Governança de IA na Era da Regulamentação: Preparando-se para a Lei de IA

Quais são as principais obrigações e requisitos para entidades sob a Lei de IA?

A Lei de IA da UE introduz uma abordagem escalonada para regular a IA, categorizando os sistemas com base nos níveis de risco: inaceitável, alto, limitado e mínimo. As obrigações para as organizações variam significativamente com base nessa classificação e em seu papel na cadeia de valor da IA como fornecedores (aqueles que desenvolvem e colocam sistemas de IA no mercado), utilizadores (aqueles que usam os sistemas de IA) ou outras funções, como importadores e distribuidores.

Principais Obrigações Baseadas no Risco

• Sistemas de IA de Risco Inaceitável: Estes são totalmente proibidos. Exemplos incluem sistemas de IA que manipulam o comportamento humano para causar danos, ou aqueles envolvidos em pontuação social ou identificação biométrica em espaços públicos.
• Sistemas de IA de Alto Risco: Estes enfrentam os requisitos mais rigorosos. Esta categoria inclui IA usada em infraestrutura crítica, educação, emprego, aplicação da lei e serviços essenciais como seguros e avaliação de crédito. As principais obrigações incluem:
  • Estabelecer e manter um sistema de gestão de riscos durante todo o ciclo de vida do sistema de IA.
  • Aderir a padrões estritos de governança de dados, garantindo a qualidade e minimizando o viés em conjuntos de dados de treinamento, validação e teste.
  • Desenvolver documentação técnica abrangente antes da implantação.
  • Manter registros detalhados (logs) para rastreabilidade.
  • Fornecer aos utilizadores informações transparentes para entender e usar adequadamente a saída da IA.
  • Implementar mecanismos de supervisão humana.
  • Garantir precisão, robustez e segurança cibernética.
  • Estabelecer um sistema de gestão da qualidade para garantir a conformidade contínua.
  • Cooperar com as autoridades e demonstrar conformidade mediante solicitação.
  • Realizar uma avaliação de conformidade e elaborar uma declaração de conformidade da UE.
  • Afixar a marcação CE para demonstrar a conformidade, que deve ser registada na base de dados da UE antes de ser colocada no mercado.
  • Realizar uma avaliação de impacto dos direitos fundamentais.
  • Estabelecer seres humanos responsáveis e treinados para garantir o uso adequado de supervisão, competência e autoridade.
  • Realizar o monitoramento pós-mercado usando um plano documentado.
  • Reportar incidentes graves para as autoridades de fiscalização.
• Sistemas de IA de Risco Limitado: Estes estão sujeitos a requisitos de transparência. Os usuários devem ser informados de que estão interagindo com um sistema de IA, especialmente para conteúdo gerado por IA. Isso se aplica a sistemas de IA que geram conteúdo sintético de áudio, imagem, vídeo ou texto.
• Sistemas de IA de Risco Mínimo: Não há requisitos específicos definidos para sistemas de IA que representam um risco mínimo.

Modelos de IA de Propósito Geral (GPAI)

A Lei de IA também aborda os modelos de IA de Propósito Geral (GPAI), que são treinados em grandes conjuntos de dados e podem executar uma ampla gama de tarefas. Os fornecedores de GPAI devem cumprir as obrigações de transparência e respeitar as leis de direitos autorais. Os modelos GPAI são classificados após o cálculo e o cumprimento dos requisitos estabelecidos no Art. 42a da Lei de IA.

Obrigações por Função

Fornecedores (seja dentro ou fora da UE) suportam o peso do fardo do cumprimento. Eles são responsáveis por garantir que seus sistemas de IA atendam a todos os requisitos relevantes antes de serem colocados no mercado da UE. Aqueles que não estão estabelecidos na UE devem designar um representante autorizado dentro da UE.

Utilizadores devem usar sistemas de IA de forma responsável e de acordo com as instruções do fornecedor. Isso inclui atribuir supervisão humana, garantir a competência da equipe e monitorar a operação do sistema de IA.

Cronograma de Implementação

A Lei de IA será lançada em etapas. Os seguintes marcos são os mais importantes:

• 2 de fevereiro de 2025: Aplicam-se os regulamentos sobre sistemas de IA proibidos.
• 2 de agosto de 2025: Os regulamentos que se aplicam aos modelos GPAI e aos órgãos públicos que aplicam a lei de IA devem entrar em vigor.
• 2 de agosto de 2026: A maioria das disposições da Lei de IA se aplica, exceto o Artigo 6(1).
• 2 de agosto de 2027: Aplica-se o Artigo 6(1), que rege a classificação de produtos com componentes de segurança de IA como de alto risco.

As organizações também precisam considerar como a Lei de IA interage com a legislação da UE existente e futura, como DORA e CSRD/CSDDD, particularmente observando os riscos de terceiros, os impactos ambientais e as preocupações com a segurança cibernética.

Quais são as distinções entre os vários papéis definidos pela Lei da IA e suas responsabilidades correspondentes?

A Lei da IA define vários papéis-chave na cadeia de valor da IA, cada um com responsabilidades distintas. Compreender esses papéis é crucial para a conformidade e gestão de riscos. Esses papéis também podem mudar ao longo do tempo, levando a novas obrigações para a organização.

Principais Papéis e Responsabilidades

• Fornecedor (UE): Desenvolve sistemas de IA ou modelos de IA de propósito geral e os coloca no mercado da UE. Eles suportam o ônus de conformidade mais extenso sob a Lei da IA.
• Fornecedor (Fora da UE): Se localizado fora da UE, eles podem usar um importador ou distribuidor para colocar o modelo de IA no mercado da UE.
• Implementador: Utiliza o sistema de IA, por exemplo, fornecendo-o a funcionários ou disponibilizando-o aos clientes. Suas obrigações são menores, mas incluem garantir o uso adequado e a adesão às diretrizes do fornecedor.
• Representante Autorizado: Uma pessoa dentro da UE, mandatada pelo fornecedor, para agir em seu nome, servindo como intermediário entre fornecedores de IA não pertencentes à UE e autoridades/consumidores europeus.
• Distribuidor: Ajuda a colocar o modelo de IA no mercado da UE.
• Importador: Usado por Fornecedores para colocar o modelo de IA no mercado da UE.

Os auditores internos devem determinar o papel que sua empresa desempenha para cada sistema de IA e estar cientes de que esses papéis podem evoluir. Um implementador pode se tornar um fornecedor ao fazer alterações significativas no sistema de IA ou ao renomeá-lo, desencadeando novos requisitos de conformidade.

Também é importante considerar toda a cadeia de valor ao avaliar o processo de IA; os auditores devem considerar os riscos de toda a cadeia de valor.

O Que a Auditoria Interna Precisa Considerar ao Avaliar o Processo de IA?

Os auditores internos estão agora enfrentando o desafio e a oportunidade de avaliar os sistemas de IA dentro de suas organizações, particularmente à luz do AI Act da UE. Não se trata mais apenas de riscos financeiros tradicionais, mas também de conformidade, ética e impacto social.

Considerações Chave para Auditores Internos:

• Compreensão do Cenário da IA: Os auditores precisam desenvolver uma compreensão sólida das tecnologias de IA. Isso inclui os diferentes níveis de autonomia nos sistemas de IA, suas capacidades de gerar resultados e como eles influenciam diferentes ambientes. Desafie a organização sobre como ela define IA e garante consistência em todas as unidades de negócios.
• Categorização de Risco: Concentre-se em como a organização classifica os sistemas de IA de acordo com as categorias de risco do AI Act (inaceitável, alto, limitado, mínimo e IA de propósito geral). Entender que essas categorias representam definições legais, não apenas avaliações de risco internas, é crucial.
• Funções e Responsabilidades: Reconheça as diferentes funções dentro da cadeia de valor da IA (provedor, implementador, distribuidor, importador, etc.) e as obrigações associadas sob o AI Act. Determine como o papel da organização para cada sistema de IA afeta os requisitos de conformidade. Tenha em mente que essas funções podem mudar com o tempo, desencadeando novas obrigações.
• Conformidade como um Projeto: Trate a conformidade com o AI Act como um projeto com estágios e marcos definidos para garantir que a organização esteja se preparando de forma ordenada. Adapte os requisitos de alto nível ao contexto específico da organização.
• Gerenciamento de Risco e Responsabilidade: Garanta que os sistemas de avaliação de risco, gerenciamento de risco e responsabilização sejam estabelecidos para modelos de IA de alto risco. Examine minuciosamente as práticas de governança de dados para conjuntos de dados de treinamento, validação e teste, com atenção à qualidade dos dados e à minimização do viés.
• Transparência e Supervisão: Avalie as políticas de transparência para sistemas de IA de risco limitado e garantias de supervisão humana. Certifique-se de que os provedores de sistemas GPAI com risco sistêmico notifiquem a comissão e tenham políticas de conformidade apropriadas em vigor. Investigue os mecanismos de transparência para implementadores e provedores.

Além disso, aqui está uma linha do tempo que a Auditoria Interna deve ter em mente:

• 2 de fevereiro de 2025 Certifique-se de que o material de treinamento adequado sobre alfabetização em IA para a equipe esteja disponível, que haja um inventário dos sistemas de IA, que estes tenham sido classificados por risco, que os sistemas de IA com risco inaceitável tenham sido banidos e que haja políticas em vigor para garantir que os futuros sistemas de IA sejam avaliados adequadamente.
• 2 de agosto de 2025 Verifique os protocolos de transparência dos modelos GPAI. Certifique-se de que a organização saiba com quais órgãos reguladores e de supervisão ela interagirá. Os provedores de modelos GPAI com risco sistêmico precisam notificar a comissão.
• 2 de agosto de 2026 Audite as políticas para gerenciamento de risco apropriado, avaliação de risco e sistemas de responsabilização para modelos de alto risco, bem como avalie as políticas de transparência.
• 2 de agosto de 2027 Garanta que as medidas GPAI prontas a partir de 2025 sejam agora aplicadas a todos os sistemas. Os fornecedores de produtos com componentes de IA precisam garantir que seus produtos cumpram as obrigações de IA de alto risco.

Que ações específicas devem ser tomadas pelas organizações em relação à IA?

À medida que os sistemas de IA se tornam mais prevalentes, as organizações enfrentam um escrutínio regulatório crescente, particularmente com a aplicação do AI Act da UE. As ações específicas necessárias dependerão da sua função (Fornecedor, Implementador, etc.) e da classificação de risco dos seus sistemas de IA.

Principais Áreas de Ação:

• Estabelecer Literacia em IA:

  As empresas precisam garantir que o pessoal que opera com sistemas de IA possua um nível suficiente de literacia em IA para entender e gerenciar os riscos associados e garantir a conformidade.

• Manter um Registo de IA:

  As empresas devem criar e manter um inventário abrangente de todos os sistemas de IA utilizados dentro da organização e suas subsidiárias, categorizando-os com base nas classificações de risco do AI Act (inaceitável, alto, limitado, mínimo, GPAI).

• Realizar Avaliações de Risco de IA:

  Realizar avaliações de risco completas em todos os sistemas de IA, aderindo ao método de classificação de risco prescrito pelo AI Act, e não apenas à análise de risco tradicional.

• Implementar Sistemas de Gestão de Risco (IA de Alto Risco):

  Para sistemas de IA de alto risco, estabelecer, documentar, manter e implementar um sistema de gestão de risco para gerenciar riscos razoavelmente previsíveis ao longo de todo o ciclo de vida do sistema.

• Garantir Dados e Governança de Dados (IA de Alto Risco):

  Implementar práticas robustas de governança de dados para conjuntos de dados de treino, validação e teste, com foco na qualidade dos dados e mitigação de viés.

• Preparar Documentação Técnica (IA de Alto Risco):

  Elaborar documentação técnica abrangente antes que o sistema seja colocado em serviço, conforme declarado no anexo do AI Act.

• Implementar Manutenção de Registos (IA de Alto Risco):

  Manter registos detalhados de eventos (logs) para garantir a rastreabilidade do funcionamento do sistema de IA.

• Garantir Transparência e Fornecer Informações (IA de Alto Risco):

  Fornecer aos implementadores informações transparentes e compreensíveis sobre o uso da saída da IA.

• Implementar Monitorização Pós-Mercado (IA de Alto Risco):

  Implementar um plano que recolha dados relevantes sobre o desempenho do sistema de IA durante a sua vida útil.

• Estabelecer Supervisão Humana (IA de Alto Risco):

  Projetar sistemas de IA com disposições para supervisão humana eficaz por pessoas físicas.

• Respeitar as Leis de Direitos de Autor:

  As leis de direitos de autor devem ser respeitadas de acordo com os requisitos do RGPD.

• Garantir Precisão, Robustez e Cibersegurança (IA de Alto Risco):

  Garantir altos padrões de precisão, robustez e cibersegurança para um desempenho consistente do sistema de IA.

• Implementar um Sistema de Gestão da Qualidade (IA de Alto Risco):

  Implementar um SGQ para garantir a conformidade com o AI Act.

• Transparência para IA de Risco Limitado:

  Informar os utilizadores finais de que estão a interagir com um sistema de IA.

• Marcar Conteúdo Gerado por IA:

  Fornecedores e Implementadores precisam marcar o conteúdo de IA para exemplos de imagens e vídeos

As empresas devem garantir a conformidade com o AI Act por meio de controlos internos ou avaliações do sistema de gestão da qualidade, potencialmente envolvendo organismos notificados. Os fornecedores devem criar uma declaração de conformidade da UE e afixar a marcação CE. Os implementadores também têm responsabilidades, incluindo garantir o uso responsável da IA com o treino, competência e autoridade necessários.

Além disso, se os fornecedores tiverem motivos para suspeitar de não conformidade com o AI Act, devem tomar medidas corretivas.

Qual é o propósito central do questionário e da pesquisa?

O questionário e a pesquisa detalhados neste documento servem a um propósito específico e crítico: avaliar o panorama da adoção de IA e das práticas de auditoria dentro das empresas, particularmente no contexto da Lei de IA da UE. Esta informação é crucial para compreender o quão preparadas as organizações estão para os requisitos da Lei de IA e para identificar potenciais lacunas nas suas estruturas de governação de IA.

A pesquisa visa:

• Compreender a aplicação da Lei de IA dentro das organizações.
• Avaliar o uso atual de IA em vários processos de negócios.
• Avaliar as abordagens de auditoria interna atuais em relação aos sistemas de IA.

Detalhes da Pesquisa e Perfil do Participante

A pesquisa incluiu respostas de mais de 40 empresas, com uma parcela significativa (39%) operando no setor financeiro (bancário, seguros) e uma grande maioria (70%) tendo operações exclusivamente ou também na Europa. Dado que 70% das empresas respondentes tinham pequenas equipas de auditoria interna (menos de 10 FTEs), com quase metade dessas empresas sem auditores de TI especializados, é dada uma clara ênfase à necessidade acrescida de reforçar as capacidades de TI dentro das referidas funções de auditoria interna.

Principais Conclusões Acionáveis

• A Adoção de IA é Ampla: Uma substancial 57% das empresas já implantaram ou estão a implementar ativamente sistemas de IA.
• Lacuna de Literacia em IA: Embora a maioria (85%) dos respondentes tenha uma compreensão boa ou razoável de IA, uma percentagem menor (71%) compreende especificamente a auditoria de IA, e apenas 56 por cento refletem uma visão clara da Lei de IA da UE, implicando uma necessidade geral de maior formação sobre a Lei de IA da UE para que os departamentos de auditoria possam realizar processos de garantia de IA de forma eficaz.
• Esforços de Conformidade em Curso: 60% das empresas afetadas pela Lei de IA estão a iniciar projetos para garantir a conformidade com os novos requisitos regulamentares.
• Uso de IA na Auditoria Interna é Baixo: A maioria (72%) dos departamentos de auditoria interna não está a alavancar ativamente sistemas de IA nos seus processos de auditoria. Quando a IA é usada, é principalmente para avaliação de risco (33%).
• Adoção de IA Generativa: 64% das empresas estão a usar ou a implementar sistemas de IA Generativa, e 44% têm regulamentos internos que regem o seu desenvolvimento e utilização.

Estes dados destacam a necessidade de as organizações melhorarem os seus esforços de conformidade, fornecerem formação adequada sobre a Lei de IA e considerarem a incorporação de IA nos seus processos de auditoria interna. Para os auditores internos, a pesquisa sublinha a importância de desenvolver estruturas para avaliar e auditar o uso de IA dentro das suas organizações, oferecer benefícios e reduzir eficazmente os riscos.

Quais são as principais descobertas sobre a adoção de IA pelas empresas, com base nos resultados da pesquisa?

Uma pesquisa recente lança luz sobre o estado atual da adoção de IA nas empresas, particularmente no contexto do AI Act da UE. As descobertas revelam o uso generalizado de IA, mas também destacam áreas de preocupação em relação à prontidão para conformidade e às capacidades de auditoria interna.

Taxas de Adoção de IA e Áreas de Foco

• Adoção Generalizada: Aproximadamente 57% das empresas pesquisadas já implementaram sistemas de IA (39%) ou têm projetos de implementação em andamento (18%).
• Necessidade de Conscientização sobre o AI Act: Embora a maioria sejam empresas financeiras que operam na Europa e, portanto, sujeitas ao AI Act (60%), a compreensão dos requisitos do AI Act da UE permanece baixa (56%). Isso apresenta uma necessidade de iniciativas de treinamento dedicadas dentro das organizações.
• Momento da IA Generativa: Há um interesse substancial em IA generativa, com 64% das empresas pesquisadas usando ou implementando esses sistemas. Cerca de 44% dessas empresas instalaram regulamentos internos que tratam da tecnologia.
• Suporte a Processos: Os sistemas de IA padrão e generativos estão sendo implantados principalmente para dar suporte a:
  • Atendimento ao Cliente, Vendas e Marketing.
  • Inteligência de Negócios e Análise, Finanças e Contabilidade.
  • TI e Segurança Cibernética (mais proeminente com IA Generativa).

Principais Preocupações de Conformidade e Regulamentação

• Lacunas de Padronização: Uma parcela significativa das empresas (72%) não usa IA para auditorias internas ou atividades.
• Prontidão para Auditoria Interna: Apenas 28% definiram uma arquitetura tecnológica padrão para os sistemas de IA existentes. Além disso, 44% implementaram uma estrutura de regulamentação interna para supervisionar o uso, mas 85% relataram uma compreensão boa ou razoável de IA. Mas, no geral, apenas 56% dos entrevistados declararam uma compreensão boa a razoável do AI Act. Isso revela potenciais desafios na auditoria de sistemas de IA sem uma estrutura robusta para cumprir.

Implicações Práticas para os Responsáveis pela Conformidade

• Imperativo de Aprimoramento de Habilidades: Parece haver uma necessidade consistente de planejar e implantar atividades de treinamento de IA dedicadas à legislação da UE sobre IA. Isso é necessário para promover o uso responsável e competente.
• Empoderamento da Auditoria Interna: As habilidades dos auditores internos para auditar a IA são aprimoradas por meio de treinamento interno ou externo. No entanto, é importante aprimorar essas habilidades para continuar a cumprir adequadamente os regulamentos.

Quais são as principais percepções da pesquisa sobre o papel da Auditoria Interna com a IA?

Uma pesquisa recente lança luz sobre o estado atual e a direção futura do envolvimento da Auditoria Interna com a IA, particularmente no contexto da Lei de IA da UE. As descobertas revelam oportunidades e desafios para os auditores à medida que navegam neste cenário em evolução.

Adoção e Compreensão da IA:

As principais percepções incluem:

• Uso Limitado de IA na Auditoria: Uma maioria significativa (72%) dos departamentos de Auditoria Interna não está utilizando atualmente sistemas de IA para suas atividades de auditoria.
• Casos de Uso Específicos: Entre aqueles que usam IA, a avaliação de riscos é a principal atividade suportada (33%).
• Compreensão dos Conceitos de IA: Embora a maioria dos entrevistados relate uma compreensão boa ou razoável dos conceitos gerais de IA (85%) e da auditoria de sistemas de IA (71%), a compreensão da Lei de IA da UE especificamente é menor (56%). Isso sinaliza uma necessidade crucial de treinamento direcionado.

Abordando a Lacuna de Habilidades:

A pesquisa ressalta a necessidade de habilidades aprimoradas dentro dos departamentos de auditoria:

• Desenvolvimento de Habilidades: Os departamentos de auditoria estão abordando principalmente as habilidades de auditoria de IA por meio de treinamento interno/externo (57%) e compartilhamento de conhecimento (29%), com contratação dedicada limitada (14%).
• Pequenas Equipes de Auditoria: Um número substancial de entrevistados (70%) indica que sua função de auditoria interna compreende menos de 10 funcionários em tempo integral (FTEs). Quase metade (48%) não possui auditores de TI especializados. Combinados com a tecnologia em rápida evolução, esses dados destacam a necessidade de fortalecer as equipes de auditoria interna com habilidades de TI.

A Lei de IA da UE e a Conformidade:

A pesquisa revela percepções críticas sobre a Lei, os planos de conformidade e o papel da Auditoria Interna:

• Aplicabilidade da Lei: 60% das empresas reconhecem que estarão sujeitas à nova Lei de IA.
• Projetos de Conformidade: Pouco mais da metade (53%) das empresas relevantes iniciaram ou planejam iniciar um projeto de conformidade para aderir às novas regulamentações.

Percepções sobre IA Generativa:

Percepções específicas sobre o uso de IA Generativa incluem:

• Estatísticas de Adoção: 64% das empresas usam ou planejam implementar sistemas de IA Generativa.
• Regulamentos Internos: 44% dos entrevistados possuem regulamentos internos especificamente para IA Generativa.
• Processos Suportados: A aplicação mais frequente de IA e GenAI é em atendimento ao cliente, vendas, marketing e inteligência de negócios, análise, finanças e contabilidade.

Essas descobertas ressaltam a necessidade de as funções de Auditoria Interna desenvolverem proativamente estruturas de auditoria de IA e aumentarem sua compreensão da Lei de IA. À medida que as organizações correm para adotar a IA, os auditores desempenham um papel fundamental para garantir o uso responsável da IA e a conformidade.