Quais são os principais objetivos e princípios fundamentais que sustentam o AI Act?
O AI Act da UE, formalmente proposto em abril de 2021 e promulgado em 1º de agosto de 2024, estabelece uma estrutura legal uniforme para sistemas de IA em toda a UE. Equilibra a inovação com a necessidade de proteger os direitos fundamentais e os dados pessoais.
Principais Objetivos:
- Salvaguarda dos Direitos Fundamentais: Garante que os sistemas de IA respeitem os direitos fundamentais da UE, com foco nas considerações éticas.
- Promoção da Inovação: Incentiva o desenvolvimento e a implantação de tecnologias de IA confiáveis.
- Fomento da Confiança: Constrói a confiança pública nos sistemas de IA.
Princípios Fundamentais:
O AI Act adota uma abordagem baseada no risco, categorizando os sistemas de IA com base em seu nível de risco potencial. Essa abordagem dita o nível de supervisão regulatória e os requisitos de conformidade.
- Categorização de Risco:
- Risco Inaceitável: Sistemas de IA que violam os direitos fundamentais da UE são proibidos.
- Alto Risco: Sistemas que impactam a saúde, segurança ou direitos fundamentais exigem avaliações de conformidade e monitoramento contínuo.
- Risco Limitado: Requisitos de transparência se aplicam, como divulgar a interação da IA.
- Risco Mínimo: Sem requisitos específicos.
- IA de Propósito Geral (GPAI): Uma categoria adicional para modelos de IA treinados em grandes conjuntos de dados, capazes de executar várias tarefas. Modelos GPAI considerados de “risco sistêmico” enfrentam obrigações aumentadas.
Além disso, o AI Act reconhece diferentes papéis dentro da cadeia de valor da IA, incluindo fornecedores, implantadores, distribuidores, importadores e representantes autorizados. Cada função possui responsabilidades distintas e requisitos de conformidade.
Os auditores internos devem entender a categoria de risco de cada sistema de IA e o papel de sua organização em sua cadeia de valor para garantir a conformidade com o AI Act. Essas funções podem evoluir, impactando as obrigações de conformidade.
Como as organizações devem abordar a conquista e manutenção da conformidade com as diversas obrigações definidas pela Lei de IA?
A Lei de IA introduz uma abordagem baseada em risco, categorizando os sistemas de IA em níveis de risco inaceitável, alto, limitado e mínimo, juntamente com uma categoria para IA de Propósito Geral (GPAI). Os esforços de conformidade devem ser adaptados a essas categorias de risco e ao papel específico que uma organização desempenha na cadeia de valor da IA (Fornecedor, Utilizador, etc.). Aqui está uma análise para profissionais de direito tecnológico, responsáveis pela conformidade e analistas de políticas:
Compreendendo Seu Papel e Perfil de Risco
Primeiro, as organizações precisam identificar qual papel ocupam para cada sistema de IA que utilizam e determinar a categoria de risco aplicável. Tenha cuidado, um Utilizador torna-se um Fornecedor quando faz edições significativas na IA ou a renomeia sob sua própria marca registada. Os requisitos variam consoante esteja na UE, fora da UE, seja um fornecedor, utilizador, distribuidor ou representante.
Estabelecendo Medidas Fundamentais de Conformidade
Para se preparar, os auditores internos podem abordar a conformidade com a Lei de IA como qualquer outro projeto de conformidade – mas com foco na avaliação, auditoria e governança de processos de IA distintos. Anote os próximos prazos:
- 2 de fevereiro de 2025: Concentre-se no treino em literacia em IA para o pessoal, crie um inventário de sistemas de IA, classifique os sistemas por risco e cesse o uso/remova a IA de risco inaceitável.
- 2 de agosto de 2025: Aborde a conformidade com GPAI, incluindo a compreensão dos órgãos reguladores relevantes e o estabelecimento de mecanismos de transparência. (Nota: a conformidade é adiada para 2027 para sistemas GPAI pré-existentes).
- 2 de agosto de 2026: Implemente sistemas de avaliação de risco, gestão e responsabilização para IA de alto risco e políticas de transparência para sistemas de risco limitado.
- 2 de agosto de 2027: Aplique medidas GPAI a todos os sistemas e garanta que os componentes de IA integrados cumpram as obrigações de IA de alto risco.
Obrigações e Requisitos Chave
Várias obrigações se aplicam com base no tipo de modelo de IA:
- Literacia em IA: Garanta literacia em IA suficiente entre aqueles que lidam com sistemas de IA.
- Registo de IA: As empresas devem construir um registo de IA que contenha todos os sistemas de IA que utilizam ou colocam no mercado. Os sistemas de IA de alto risco devem ser submetidos a um repositório central de IA.
- Avaliação de Risco de IA: Todos os sistemas de IA no registo de IA devem ser avaliados quanto ao risco de acordo com o método de classificação de risco usado na Lei de IA. Deve-se notar que o método de classificação é prescrito na Lei de IA.
Para sistemas de IA de Alto Risco, as organizações devem implementar sistemas robustos de gestão de risco, concentrar-se em dados e governança de dados, manter documentação técnica e implementar medidas de manutenção de registos e transparência. A supervisão humana deve ser integrada no projeto. É imperativo que as medidas de precisão, resiliência e cibersegurança atendam aos padrões exigidos para garantir resultados consistentes de IA.
As organizações devem nomear representantes autorizados fora da UE para sistemas de IA de alto risco. A avaliação de conformidade e uma marcação CE de conformidade também devem ser realizadas.
Sistemas de IA de Risco Limitado incorrem em obrigações de transparência, informando os usuários que estão a interagir com uma IA. As saídas geradas (áudio, imagem, vídeo ou conteúdo de texto sintéticos) devem ser legíveis por máquina e divulgar que o conteúdo foi gerado artificialmente.
Semelhante ao risco limitado, os modelos de IA de Propósito Geral também exigem obrigações de transparência para que os fornecedores informem as pessoas singulares em causa de que estão a interagir com um sistema de IA. Também devem classificar os modelos GPAI com risco sistémico.
O Papel da Auditoria Interna
Os departamentos de auditoria interna devem desenvolver estruturas para avaliar o uso de IA dentro da organização, oferecer recomendações para fornecer benefícios e mitigar riscos e liderar pelo exemplo, avaliando o seu próprio uso de IA. As competências de auditoria são normalmente garantidas através de formações internas e externas e da partilha de conhecimentos. É importante que os departamentos de auditoria planifiquem e implementem atividades de formação dedicadas para garantir que estão adequadamente qualificados para prestar garantia sobre a IA.
Considerando a legislação europeia mais ampla
Os sistemas de IA também podem estar abrangidos por outras leis da UE, como DORA e CSRD/CSDDD, particularmente relacionadas com fornecedores terceiros, impacto ambiental e resiliência da cibersegurança. Considere como os sistemas de IA podem exigir que a empresa cumpra um conjunto mais amplo de regulamentos.
Quais são os principais requisitos associados à utilização e auditoria de sistemas de IA dentro das organizações?
A Lei da IA da UE introduz uma estrutura escalonada de requisitos para organizações que utilizam sistemas de IA, com a severidade dependente do nível de risco associado à IA em questão. Os auditores internos serão, portanto, fundamentais para garantir a conformidade das suas empresas com os novos regulamentos.
Obrigações Baseadas no Risco:
Eis o que os diferentes níveis de risco implicam:
- Risco Inaceitável: Os sistemas de IA considerados violadores dos direitos e valores fundamentais da UE são proibidos. Estes incluem a IA utilizada para manipular indivíduos, causar danos significativos ou criar resultados discriminatórios.
- Alto Risco: Os sistemas de IA que impactam a saúde, a segurança ou os direitos fundamentais enfrentam requisitos rigorosos. Os fornecedores devem estabelecer sistemas de gestão de risco, garantir a qualidade e a governação dos dados, manter a documentação técnica e fornecer transparência aos utilizadores. A supervisão humana e a resiliência da cibersegurança também são essenciais.
- Risco Limitado: Os chatbots ou geradores de conteúdo de IA (texto ou imagens) enquadram-se nesta categoria. Os requisitos de transparência são fundamentais aqui, informando os utilizadores de que estão a interagir com um sistema de IA.
- Risco Mínimo: Videojogos com IA ou filtros de spam — não se aplicam requisitos específicos.
Além destas categorias, os modelos de IA de Propósito Geral (GPAI) que são fundamentais para outros sistemas enfrentam requisitos de transparência distintos. Se forem considerados como tendo “risco sistémico” (com base no poder computacional ou no impacto), os modelos de GPAI estão sujeitos a um escrutínio adicional, incluindo avaliações de modelos e medidas de cibersegurança.
Obrigações Baseadas em Funções na Cadeia de Valor da IA:
As obrigações também variam com base na função de uma organização:
- Fornecedores: Aqueles que desenvolvem e colocam sistemas de IA no mercado da UE têm a maior responsabilidade. Garantem a conformidade com os requisitos rigorosos da Lei da IA.
- Utilizadores: As organizações que utilizam sistemas de IA são responsáveis pela utilização adequada e pelo cumprimento das diretrizes dos fornecedores, incluindo garantir a supervisão humana, manter a qualidade dos dados.
Principais Ações para Auditores Internos:
Para garantir a conformidade abrangente com a Lei da IA, existem itens críticos que as organizações de auditoria interna devem ter em conta:
- Alfabetização em IA: Garantir que o pessoal possui alfabetização em IA suficiente para compreender a operação e a utilização dos sistemas de IA de forma apropriada.
- Inventário de IA: Estabelecer e manter um registo abrangente de IA dos sistemas utilizados em toda a organização, incluindo as subsidiárias.
- Classificação de Risco: Classificar todos os sistemas de IA de acordo com as categorias de risco definidas pela Lei da IA.
- Avaliações de Impacto: Realizar avaliações de impacto em direitos fundamentais para sistemas de IA específicos, que descrevem potenciais danos e estratégias de mitigação.
- Monitorização Pós-Mercado: Implementar um plano para a recolha contínua de dados, documentação e análise do desempenho do sistema de IA.
Em última análise, a integração dos procedimentos adequados é fundamental para navegar no risco e garantir a conformidade da sua organização.
