Outro Marco do Ato de IA da UE – Quase Versão Final do Código de Práticas para IA de Uso Geral Publicado
No dia 10 de julho de 2025, a Comissão Europeia publicou uma versão quase final do Código de Práticas para IA de Uso Geral (GPAI) sob a Regulamentação (UE) 2024/1689 (Ato de IA).
Este artigo descreve o propósito, a aplicabilidade e o conteúdo do Código. Projetado como um Mecanismo de Conformidade Voluntário, o Código desempenha um papel crucial no cenário regulatório interim até a aplicação das obrigações para fornecedores de GPAI a partir de agosto de 2025. O Código oferece orientações práticas para os provedores de IA sobre como atender às obrigações específicas do Ato de IA e é especialmente relevante para demonstrar a adesão inicial aos Artigos 53 e 55, que estabelecem requisitos para transparência, conformidade com direitos autorais e mitigação de riscos sistêmicos no desenvolvimento e implantação de modelos de GPAI.
Contexto
- Obrigações dos Fornecedores de GPAI. O Ato de IA introduz obrigações específicas para modelos de GPAI, que são capazes de realizar uma ampla gama de tarefas e se integrar em diversos sistemas. Os provedores de modelos de GPAI devem manter documentação técnica detalhada, publicar resumos dos dados de treinamento, cumprir as leis de direitos autorais da UE e compartilhar informações com reguladores e usuários finais. A não conformidade pode resultar em multas de até €15 milhões ou 3% da receita global, o que for maior.
- Modelos com Risco Sistêmico. Os provedores que oferecem modelos de GPAI com risco sistêmico enfrentam requisitos ainda mais rigorosos, incluindo avaliações de modelos, mitigação de riscos, relatórios de incidentes e medidas de cibersegurança. Já um número significativo de provedores globalmente desenvolveu modelos que superam o limite de computação acima do qual um modelo de GPAI é presumido ter capacidades de alto impacto e, portanto, apresenta risco sistêmico.
Objetivos e Função Legal
Propósito. O Código de Práticas serve como uma ferramenta de conformidade transitória. Ele é referenciado sob o Artigo 56 do Ato de IA e pretende:
- Ajudar os provedores de modelos de GPAI a atender às obrigações de transparência, direitos autorais e segurança conforme o Ato de IA;
- Oferecer uma maneira estruturada de apresentar e manter documentação, políticas e salvaguardas técnicas;
- Permitir que as autoridades competentes, incluindo o Escritório de IA, avaliem se os provedores estão cumprindo seus deveres legais sob o Ato de IA.
Aplicabilidade. O Código é estruturado em torno de dois níveis de aplicabilidade:
- Todos os provedores de modelos de GPAI devem atender às capítulos de Transparência e Direitos Autorais do Código.
- Apenas os provedores de modelos de GPAI com risco sistêmico estão sujeitos ao capítulo de Segurança e Proteção do Código.
Capítulo 1 do Código: Transparência
O Ato de IA exige que os provedores de GPAI mantenham documentação robusta e compartilhem informações com reguladores e usuários finais (Artigos 53(1)(a) e (b)). O capítulo de Transparência do Código aborda esses deveres por meio de três medidas principais.
- Requisitos de Documentação. Os provedores podem criar e atualizar sua documentação de modelo usando o Formulário de Documentação de Modelo padronizado do Código, capturando detalhes como arquitetura do modelo, métodos de treinamento, canais de distribuição e capacidades.
- Compartilhamento de Informações. Os provedores podem tornar a documentação relevante acessível para usuários finais e fornecer mais informações mediante solicitação do Escritório de IA ou autoridades nacionais competentes.
- Controles de Integridade. Os provedores são esperados a implementar controles de garantia de qualidade e segurança para preservar a precisão e integridade da documentação ao longo do tempo.
Capítulo 2 do Código: Direitos Autorais
O Ato de IA exige que os provedores de GPAI estabeleçam políticas que garantam a conformidade com a lei de direitos autorais da UE e direitos relacionados (Artigo 53(1)(c)). O capítulo de Direitos Autorais fornece orientações concretas para ajudar os provedores a desenvolver e implementar políticas que governam o uso legal de dados de treinamento.
- Adoção de Políticas. Os provedores devem implementar uma política de direitos autorais que inclua responsabilidades internas e salvaguardas processuais.
- Uso Legal de Dados. Ao coletar dados de treinamento através de web crawling, os provedores devem garantir que não contornam restrições tecnológicas de acesso e devem evitar sites conhecidos por violações persistentes de direitos autorais.
- Reconhecimento de Reservas de Direitos. Os provedores devem honrar reservas de direitos legíveis por máquina expressas por titulares de direitos e apoiar padrões da indústria em evolução para sinalizar tais reservas.
- Mitigação de Saídas Infratoras. Os provedores são esperados a implantar salvaguardas técnicas e restrições políticas para reduzir a probabilidade de conteúdo infrator ser gerado por seus modelos.
- Mecanismos de Reclamação. Um ponto de contato e processo deve estar em vigor para receber e responder a preocupações de titulares de direitos.
Capítulo 3 do Código: Segurança e Proteção
Para modelos de GPAI que atendem ao limite de risco sistêmico, o capítulo de Segurança e Proteção fornece uma estrutura abrangente alinhada ao Artigo 55 do Ato de IA.
- Desenvolvimento de Estrutura. Os provedores devem estabelecer, implementar e atualizar uma estrutura de segurança e proteção detalhando como avaliam e mitigam riscos sistêmicos ao longo do ciclo de vida do modelo.
- Avaliação e Mitigação de Riscos. Os provedores devem conduzir avaliações estruturadas, definir critérios de aceitação de riscos e implementar medidas técnicas e organizacionais para gerenciar riscos. Isso inclui monitoramento pré-lançamento e pós-mercado.
- Relatórios de Incidentes e Supervisão Externa. Os provedores são esperados a documentar incidentes graves e interagir com avaliadores independentes. Relatórios devem ser submetidos ao Escritório de IA.
- Salvaguardas de Cibersegurança. Proteções técnicas apropriadas devem estar em vigor para prevenir acesso não autorizado, exfiltração de modelos ou adulteração, incluindo para ameaças internas.
Próximos Passos
- É Suficiente? Nas próximas semanas, os Estados Membros e a Comissão Europeia examinarão se o Código é suficiente para apoiar a conformidade com as obrigações relacionadas ao GPAI sob o Ato de IA.
- Signatários Iniciais. Uma grande empresa dos EUA e uma grande empresa da UE que estão construindo modelos de GPAI populares já concordaram em assinar o Código.
- Questões Pendentes. Materiais suplementares, como diretrizes que esclarecem termos e conceitos-chave de GPAI e o modelo de divulgação de dados de treinamento, ainda estão pendentes, criando incerteza em torno das expectativas de conformidade total. A Comissão Europeia está considerando um período de graça para os signatários do Código, mas sua duração e escopo ainda são incertos.
