Responsabilidade da IA: quem responde e como o provar

O essencial

• A responsabilidade da IA não é uma qualidade moral da empresa. No regulamento europeu é uma posição jurídica atribuída a um papel nomeado, com uma linha própria no artigo das coimas.
• O regulamento nunca atribui a responsabilidade da IA a um sistema. Designa cinco papéis humanos: prestador, responsável pela implantação, importador, distribuidor e mandatário.
• O artigo 25.º pode transferir-lhe a responsabilidade da IA sem qualquer contrato novo. Aponha a sua marca, altere substancialmente o sistema ou mude a sua finalidade prevista, e passa a ser o prestador.
• Uma responsabilidade da IA que não se consegue comprovar quando é pedida continua a ser uma intenção. A cada obrigação corresponde um artefacto: documentação técnica, registos, designação da supervisão, declaração de conformidade.
• O artigo 99.º tarifa o incumprimento papel a papel, até 15 milhões de euros ou 3 por cento do volume de negócios mundial, e a reparação do dano passa já pela diretiva revista da responsabilidade por produtos defeituosos.

O que significa realmente responsabilidade da IA

A maior parte das definições de responsabilidade da IA fica-se por um sentimento: alguém deveria responder quando um sistema de IA causa um dano. É verdade e sem utilidade prática. Não fornece critério algum para identificar esse alguém, nenhum para determinar o que deve, nenhum para verificar que o cumpriu.

O caderno de trabalho do Alan Turing Institute dedicado ao tema apresenta a decomposição mais nítida disponível. Divide a responsabilidade da IA em duas componentes: o dever de prestar contas, ou seja, a obrigação de dar às pessoas afetadas justificações claras e acessíveis das decisões e dos seus efeitos, e a auditabilidade, ou seja, a capacidade demonstrável e assente em provas de mostrar como um sistema foi concebido, construído e operado (Alan Turing Institute). A primeira é o que diz. A segunda, o que consegue exibir. Uma organização que domina a primeira mas não a segunda está a fazer comunicação.

O mesmo caderno acrescenta um segundo eixo, habitualmente ausente dos conteúdos dos fabricantes de software. A responsabilidade da IA desdobra-se em duas direções temporais. A responsabilidade antecipatória reúne a governação, a justificação e a documentação realizadas antes e durante o projeto, para que o dano não chegue a ocorrer. A responsabilidade reparadora agrupa os mecanismos de recurso, contestação e correção acionados depois de o resultado se ter produzido. Quase todos os artigos sobre quem responde quando a IA falha tratam apenas a segunda metade, aquela a que se recorre quando já é tarde demais para sair barato.

Esta distinção muda o que a responsabilidade da IA significa numa segunda-feira de manhã. Deixa de ser uma declaração de valores numa política e passa a ser duas perguntas concretas. Quem responde por este sistema concreto, com nome? E que provas entregaríamos amanhã a uma autoridade que nos pedisse para o comprovar? A governação da IA é o modelo operacional que torna ambas resolúveis.

Uma precisão antes do detalhe jurídico, porque os resultados de pesquisa estão cheios disso. A responsabilidade da IA não coincide com a transparência nem com a explicabilidade. Estas são meios: a explicabilidade ajuda a responder, o registo ajuda a comprovar. A responsabilidade da IA é a própria relação, aquela pela qual uma parte nomeada tem de prestar contas de uma decisão a quem tem legitimidade para as exigir.

Os cinco papéis que o regulamento responsabiliza

Quando se pergunta se uma IA pode ser responsabilizada, coloca-se uma questão que o direito já afastou. O regulamento europeu não atribui obrigações a sistemas. Atribui-as a operadores, e nomeia cinco.

Papel	Critério de qualificação	Obrigação central	Artigo
Prestador	Desenvolve um sistema, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço sob o seu nome ou marca	Todo o bloco de risco elevado: gestão de riscos, governação de dados, documentação técnica, avaliação da conformidade, registo	Artigo 16.º
Responsável pela implantação	Utiliza um sistema sob a sua própria autoridade em contexto profissional	Seguir as instruções de utilização, designar supervisão humana, vigiar e suspender, conservar registos, informar trabalhadores e pessoas afetadas	Artigo 26.º
Importador	Coloca no mercado da União um sistema de um prestador estabelecido fora da União	Verificar avaliação da conformidade, documentação e marcação antes da colocação	Artigo 23.º
Distribuidor	Disponibiliza um sistema no mercado sem ser prestador nem importador	Verificar marcação e documentação, agir perante suspeita de não conformidade	Artigo 24.º
Mandatário	Designado por escrito por um prestador de país terceiro	Verificar que existem declaração e documentação, conservá-las 10 anos, dar acesso aos registos, cessar o mandato em caso de incumprimento	Artigo 22.º

O termo geral com que o regulamento os designa a todos é operador. A maioria das organizações que lê estas linhas é responsável pela implantação, e quase nenhuma o pôs por escrito. Se a sua empresa usa a ferramenta de um prestador em contexto profissional, é o responsável pela implantação desse sistema, e as obrigações do artigo 26.º recaem sobre si independentemente do que o material comercial do prestador diga sobre conformidade. O nosso guia operacional do regulamento europeu da IA percorre o conjunto das obrigações por papel.

O mandatário merece uma paragem, porque é o papel com poderes reais. Um prestador estabelecido fora da União tem de o designar por mandato escrito antes de colocar no mercado um sistema de risco elevado. Esse mandatário verifica que a declaração UE de conformidade e a documentação técnica foram elaboradas e que a avaliação da conformidade foi realizada, mantém a documentação à disposição das autoridades durante dez anos e faculta às autoridades competentes a informação pertinente, incluindo o acesso aos registos gerados automaticamente. E se vier a considerar que o prestador atua em contrário às suas obrigações, tem de cessar o mandato e comunicar os motivos à autoridade de fiscalização do mercado (artigo 22.º). O legislador colocou um denunciante dentro da cadeia de responsabilidade da IA.

Artigo 25.º: como a responsabilidade da IA muda de mãos sem aviso

É o mecanismo de responsabilidade da IA com maior probabilidade de sair caro a um responsável pela implantação, e está quase ausente dos comentários publicados.

Pode tornar-se prestador de um sistema de risco elevado sem assinar nada de novo. O artigo 25.º, n.º 1, prevê três gatilhos (artigo 25.º):

1. Apõe o seu nome ou marca num sistema de risco elevado já colocado no mercado, salvo acordos contratuais que repartam as obrigações de outro modo.
2. Introduz uma modificação substancial num sistema de risco elevado que afeta a sua conformidade ou altera a finalidade prevista, e o sistema mantém-se ou passa a ser de risco elevado.
3. Altera a finalidade prevista de um sistema, incluindo um sistema de IA de finalidade geral não classificado inicialmente como de risco elevado, de modo a que passe a sê-lo nos termos do artigo 6.º.

O terceiro gatilho é o contemporâneo. Pegue num modelo de finalidade geral, afine-o com os seus próprios dados e oriente-o para triagem de candidaturas ou concessão de crédito. Não comprou um sistema de risco elevado: fabricou um, e é agora o seu prestador, com todo o bloco do artigo 16.º, avaliação da conformidade incluída.

O que acontece ao prestador original é igualmente pouco reportado. Nos termos do artigo 25.º, n.º 2, o prestador inicial deixa de ser considerado o prestador desse sistema. Não fica liberto de imediato: tem de cooperar estreitamente com o novo prestador e entregar-lhe a documentação técnica, os limites e modos de falha conhecidos e o acesso técnico específico necessário ao cumprimento. Convém, ainda assim, levar uma ressalva a qualquer conversa de compra. Esse dever de cooperação cai se o prestador inicial tiver excluído expressamente que o seu sistema possa ser transformado num sistema de risco elevado. Um prestador pode eximir-se contratualmente de o ajudar, e muitos fá-lo-ão.

O artigo 25.º, n.º 4, fecha o círculo ao exigir a prestadores e a terceiros fornecedores que fixem por acordo escrito a informação, o acesso técnico e a assistência necessários ao cumprimento. Os componentes livres e de código aberto ficam excluídos, e o Serviço para a IA pode publicar cláusulas contratuais-tipo voluntárias. Se monta sistemas a partir de componentes, esse acordo escrito é o seu instrumento de responsabilidade da IA, e o seu lugar é na diligência devida sobre fornecedores, não na revisão jurídica três dias antes do lançamento.

O que cada papel tem de produzir

Uma responsabilidade da IA que não consegue comprovar é uma afirmação, não uma posição. O regulamento é invulgarmente preciso quanto aos artefactos, e é aí que a responsabilidade da IA se torna operacional em vez de declamatória.

• A documentação técnica elaborada antes da colocação no mercado e mantida atualizada, nos termos do anexo IV. É o processo-mãe que comprova opções de conceção, governação de dados e testes. Veja a nossa análise dos requisitos de documentação.
• Os registos gerados automaticamente, previstos desde a conceção nos termos do artigo 12.º para que os acontecimentos fiquem inscritos ao longo da vida do sistema, e conservados pelo responsável pela implantação nos termos do artigo 26.º, n.º 6, por um período adequado à finalidade prevista e, em qualquer caso, não inferior a seis meses, salvo disposição em contrário do direito da União ou nacional.
• Uma designação documentada da supervisão humana que nomeie as pessoas singulares que a exercem, nos termos do artigo 26.º, n.º 2.
• A declaração UE de conformidade do artigo 47.º, assinada pelo prestador: o momento em que a responsabilidade da IA é formalmente assumida por escrito.
• O acompanhamento pós-comercialização do artigo 72.º e a comunicação de incidentes graves ao prestador e à autoridade de fiscalização do mercado nos termos do artigo 73.º. O nosso guia de comunicação de incidentes detalha prazos e limiares.

Lidos em conjunto, estes artefactos constituem a vertente de auditabilidade da responsabilidade da IA, segundo a definição do Alan Turing Institute, traduzida em obrigações jurídicas. Cada um responde a uma pergunta que uma autoridade pode fazer: o que construiu, o que o sistema fez, quem vigiava, quem assinou, e o que fez quando correu mal.

A responsabilidade da IA tem tabela de preços

A prova mais nítida de que a responsabilidade da IA é um papel e não uma virtude é que o regulamento a tarifa papel a papel.

O artigo 99.º, n.º 4, fixa coimas até 15 000 000 de euros ou 3 por cento do volume de negócios anual total a nível mundial, consoante o que for mais elevado, e depois enumera os destinatários: os prestadores nos termos do artigo 16.º, os mandatários nos termos do artigo 22.º, os importadores nos termos do artigo 23.º, os distribuidores nos termos do artigo 24.º, os prestadores e operadores nos termos do artigo 25.º, n.os 2 e 4, os responsáveis pela implantação nos termos do artigo 26.º, os organismos notificados, e os prestadores e responsáveis pela implantação sujeitos às obrigações de transparência do artigo 50.º (artigo 99.º). As práticas proibidas do artigo 5.º situam-se mais acima, até 35 000 000 de euros ou 7 por cento. Prestar informações incorretas, incompletas ou enganosas a um organismo notificado ou a uma autoridade nacional competente expõe até 7 500 000 euros ou 1 por cento.

Este último escalão merece uma pausa: as contas que presta são elas próprias reguladas. Errar a resposta deliberadamente constitui uma infração autónoma.

A ação pública cobre apenas metade do terreno. A reparação do dano segue uma via separada, que se deslocou recentemente. A proposta de diretiva sobre responsabilidade em matéria de IA foi retirada pela Comissão em fevereiro de 2025, pelo que os pedidos das pessoas lesadas correm agora pela diretiva revista (UE) 2024/2853 relativa à responsabilidade decorrente de produtos defeituosos, que trata o software e os sistemas de IA como produtos, aplica responsabilidade objetiva que dispensa o lesado de provar a culpa, alarga o círculo de operadores económicos responsáveis e introduz presunções probatórias favoráveis à pessoa lesada. Os Estados-Membros têm de a transpor até 9 de dezembro de 2026 (EUR-Lex). Dois regimes, dois lesados distintos, um mesmo conjunto de factos.

Nomear as pessoas: competência, formação e autoridade

O artigo 26.º, n.º 2, contém três palavras que fazem falhar em silêncio a maioria dos dispositivos de supervisão. Os responsáveis pela implantação têm de confiar a supervisão humana a pessoas singulares que disponham da competência, da formação e da autoridade necessárias, bem como do apoio devido (artigo 26.º).

A competência e a formação compram-se. A autoridade não. Significa que a pessoa designada consegue efetivamente parar o sistema. O artigo 26.º, n.º 5, torna-o tangível: quando o responsável pela implantação tenha motivos para considerar que a utilização apresenta um risco, deve suspender a utilização do sistema e informar o prestador. Um encargo de supervisão nas mãos de quem não pode interromper um serviço em produção sem três aprovações não satisfaz esta exigência, diga o que disser a matriz de responsabilidades. A diferença entre supervisão humana no ciclo e sobre o ciclo é exatamente a diferença entre ter autoridade e limitar-se a observar.

Dois outros referenciais convergem aqui, o que torna barata a correspondência se já estiver certificado. O ponto 5.3 da norma ISO/IEC 42001 exige à gestão de topo atribuir, comunicar e autorizar os papéis do sistema de gestão da IA, gerando linhas documentadas de responsabilidade da IA e habilitando as pessoas designadas a verificar a conformidade e a reportar o desempenho à direção. Os auditores leem esse ponto como uma exigência de titulares nomeados ao longo de todo o ciclo de vida, não de um comité. A nossa análise do encaixe entre a ISO 42001 e o regulamento europeu mostra onde ponto e artigo se encontram. Do lado norte-americano, a função GOVERN do quadro do NIST para a gestão do risco da IA exige estruturas de responsabilidade para que as equipas e as pessoas competentes estejam habilitadas, responsabilizadas e formadas (NIST AI 100-1).

Onde a responsabilidade da IA se quebra na prática

Quatro modos de falha explicam quase todas as ruturas de responsabilidade da IA.

Sem papel, por falta de inventário. Não se consegue atribuir a responsabilidade da IA sobre um sistema cuja existência se desconhece. A IA sombra é uma falha de responsabilidade antes de ser uma brecha de segurança: uma ferramenta não inventariada não tem prestador identificado, nem responsável pela implantação identificado, nem supervisor nomeado.

O problema das muitas mãos nas cadeias agênticas. Um fluxo que atravessa um modelo de base, uma camada de orquestração, um arquivo vetorial e três fornecedores dilui a contribuição causal ao ponto de ninguém se sentir obrigado a responder. A resposta do regulamento é o acordo escrito do artigo 25.º, n.º 4, que obriga a registar a repartição antes de ser precisa, em vez de a discutir depois.

O mito do contrato. As estipulações comerciais entre um prestador e um responsável pela implantação repartem o risco entre essas duas partes. Não deslocam as obrigações legais que cada um deve às autoridades e às pessoas afetadas. Um responsável pela implantação que se fez indemnizar mudou quem paga, não quem responde.

O mito do adiamento. O regulamento ómnibus digital sobre IA, regulamento (UE) 2026/1744, entrou em vigor a 27 de julho de 2026 e deslocou para 2 de dezembro de 2027 as obrigações de risco elevado do anexo III, e para 2 de agosto de 2028 as do anexo I. Não suspendeu tudo. As práticas proibidas aplicam-se desde 2 de fevereiro de 2025 e as obrigações de transparência do artigo 50.º mantêm-se inalteradas. Leia o adiamento como tempo para construir bem o mapa, não como uma dispensa. A nossa leitura do panorama regulamentar regista o que se moveu e o que não.

Construa o seu mapa de responsabilidade da IA neste trimestre

Sete passos para mapear a responsabilidade da IA, por esta ordem.

1. Inventarie todos os sistemas de IA em uso, incluindo os comprados com cartão e os embebidos em software que já possui.
2. Qualifique cada um face ao anexo III e ao artigo 6.º para determinar se são acionadas as obrigações de risco elevado.
3. Atribua o seu papel sistema a sistema, e não à escala da organização. Será responsável pela implantação da maioria e prestador de alguns poucos.
4. Nomeie a pessoa singular que exerce a supervisão de cada sistema de risco elevado e confirme por escrito que detém o poder de suspensão do artigo 26.º, n.º 5.
5. Enumere o artefacto que cumpre cada obrigação e onde está guardado: documentação, registos e prazo de conservação, declaração de conformidade, procedimento de incidente.
6. Confronte o seu plano com os gatilhos do artigo 25.º. Todo o projeto de marca própria, afinação ou reorientação entra numa lista de vigilância antes de o desenvolvimento começar.
7. Fixe uma cadência de revisão e um titular para o próprio mapa, porque os papéis mudam assim que um sistema é alterado.

Os passos 1 a 3 são os que as organizações saltam, e todos os seguintes dependem deles. Uma auditoria de IA que arranca sem eles gasta a primeira semana a reconstruir o inventário.

Questões frequentes

Uma IA pode ser juridicamente responsabilizada?

Não. Nenhum ordenamento reconhece personalidade jurídica a sistemas de IA, e o regulamento europeu não o tenta. Atribui as obrigações a operadores, pessoas singulares ou coletivas: prestadores, responsáveis pela implantação, importadores, distribuidores e mandatários. Quando o debate pergunta se a IA pode responder, a tradução operacional consiste em identificar que papel de operador ocupa para um dado sistema e o que esse papel deve nos termos do seu artigo. O sistema é objeto da obrigação, nunca o seu titular.

Porque é que a responsabilidade da IA constitui um problema?

Porque a contribuição causal está distribuída e os rastos são efémeros. Um único resultado pode refletir dados de treino escolhidos por uma parte, uma afinação por uma segunda, uma instrução de orquestração por uma terceira e uma decisão de implantação por uma quarta. Junte sistemas probabilísticos que mudam a cada retreino e a cadeia probatória comum quebra-se. A resposta regulamentar consiste em ancorar a responsabilidade da IA a papéis e em exigir artefactos duradouros, registos e documentação, para que a prestação de contas sobreviva a essa dispersão.

Qual a diferença entre responsabilidade da IA e IA responsável?

A IA responsável designa uma abordagem: conceber e operar sistemas com cuidado, equidade e prudência. A responsabilidade da IA é relacional e retrospetiva: uma parte nomeada tem de prestar contas de uma decisão a quem tem legitimidade para as exigir, e suporta as consequências se essa prestação falhar. É possível agir com cuidado sem dever contas a ninguém em particular. No regulamento europeu prevalece a segunda noção, porque vem com um interlocutor definido, um artefacto definido e uma sanção definida.

Um contrato com o nosso fornecedor transfere a responsabilidade da IA?

Não perante as autoridades. Um contrato reparte o risco comercial entre as partes e pode relevar nos termos do artigo 25.º, n.º 1, alínea a), onde a qualificação pela marca se aplica salvo acordo contratual em contrário. Mas as obrigações legais devidas às autoridades de fiscalização do mercado e às pessoas afetadas não são cedíveis por acordo privado. Se é o responsável pela implantação, o artigo 26.º aplica-se-lhe diga o que disser o contrato de serviços sobre a conformidade caber ao fornecedor.

O que deve conter um dispositivo de responsabilidade da IA?

No mínimo: um inventário de sistemas, uma qualificação de papel por sistema, uma classificação de risco, um supervisor nomeado com poder de suspensão, um mapa de provas que ligue cada obrigação ao seu artefacto e ao seu prazo de conservação, uma via de incidente e recurso, e um gatilho de revisão que requalifique os papéis assim que um sistema seja alterado. Os dispositivos que param nos princípios falham na vertente de auditabilidade, porque um princípio não se exibe a pedido.

Quem responde quando um modelo de finalidade geral causa dano a jusante?

A responsabilidade da IA depende aqui do que lhe fez. O prestador do modelo assume as obrigações próprias dos modelos de finalidade geral. Se o afinou ou reorientou ao ponto de o sistema resultante passar a ser de risco elevado nos termos do artigo 6.º, o artigo 25.º, n.º 1, alínea c), torna-o prestador desse sistema, com todo o bloco do artigo 16.º. Se o implantou tal como está para a sua finalidade original, cabem-lhe as obrigações do artigo 26.º. A pergunta incide sempre sobre o ato que praticou, nunca sobre o logótipo do modelo.

Conclusão

O material publicado sobre responsabilidade da IA abunda em princípios, e os princípios não são a parte difícil. A parte difícil é que, no direito europeu, a responsabilidade da IA é uma posição que se ocupa, por vezes sem se querer, e que cada posição traz consigo um número de artigo, um artefacto e uma coima. Comece pelo inventário, atribua o papel sistema a sistema, nomeie a pessoa que pode desligar tudo, e arquive as provas onde as consiga produzir num dia. É nisso que consiste a responsabilidade da IA na prática. O resto é comentário. Para o modelo operacional que engloba tudo isto, comece pela governação da IA.