A minha empresa usa inteligência artificial. O que é que a lei europeia passa a exigir?

A maioria das empresas já usa inteligência artificial sem lhe chamar isso. Um programa que filtra candidaturas a emprego, um assistente que responde a clientes no site, uma ferramenta que avalia o risco de um crédito ou de um seguro, um sistema que analisa imagens de videovigilância. Tudo isto é inteligência artificial para efeitos da nova lei europeia. E a nova lei europeia já não é um plano para o futuro, está em vigor e a aplicar-se por fases.

Uma lei que se aplica directamente, sem transposição

O diploma é o Regulamento (UE) 2024/1689, conhecido por AI Act. Por ser um regulamento, e não uma directiva, aplica-se directamente em Portugal, sem depender de qualquer lei nacional de transposição. Entrou em vigor a 1 de Agosto de 2024 e as suas obrigações vão entrando em vigor de forma escalonada.

O calendário que interessa conhecer

Desde 2 de Fevereiro de 2025 estão proibidas certas utilizações de IA consideradas inaceitáveis e passou a existir um dever de literacia em inteligência artificial, ou seja, garantir que quem trabalha com estes sistemas tem formação suficiente para os compreender. Desde 2 de Agosto de 2025 aplicam-se regras aos modelos de uso geral, como os grandes modelos de linguagem, e está montada a estrutura de fiscalização e de sanções. Desde 2 de Agosto de 2026, marco que já passou, aplica-se a maior parte do regulamento, incluindo as regras para os sistemas de alto risco. A 2 de Agosto de 2027 entram em pleno as obrigações para os sistemas de alto risco que estão incorporados em produtos já regulados, como dispositivos médicos ou máquinas.

A lei olha para o risco, não para a tecnologia

O regulamento não trata todas as utilizações de IA da mesma maneira. Divide-as por níveis de risco. Há um punhado de práticas simplesmente proibidas, como a classificação social de pessoas ou certas formas de manipulação. Há um conjunto de utilizações de alto risco, onde se incluem, entre outras, a selecção e a avaliação de trabalhadores, a decisão sobre acesso a crédito ou a seguros e alguns usos de dados biométricos. É aqui que estão as obrigações mais pesadas. Há utilizações de risco limitado, sujeitas sobretudo a deveres de transparência. E há a grande maioria das utilizações, de risco mínimo, praticamente sem obrigações novas. Para a sua empresa, a primeira pergunta não é se usa IA, é em que nível de risco se encontra cada utilização que faz.

O que muda para quem usa IA, e não a fabrica

A maior parte das empresas não desenvolve sistemas de IA, apenas os utiliza. O regulamento chama-lhes responsáveis pela implantação e impõe-lhes deveres mais leves do que aos fabricantes, mas reais. Quem utiliza um sistema de alto risco tem de assegurar supervisão humana efectiva, usar o sistema de acordo com as instruções, vigiar o seu funcionamento e, quando o sistema afecta trabalhadores, informar previamente os trabalhadores e os seus representantes. Quem usa um assistente conversacional ou gera conteúdos com IA tem, em regra, de deixar claro que se está perante um sistema automático ou perante conteúdo gerado artificialmente. O dever de literacia, esse, aplica-se a todos e já está em vigor.

Inteligência artificial e dados pessoais andam juntos

Quase nenhum uso de IA numa empresa acontece sem tratamento de dados pessoais, e aí continua a aplicar-se, em paralelo, o Regulamento Geral sobre a Protecção de Dados. Isto significa fundamento legal para o tratamento, avaliação de impacto quando o risco é elevado e cuidados acrescidos quando há decisões automatizadas que afectam pessoas, matéria já regulada pelo artigo 22.º do RGPD. As duas leis não se substituem, somam-se.

Quanto custa ignorar

As coimas do regulamento são elevadas. As práticas proibidas podem chegar a trinta e cinco milhões de euros ou a sete por cento do volume de negócios anual mundial, consoante o que for mais alto. O incumprimento de outras obrigações pode ir até quinze milhões de euros ou três por cento. Para as pequenas e médias empresas está prevista a aplicação do limite mais baixo, mas não convém ler nisso um convívio pacífico com o incumprimento.

O que ainda não está fechado

Sendo franca, nem tudo está definido. Em Portugal, a designação das autoridades nacionais que vão fiscalizar o regulamento ainda estava a ser consolidada à data deste texto, pelo que este é um ponto a confirmar. Muitas normas técnicas harmonizadas, que dirão em concreto como cumprir, ainda estão a ser elaboradas, e a Comissão Europeia continua a publicar orientações. Ou seja, o quadro geral já é obrigatório, mas o detalhe prático vai continuar a assentar nos próximos meses.

O que pode fazer já

Não é preciso esperar pelo detalhe para começar. O primeiro passo é o mais simples e o mais esquecido: fazer o inventário de onde a empresa já usa inteligência artificial, muitas vezes dentro de programas que ninguém associa a IA. Depois, classificar cada uma dessas utilizações por nível de risco. Assegurar formação mínima às pessoas que trabalham com estes sistemas. Rever os contratos com os fornecedores de tecnologia, para perceber quem responde pelo quê. E alinhar tudo isto com as obrigações que já existem em matéria de protecção de dados. Feito isto com tempo, a conformidade deixa de ser um sobressalto e passa a ser uma vantagem.