Uma visão geral dos seus sistemas de IA, uma classificação de riscos preparada e acordos claros sobre as responsabilidades.
Com a confiança de organizações de referência
O AI Act, também conhecido como Regulamento da IA, estabelece requisitos para as organizações que desenvolvem ou utilizam IA. Os requisitos aplicáveis dependem do seu papel e do nível de risco de cada aplicação. A Data Science Lab ajuda a inventariar os seus sistemas de IA, a preparar a classificação dos riscos e a estabelecer a governação; a interpretação jurídica cabe ao seu jurista ou departamento de conformidade.
Pergunte numa organização de média dimensão que sistemas de IA utiliza e cada departamento dará uma resposta diferente. A equipa de TI aponta para o modelo preditivo da equipa de dados, a equipa de comunicação usa o Microsoft Copilot para escrever e os RH estão a testar uma ferramenta que faz a pré-seleção de candidaturas. Compraram-na por iniciativa própria, sem envolver a equipa de TI. Falta uma visão completa, pelo que ninguém sabe que regras se aplicam.
Essa ferramenta de RH merece especial atenção. Os sistemas que analisam e filtram candidaturas constam do Anexo III e são, em princípio, considerados de alto risco. Se implementar por sua iniciativa um sistema de IA de finalidade geral para esse fim, pode até ser considerado um prestador nos termos do artigo 25.º, ficando sujeito às obrigações mais exigentes.
Além disso, continuam a circular calendários desatualizados. Um resumo de 2024 ou 2025 ainda indica 2 de agosto de 2026 para os sistemas de alto risco do Anexo III e 2 de agosto de 2027 para a IA integrada em produtos. Com o Omnibus Digital relativo à IA, estes prazos foram adiados para a maioria dos sistemas, enquanto outras obrigações já estão em vigor.
Desde 2 de fevereiro de 2025, são proibidas, entre outras práticas, a classificação social, a manipulação prejudicial e o reconhecimento de emoções no local de trabalho e no ensino, com algumas exceções. A partir de 2 de dezembro de 2026, será também proibida a IA que crie imagens íntimas de pessoas reais sem o seu consentimento.
O anexo III abrange, entre outras áreas, o recrutamento e a seleção, o ensino, a avaliação da solvabilidade, o acesso a prestações sociais e as infraestruturas críticas. A partir de 2 de dezembro de 2027, aplicam-se a estes sistemas requisitos de gestão de riscos, dados, registo de atividades, documentação e supervisão humana; para a IA integrada em produtos abrangidos pelo anexo I, aplicam-se a partir de 2 de agosto de 2028.
Desde 2 de agosto de 2026, um chatbot tem de informar as pessoas de que estão a interagir com IA. Os fornecedores de IA generativa têm de identificar os resultados num formato legível por máquina; para os sistemas existentes, o prazo termina em 2 de dezembro de 2026. Se criar deepfakes com IA, tem de indicar que o conteúdo é artificial.
A maioria das aplicações, como os filtros de spam, pertence a este grupo: o regulamento não estabelece requisitos específicos para elas. No entanto, as pessoas que trabalham com qualquer sistema de IA que disponibilize ou utilize têm de possuir literacia em IA.
O fornecedor desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou põe-no em serviço em seu próprio nome. O responsável pela implantação utiliza-o sob a sua própria responsabilidade. Se desenvolver um sistema e o utilizar, assume ambos os papéis.
Desde 2 de agosto de 2025, os fornecedores de modelos como os modelos de linguagem subjacentes ao ChatGPT têm de cumprir requisitos relativos, entre outros aspetos, à documentação e aos direitos de autor. Se integrar um desses modelos numa aplicação própria, o fornecedor do modelo tem de lhe fornecer informações sobre as suas capacidades e limitações.
Ajudamos a obter uma primeira visão geral e a identificar as questões a que o seu jurista precisa de responder.
Em conjunto com as equipas de IT, compras e os restantes departamentos, fazemos um levantamento das aplicações de IA desenvolvidas internamente, adquiridas ou utilizadas de forma autónoma, incluindo funcionalidades de IA no software que já utiliza.
Para cada aplicação, registamos se a sua organização é fornecedor, responsável pela implantação ou ambos, e identificamos quando uma nova finalidade de utilização altera esse papel.
Reunimos os factos sobre cada sistema: finalidade, pessoas envolvidas, dados utilizados e a área potencialmente aplicável do anexo III. A decisão cabe ao seu jurista ou departamento de compliance.
Atribuímos responsabilidades e definimos a supervisão humana. Ligamos também o levantamento às compras, ao registo das atividades de tratamento e à DPIA, para que as novas aplicações não passem despercebidas.
Quem trabalha com IA adquire conhecimentos adequados ao seu papel e aos riscos envolvidos. Saiba como o fazemos em formação em literacia de IA.
O levantamento e a classificação mantêm-se atualizados à medida que surgem novos sistemas, mudam as finalidades e a Comissão Europeia ou a autoridade de supervisão publica novas orientações.
Precisa de uma pessoa responsável por manter uma visão geral, muitas vezes da área de conformidade, privacidade ou gestão da informação, e de acesso a contratos, ao registo das atividades de tratamento e às DPIA existentes. Este trabalho está ligado à governação de IA e à governação de dados: as mesmas questões de responsabilidade e qualidade, agora para cada sistema de IA. Para os municípios, o workshop de Responsible AI para municípios é um bom primeiro passo, porque se centra nos enquadramentos e nos acordos.
A monitorização e a gestão após a entrada em produção não são novidade para nós. No LUMC, trabalhamos em aplicações de IA que continuam a ter um bom desempenho após a entrada em produção, são geridas de forma segura e podem ser melhoradas. Essa disciplina também é necessária para acompanhar o que um sistema faz e quem o supervisiona.
Não prestamos aconselhamento jurídico. Reunimos os factos, preparamos a classificação e estabelecemos a governação; cabe ao seu jurista ou departamento de conformidade decidir se um sistema se enquadra numa exceção e quais as obrigações específicas que se aplicam. A nossa abordagem a Responsible AI também abrange decisões que vão além das exigências legais.
Qualquer organização pode iniciar um projeto-piloto de IA. O desafio está no passo seguinte: integrar a IA na organização. É aí que a Data Science Lab faz a diferença.
Saiba mais sobre nós
10+
8,7
200+
O Regulamento da IA, oficialmente Regulamento (UE) 2024/1689, é a legislação europeia para o desenvolvimento e a utilização de sistemas de IA. Quanto maior o risco, mais rigorosas são as regras: desde práticas proibidas e requisitos para sistemas de alto risco até obrigações de transparência e aplicações sem requisitos específicos. O regulamento é diretamente aplicável em todos os Estados-Membros.
O Regulamento da IA entrou em vigor em 1 de agosto de 2024 e as suas regras aplicam-se por fases. As práticas proibidas e os requisitos de literacia em IA aplicam-se desde 2 de fevereiro de 2025, as regras para modelos de IA de finalidade geral desde 2 de agosto de 2025 e as obrigações de transparência e a supervisão desde 2 de agosto de 2026. As regras para os sistemas de alto risco do anexo III aplicam-se a partir de 2 de dezembro de 2027, e as relativas à IA em produtos do anexo I a partir de 2 de agosto de 2028.
Em parte. O Omnibus Digital relativo à IA, Regulamento (UE) 2026/1744, foi adotado e aplica-se desde 27 de julho de 2026. Adiou as regras para sistemas de alto risco e acrescentou proibições que se aplicam a partir de 2 de dezembro de 2026. As práticas proibidas e as regras para modelos de finalidade geral não foram adiadas; apenas os sistemas generativos existentes têm até 2 de dezembro de 2026 para assinalar os seus resultados. Em outubro de 2026, a proposta omnibus separada que, entre outras alterações, modifica o RGPD ainda não tinha sido adotada.
Isso ainda não está definitivamente decidido. A proposta de lei Uitvoeringswet AI-verordening, submetida a consulta em abril de 2026, prevê dez autoridades de fiscalização do mercado. A Autoriteit Persoonsgegevens ficaria responsável pela supervisão da IA proibida, da transparência e de grande parte das aplicações de alto risco, coordenando-se com a RDI. Em outubro de 2026, a AP declarou estar prevista como autoridade de supervisão, mas ainda não tinha sido designada.
O RGPD continua a aplicar-se; o Regulamento da IA não afeta expressamente a legislação de proteção de dados. Se utilizar um sistema de alto risco e for necessária uma DPIA, use as informações do fornecedor para a realizar. A partir de dezembro de 2027, as autoridades públicas, os prestadores de serviços públicos e os utilizadores de sistemas de avaliação da solvabilidade ou do risco e dos prémios em seguros de vida e de saúde também têm de realizar uma avaliação de impacto sobre os direitos fundamentais, que pode remeter para a DPIA. A DPIA do seu fornecedor não substitui a sua, sublinhou a AP junto dos municípios.
Sem uma visão geral, não sabe que obrigações se aplicam. Nas suas orientações sobre literacia em IA, a AP aponta o levantamento de todos os sistemas de IA como primeiro passo, usando o registo de atividades de tratamento previsto no RGPD como ponto de partida. O regulamento prevê ainda uma base de dados da UE: os fornecedores registam os sistemas de alto risco do anexo III e os organismos públicos registam a sua utilização. Um fornecedor que considere que um sistema do anexo III não apresenta, afinal, um alto risco tem de documentar essa avaliação e registar também o sistema.
E-mail info@datasciencelab.nl
Telefone +31 (0)20 3636 724
Começamos com uma visão geral dos seus sistemas de IA e das questões a que o seu jurista tem de responder. Assim, sabe em que ponto está e o que requer atenção primeiro.
Mensagem enviada
Obrigado pela sua mensagem. Entraremos em contacto consigo o mais rapidamente possível.
