O futuro já chegou? Panorama do projeto de regulamento da UE relativo à inteligência artificial

Em 21 de abril de 2021, a Comissão da UE publicou uma proposta de regulamento relativo à inteligência artificial (projeto de regulamento relativo à IA, proposta de regulamento)^[1], que faz parte da "estratégia europeia para os dados"^[2] e pretende estabelecer uma norma de ouro para regulamentar a IA na União[3^].[^3] Embora, de momento, o regulamento proposto esteja a ser debatido e existam vários milhares de propostas de alteração, espera-se que seja adotado até ao outono de 2022^[4]. Uma vez adotado, o Regulamento IA entrará em vigor vinte dias após a sua publicação e deixará um período de transição de 24 meses para que todas as organizações que fornecem ou utilizam sistemas de IA na UE implementem as respectivas medidas e obrigações.

Este artigo apresenta uma panorâmica do projeto de Regulamento relativo à IA e as suas implicações para as organizações em todo o mundo.

Âmbito de aplicação

O projeto de Regulamento IA terá um alcance extraterritorial ao estilo do GDPR e aplica-se a (Art. 2):

• fornecedores que comercializam na UE ou colocam sistemas de IA em serviço na UE;
• utilizadores de sistemas de IA na UE; e
• fornecedores e utilizadores de sistemas de IA cuja produção é utilizada na UE.

O projeto de regulamento relativo à IA define o termo "fornecedor" como uma pessoa que desenvolve um sistema de IA ou que manda desenvolver um sistema de IA com vista a colocá-lo no mercado ou a pô-lo em serviço sob o seu próprio nome ou marca (artigo 3.º). Note-se que qualquer distribuidor, importador, utilizador ou outro terceiro será considerado um fornecedor se (artigo 28.º)

1. colocar um sistema de IA no mercado com o seu próprio nome ou marca registada
2. alterar o objetivo pretendido de um sistema de IA existente; ou
3. introduzir alterações substanciais no sistema de IA.

O termo "utilizador" é definido como uma pessoa que utiliza um sistema de IA sob a sua autoridade, exceto quando o sistema de IA é utilizado no decurso de uma atividade pessoal não profissional (artigo 3.º).

O projeto de regulamento relativo à IA prevê, nomeadamente, um quadro regulamentar horizontal^[5], uma vez que os regulamentos, leis, normas, padrões, etc. existentes em matéria de tecnologias se aplicam, na maioria dos casos, a sectores específicos e não abordam a aplicação destas tecnologias através de sistemas de hardware e software. O regulamento proposto tentará regulamentar a IA de forma horizontal e, por conseguinte, independentemente dos casos de utilização^[6].

Definição de IA

O regulamento proposto não estabelece uma definição de IA. Em vez disso, fornece uma definição de sistemas de IA (artigo 3.º):

"Sistema de inteligência artificial" (sistema de IA): software desenvolvido com uma ou mais das técnicas e abordagens enumeradas no anexo I e que pode, para um determinado conjunto de objectivos definidos pelo ser humano, gerar resultados como conteúdos, previsões, recomendações ou decisões que influenciam os ambientes com os quais interagem.

A lista de técnicas e abordagens do Anexo I inclui abordagens de aprendizagem automática, abordagens lógicas e baseadas no conhecimento, bem como abordagens estatísticas.

A definição demasiado ampla de sistemas de IA no projeto de regulamento relativo à IA foi alvo de críticas de várias partes interessadas. Embora ainda não se saiba como será a versão final do projeto de regulamento relativo à IA, alguns Estados propuseram uma definição mais restrita de inteligência artificial, com dois requisitos adicionais: que o sistema seja capaz de "aprender, raciocinar ou modelar implementado com as técnicas e abordagens" e que seja também um "sistema generativo", influenciando diretamente o seu ambiente^[7].

Tipos de sistemas de IA e requisitos de conformidade pertinentes

O projeto de regulamento relativo à IA divide os sistemas de IA em quatro categorias: sistemas de IA de risco inaceitável, sistemas de IA de alto risco, sistemas de IA com obrigações de transparência e sistemas de IA de risco mínimo.

Sistemas de IA de risco inaceitável (artigo 5.º): Por exemplo, as práticas de IA que violam os valores da UE e representam uma ameaça clara para a segurança, os meios de subsistência e os direitos fundamentais das pessoas são consideradas sistemas de risco inaceitável. Tais sistemas não são permitidos ao abrigo do projeto de regulamento relativo à IA.

Sistemas de IA de alto risco (artigo 6.º): As seguintes categorias de sistemas de IA são abrangidas por esta categoria:

1. Sistemas de identificação biométrica;
2. Infra-estruturas críticas que possam pôr em risco a vida e a saúde dos cidadãos;
3. Formação académica ou profissional, que pode determinar o acesso à educação e o percurso profissional de uma pessoa;
4. Componentes de segurança dos produtos;
5. Emprego, gestão de trabalhadores e acesso ao autoemprego;
6. Serviços públicos e privados essenciais;
7. Aplicação da lei, administração da justiça e processos democráticos;
8. Gestão da migração, do asilo e do controlo das fronteiras.

Os fornecedores de sistemas de IA de alto risco estão sujeitos às seguintes obrigações substantivas:

1. Criar e implementar um sistema adequado de gestão e mitigação de riscos (art. 9.º);
2. Gerir diligentemente os dados e a governação dos dados, incluindo a formação e o ensaio de sistemas de IA de alto risco que utilizam dados (artigo 10.º);
3. Criar e fornecer aos utilizadores documentação técnica (art. 11.º);
4. Fornecer registos pormenorizados às autoridades (artigos 12.º e 20.º);
5. Acomodar os utilizadores com informações claras e adequadas (art. 13.º);
6. Proporcionar um nível adequado de controlo humano (artigo 14.º);
7. Garantir a exatidão, a robustez e a cibersegurança (artigo 15.º);
8. Pôr em prática um sistema de gestão da qualidade adequado (artigo 17.º);
9. Efetuar um acompanhamento pós-comercialização do desempenho dos sistemas de IA de alto risco (artigo 61.º).

Os fornecedores de sistemas de IA de alto risco também são obrigados a cumprir as seguintes obrigações processuais:

1. Os fornecedores devem assegurar que os seus sistemas de IA de alto risco completem a chamada "avaliação da conformidade" antes de poderem ser oferecidos no mercado ou colocados em serviço (art. 19.º). A conformidade dos sistemas de identificação biométrica deve ser efectuada pelo "organismo notificado" competente (anexo VII). Para todos os outros tipos de sistemas de IA de alto risco, os fornecedores podem efetuar uma autoavaliação (anexo VI);
2. Depois de o sistema de IA de alto risco passar pela avaliação da conformidade, os fornecedores devem elaborar a declaração escrita de conformidade (artigo 48.º), apor a marcação CE de conformidade à documentação do sistema de IA de alto risco (artigo 49.º) e registar o sistema de IA de alto risco na base de dados da UE (artigo 51.º);
3. Os fornecedores devem comunicar à autoridade competente, no prazo de 15 dias, qualquer "incidente grave" ou "mau funcionamento" do sistema de IA de alto risco (artigo 62.º).

Ao contrário dos fornecedores, os utilizadores de sistemas de IA de alto risco estão sujeitos a requisitos limitados. Por extensão, têm de garantir que utilizam os sistemas de IA de alto risco de acordo com as instruções para a sua utilização e monitorizam o funcionamento dos sistemas de IA de alto risco e mantêm um registo dos registos gerados pelos sistemas de IA de alto risco (artigo 29.º).

Sistemas de IA com obrigações de transparência (artigo 52.º): Os chatbots ou os bots de imitação são abrangidos por esta categoria. Os fornecedores desses sistemas devem garantir que são concebidos e desenvolvidos de forma a que as pessoas singulares sejam informadas de que estão a interagir com um sistema de IA.

Sistemas de IA de risco mínimo (artigo 69.º): Os jogos de vídeo com IA ou os filtros de spam são abrangidos por esta categoria. Não existem requisitos de conformidade para esses sistemas de IA. A grande maioria dos sistemas de IA atualmente utilizados na UE pode ser definida como sistemas de IA de risco mínimo.

Sanções

A violação das obrigações previstas no projeto de regulamento relativo à IA dá origem a coimas quantificadas em função do tipo de infração (artigo 71.º).

O infrator (fornecedor e/ou utilizador, se for caso disso) será sujeito a coimas até 30 000 000 EUR ou, se o infrator for uma empresa, até 6 % do seu volume de negócios anual total a nível mundial no exercício financeiro anterior, consoante o montante mais elevado, para os dois tipos de infrações seguintes

• a colocação no mercado, a colocação em serviço ou a utilização de práticas de IA de risco inaceitável (artigo 5.º);
• incumprimento dos requisitos de governação de dados do sistema de IA de alto risco (n.º 4 do artigo 10.º).

Em caso de incumprimento de outros requisitos e obrigações para além dos mencionados, o infrator será sujeito a coimas até 20 000 000 EUR ou, se o infrator for uma empresa, até 4 % do seu volume de negócios anual total a nível mundial no exercício financeiro anterior, consoante o montante mais elevado.

O projeto de Regulamento IA também prevê sanções para o não fornecimento de informações corretas, completas ou precisas aos organismos notificados e às autoridades nacionais competentes em resposta a qualquer pedido. Se for esse o caso, os infractores ficam sujeitos a coimas até 10 000 000 euros ou, se o infrator for uma empresa, até 2 % do seu volume de negócios anual total a nível mundial no exercício financeiro anterior, consoante o montante mais elevado.

Implicações para as empresas

O projeto de regulamento relativo à IA estabelece uma fasquia elevada para as obrigações de conformidade das indústrias no domínio da IA em todos os sectores económicos. Um inquérito global realizado pela McKinsey mostra que muitas organizações estão muito atrasadas no cumprimento dos potenciais requisitos de conformidade do futuro regulamento, uma vez que apenas 38% delas estão a abordar ativamente os riscos de conformidade regulamentar no domínio da IA.^[8] A este respeito, as organizações afectadas devem preparar-se para os regulamentos que certamente se seguirão e adotar um programa estratégico de conformidade para os seus sistemas de IA. Para o efeito, serão necessários conjuntos de competências e recursos que conduzam a um papel acrescido dos profissionais de conformidade. As empresas poderão ter de expandir as suas equipas de conformidade e contratar mais profissionais com esta formação específica. Haverá também uma maior necessidade de aconselhamento jurídico externo.