AI Act da UE: o que devem fazer as empresas que criam ou usam IA - Kyrylo Proskurnya

O AI Act é a primeira lei abrangente do mundo sobre inteligência artificial, e os seus requisitos entram em vigor por fases. A pergunta «o AI Act aplica-se a nós e o que fazer» chega-me tanto de empresas de produto como de quem «só ligou o ChatGPT ao apoio ao cliente». Respondo ao essencial.

A lógica do regulamento: classes de risco

Práticas proibidas — scoring social, sistemas manipulativos (as proibições já vigoram);
alto risco — IA no recrutamento, crédito, medicina, infraestruturas críticas: pacote completo de requisitos — gestão de riscos, qualidade dos dados, documentação, supervisão humana, precisão e ciber-resiliência;
risco limitado — transparência: o utilizador deve saber que fala com IA ou vê conteúdo gerado;
risco mínimo — a maioria das aplicações: recomendações, filtros de spam.

Quem está na zona de responsabilidade

Não só os criadores (providers), mas também as empresas que usam sistemas de IA (deployers) — incluindo quem integra modelos de terceiros nos seus processos. Se incorporou um LLM num processo que afeta pessoas (recrutamento, avaliação de clientes) — leia os requisitos para deployers com atenção.

Passos práticos agora

Crie um registo dos sistemas de IA — próprios e de terceiros;
classifique cada um segundo o risco do AI Act;
para os potencialmente de alto risco — comece pela documentação, qualidade dos dados e supervisão humana;
monte o sistema de gestão: aqui funciona melhor a ISO 42001, que dá um quadro certificável para grande parte dos requisitos organizacionais.

Ligação a outros requisitos

Os sistemas de IA tratam dados — logo, ao lado estão sempre o RGPD e a ISO 27701; e a resiliência dos serviços de IA é a mesma avaliação de riscos, apenas com cenários novos.

A lógica do regulamento: classes de risco

Quem está na zona de responsabilidade

Passos práticos agora

Ligação a outros requisitos

Leia também