Governação de IA
O EU AI Act já é lei e as suas obrigações chegam por etapas até 2030. O Complyanz mantém o inventário dos seus sistemas de IA, confronta cada um com as práticas proibidas, propõe que obrigações se aplicam em função do nível de risco e da sua função, e conduz o NIST AI RMF e a ISO 42001 com as mesmas evidências.
Os seus sistemas de IA, o que se aplica a cada um e a partir de quando
O que o Regulamento da IA exige, e a partir de quando
Estas são as datas alteradas pelo Omnibus Digital sobre a IA, o Regulamento (UE) 2026/1744, que adiou as obrigações de risco elevado. O Complyanz acompanha cada uma em relação aos sistemas de IA que afeta.
| Aplica-se a partir de | O que se aplica | Quem é afetado |
|---|---|---|
| 2 fev. 2025 | Práticas de IA proibidas (artigo 5.º) e literacia no domínio da IA (artigo 4.º) | Todos os prestadores e responsáveis pela implantação |
| 2 ago. 2026 | Obrigações de transparência (artigo 50.º): informar as pessoas de que estão a interagir com um sistema de IA, marcar conteúdos sintéticos e identificar falsificações profundas | Prestadores e responsáveis pela implantação de sistemas que interagem com pessoas ou geram conteúdos |
| 2 dez. 2026 | Marcação de conteúdos sintéticos para sistemas generativos colocados no mercado antes de 2 de agosto de 2026, e duas novas proibições: imagens íntimas não consentidas e material de abuso sexual de crianças | Prestadores de sistemas de IA generativa e, para as novas proibições, todos |
| 2 dez. 2027 | Obrigações de risco elevado para os casos de utilização do anexo III, como recrutamento, avaliação de crédito, educação e acesso a serviços essenciais | Prestadores, responsáveis pela implantação, importadores e distribuidores desses sistemas |
| 2 ago. 2028 | Obrigações de risco elevado para a IA em produtos abrangidos pela legislação de produtos da UE (anexo I), como brinquedos e dispositivos médicos | Fabricantes de produtos e prestadores desses sistemas |
| 2 ago. 2030 | Sistemas de risco elevado já colocados no mercado e destinados a ser utilizados por autoridades públicas (prazo para sistemas existentes) | Prestadores e autoridades públicas responsáveis pela implantação |
Um sistema de risco elevado que já estava no mercado antes da sua data passa a ser abrangido quando sofre alterações significativas. Os sistemas existentes destinados a autoridades públicas têm até 2 de agosto de 2030.
Tudo o que o Regulamento da IA lhe pede que demonstre
Um quadro de gestão de riscos que vai consigo
O NIST AI Risk Management Framework é voluntário, amplamente utilizado nos Estados Unidos e cada vez mais pedido por clientes noutros países. As suas 72 subcategorias de Govern, Map, Measure e Manage estão no Complyanz palavra por palavra. O Perfil de IA Generativa, NIST AI 600-1, acrescenta ações sugeridas para os riscos próprios da IA generativa, como a confabulação, a privacidade dos dados e a integridade da informação, e ativa-se quando trabalha com modelos generativos.
Comece por qualquer referencial e acrescente os restantes mais tarde
As obrigações do Regulamento da IA, as subcategorias do NIST AI RMF e os controlos da ISO 42001 sobrepõem-se bastante. O Complyanz mantém uma tabela de correspondência entre eles, pelo que, ao acrescentar um referencial, vê que requisitos já estão cobertos noutro e pode reutilizar as evidências que já tem. Reutilizar é sempre uma decisão sua: nada muda de estado sozinho.
Incluído no plano Completo ou como adicional
O módulo de Governação de IA cobre o EU AI Act, o NIST AI RMF e o Perfil de IA Generativa. Está incluído no plano Completo e pode ser acrescentado a qualquer outro plano, com preço em função do número de pessoas no âmbito, tal como os próprios planos.
Perguntas frequentes sobre governação de IA
Precisamos da ISO 42001?
Não. A ISO 42001 é uma norma voluntária e certificável, e o Regulamento da IA não a exige. Pode conduzir o Regulamento da IA ou o NIST AI RMF no Complyanz sem ela. Muitas empresas acrescentam-na mais tarde porque os seus clientes pedem um certificado, e a tabela de correspondência aproveita boa parte do trabalho.
Quando se aplicam as obrigações de risco elevado?
Após o Omnibus Digital sobre a IA: a partir de 2 de dezembro de 2027 para os casos de utilização do anexo III, como recrutamento, avaliação de crédito e educação; a partir de 2 de agosto de 2028 para a IA em produtos abrangidos pela legislação de produtos da UE (anexo I); e, para sistemas de risco elevado já colocados no mercado e destinados a autoridades públicas, até 2 de agosto de 2030 no máximo. As proibições originais e a literacia no domínio da IA aplicam-se desde 2 de fevereiro de 2025, e as obrigações de transparência desde 2 de agosto de 2026.
O NIST AI RMF é obrigatório?
Não. É um referencial voluntário publicado pelo National Institute of Standards and Technology dos Estados Unidos. As organizações utilizam-no para estruturar a gestão de riscos de IA, e os clientes norte-americanos e os compradores do setor público pedem-no cada vez mais. O Complyanz inclui as suas 72 subcategorias literalmente, com o Perfil de IA Generativa como opção.
O Regulamento da IA aplica-se se apenas utilizarmos ferramentas de IA?
Muitas vezes, sim. O responsável pela implantação, ou seja, qualquer organização que utiliza um sistema de IA sob a sua própria autoridade, tem obrigações próprias: literacia no domínio da IA, as práticas proibidas, transparência perante as pessoas afetadas e, nos sistemas de risco elevado, supervisão humana, acompanhamento e conservação de registos. Quais se aplicam depende do nível de risco de cada sistema e da sua função, que é exatamente o que o inventário propõe.
Como funciona a comunicação de incidentes graves?
Quando um sistema de IA de risco elevado está envolvido num incidente grave, o prestador comunica-o à autoridade de fiscalização do mercado no prazo máximo de 15 dias após ter conhecimento do mesmo, 10 dias se uma pessoa tiver morrido e dois dias em caso de infração generalizada ou de perturbação grave de uma infraestrutura crítica. O Complyanz inicia a contagem quando declara o incidente e acompanha a comunicação até ser apresentada.
Cobrem as obrigações dos modelos de IA de finalidade geral?
Não. Os artigos 53.º a 55.º aplicam-se às empresas que treinam e disponibilizam modelos de IA de finalidade geral. O Complyanz foi concebido para as organizações que criam produtos sobre esses modelos ou os utilizam, e regista quando um sistema assenta num deles.
Construa o seu programa de governação de IA
Crie uma organização, acrescente o seu primeiro sistema de IA e veja que obrigações se lhe aplicam, e a partir de quando.