garantir que o contexto operacional não introduz vulnerabilidades que o fornecedor não poderia prever isoladamente.

A natureza preventiva da FRIA implica que a organização deve estar preparada para demonstrar, de forma proativa, que considerou os potenciais danos antes de qualquer interação com os afetados. Isto transforma a avaliação num instrumento de governança interna, onde a identificação de riscos não é apenas um requisito legal, mas uma ferramenta para alinhar a estratégia de negócio com os padrões éticos e legais exigidos pelo regulamento.

Enquadramento legal e âmbito de aplicação

A obrigação de realizar a FRIA é ativada antes de implementar um sistema de IA de alto risco contemplado no artigo 6, n.º 2, com uma exceção importante: não se aplica a sistemas destinados a infraestruturas críticas (Anexo III, ponto 2).

Os sujeitos obrigados são: 1) Os organismos de Direito público; 2) As entidades privadas que prestam serviços públicos; e 3) Os responsáveis pelo despliegue de sistemas de IA de alto risco no âmbito da pontuação de crédito e seguros de vida e saúde (Anexo III, ponto 5, alíneas b e c). Para o restante dos sistemas de alto risco do Anexo III, a obrigação é de aplicação geral para estes perfis de utilizador.

A exclusão das infraestruturas críticas do âmbito obrigatório da FRIA reflete uma abordagem diferenciada, reconhecendo que esses setores possuem regimes de supervisão específicos e requisitos de resiliência já estabelecidos em legislação setorial. Contudo, esta exceção não elimina a necessidade de gestão de riscos, mas desloca o foco para as obrigações técnicas e de segurança definidas noutros artigos do regulamento.

Para as entidades privadas que prestam serviços públicos, a definição de 'serviço público' é crucial para determinar a aplicabilidade da norma. A interpretação deve considerar a natureza da atividade e o interesse público envolvido, garantindo que a obrigação de avaliação de impacto seja aplicada de forma coerente com o objetivo de proteger os cidadãos em áreas sensíveis como a saúde, a educação ou a administração pública.

Conteúdo mínimo da avaliação de impacto

O artigo 27, n.º 1, detalha seis elementos obrigatórios que devem ser incluídos na avaliação. Não se trata de uma lista exaustiva de boas práticas, mas do conteúdo legal mínimo que a autoridade de vigilância do mercado pode exigir.

A avaliação deve ser específica ao contexto de uso. Não basta uma declaração genérica; deve descrever os processos concretos, a frequência de uso e as categorias de pessoas afetadas nesse ambiente particular.

A especificidade do contexto de uso exige que a avaliação vá além dos parâmetros técnicos do sistema, incorporando a realidade organizacional onde o sistema opera. Isto inclui a análise de como as decisões assistidas por IA se integram nos processos humanos existentes e de que forma a supervisão pode ser efetiva para corrigir desvios ou erros potenciais do sistema.

A identificação das categorias de pessoas afetadas deve ser granular, permitindo distinguir entre grupos com diferentes níveis de vulnerabilidade ou exposição ao risco. Esta abordagem detalhada é essencial para garantir que as medidas de mitigação sejam proporcionais e eficazes, evitando uma proteção genérica que possa deixar lacunas na salvaguarda de direitos específicos de certas populações.

Diferenças em relação à gestão de riscos do fornecedor

É fundamental não confundir a FRIA do utilizador com o sistema de gestão de riscos do fornecedor (artigo 9). O fornecedor deve implementar um sistema contínuo de identificação, análise e mitigação de riscos técnicos durante todo o ciclo de vida do sistema.

A FRIA, por outro lado, é uma análise pontual (embora atualizável) centrada no impacto em direitos fundamentais a partir da perspetiva do uso real. O utilizador deve basear-se na informação de transparência que o fornecedor lhe fornece (art. 13) para realizar a sua avaliação, mas não pode delegar a sua obrigação de avaliar o impacto no seu próprio contexto.

A complementaridade entre as obrigações do fornecedor e do utilizador cria um ecossistema de segurança em camadas, onde cada ator contribui para a redução do risco global. O fornecedor garante a robustez técnica e a transparência da informação, enquanto o utilizador valida a adequação do sistema ao seu ambiente específico, assegurando que o impacto nos direitos fundamentais é minimizado na prática.

A impossibilidade de delegar a avaliação de impacto no contexto de uso sublinha a autonomia e a responsabilidade final do utilizador. Mesmo com a informação completa do fornecedor, o utilizador deve exercer o seu julgamento para adaptar as medidas de supervisão e mitigação às suas circunstâncias, garantindo que a conformidade não é apenas formal, mas substancial e operacional.

Implementação prática e documentação

A obrigação aplica-se ao primeiro uso do sistema. No entanto, se durante a utilização o utilizador considerar que algum dos elementos avaliados mudou ou deixou de estar atualizado, deve adotar medidas para atualizar a informação. Isto implica um monitoramento contínuo da validade da FRIA.

Uma vez realizada, os resultados devem ser notificados à autoridade de vigilância do mercado utilizando o modelo de questionário que o Gabinete de IA elaborará. A norma permite incluir referências cruzadas a avaliações de impacto em proteção de dados (EIPD) prévias, facilitando a integração com o cumprimento do RGPD.

O monitoramento contínuo da validade da FRIA exige a implementação de mecanismos de deteção de mudanças, seja na legislação, no funcionamento do sistema ou no contexto organizacional. Esta vigilância ativa permite que a organização reaja prontamente a novos riscos, mantendo a avaliação atualizada e relevante ao longo do tempo, em vez de ser um documento estático que perde eficácia com a evolução do uso.

A integração com as avaliações de impacto em proteção de dados promove uma visão holística da conformidade, reduzindo a carga administrativa e garantindo a coerência nas proteções aplicadas. Ao reutilizar informações pertinentes, a organização pode focar os seus recursos nas áreas específicas de direitos fundamentais que não são cobertas pela proteção de dados, otimizando o processo de compliance.

Sanções e consequências do incumprimento

O incumprimento das obrigações estabelecidas no artigo 27 é considerado uma infração das obrigações dos responsáveis pelo despliegue de sistemas de IA de alto risco.

Segundo o regime sancionador do AI Act (artigo 99), as infrações das obrigações dos responsáveis pelo despliegue podem ser sancionadas com multas de até 15 milhões de euros ou 3% do volume de negócios global anual, o que for maior. Para PME e empresas emergentes, aplica-se o menor dos dois montantes.

A severidade das sanções reflete a importância atribuída pela legislação à proteção dos direitos fundamentais no contexto da IA de alto risco. O regime sancionador serve não apenas como punição, mas como um forte incentivo para que as organizações invistam na implementação correta das obrigações, garantindo que a negligência no cumprimento da FRIA tenha consequências financeiras significativas.

Para as pequenas e médias empresas, a aplicação do menor dos dois montantes nas multas oferece um alívio proporcional, reconhecendo as limitações de escala e recursos destas entidades. No entanto, isto não diminui a obrigação de conformidade, mas adapta a penalização à capacidade económica do infrator, mantendo a dissuasão necessária para garantir a proteção dos afetados em todos os tamanhos de organização.

Limites, lacunas e boas práticas

Embora o texto legal seja claro, a aplicação prática depende do guia da Comissão Europeia e do Gabinete de IA, que ainda estão em desenvolvimento (incluindo o modelo de questionário do art. 27.5).

Recomenda-se às organizações: 1) Mapear todos os sistemas de IA de alto risco em uso; 2) Identificar se encaixam nos perfis obrigados; 3) Realizar a FRIA antes do despliegue; 4) Documentar a supervisão humana (art. 14) como parte integrante da FRIA; e 5) Estabelecer um processo de revisão periódica da avaliação.

A dependência de guias e modelos ainda em desenvolvimento exige que as organizações adotem uma postura de prudência e antecipação. Na ausência de orientações detalhadas, a melhor prática é alinhar a FRIA com os padrões mais elevados de proteção de direitos, documentando rigorosamente as decisões tomadas e as bases para as mesmas, para demonstrar boa fé e diligência perante as autoridades.

O estabelecimento de um processo de revisão periódica da avaliação garante que a FRIA evolua com o sistema e o contexto de uso. Esta abordagem dinâmica permite identificar novas vulnerabilidades ou mudanças nas categorias de pessoas afetadas, assegurando que as medidas de supervisão e mitigação continuam a ser adequadas e eficazes ao longo do tempo de vida do sistema.

Continue a explorar

Correções e transparência

Se encontrar informação incorreta ou desatualizada, envie-nos a página e a fonte que devemos rever.