Requisitos do sistema e deveres do prestador
Os artigos 9.º a 15.º exigem um sistema de gestão de riscos, governação dos dados de treino, validação e teste, documentação técnica, registo automático de eventos, instruções de utilização claras, supervisão humana eficaz e níveis adequados de exatidão, solidez e cibersegurança.
Além disso, o prestador implementa um sistema de gestão da qualidade (art. 17.º), sujeita o sistema a avaliação da conformidade (art. 43.º), regista-o na base de dados da UE quando aplicável (art. 49.º), mantém um acompanhamento pós-comercialização (art. 72.º) e notifica os incidentes graves o mais tardar quinze dias depois de ter conhecimento deles (art. 73.º, n.º 2).
Após o Omnibus, as PME e as pequenas empresas de média capitalização podem apresentar a documentação técnica num formulário simplificado da Comissão (art. 11.º, n.º 1), e o sistema de gestão da qualidade aplica-se de forma proporcional à dimensão do prestador (art. 17.º, n.º 2).
O que faz quem implanta o sistema
O artigo 26.º obriga o responsável pela implantação a usar o sistema de acordo com as instruções, a confiar a supervisão humana a pessoas com a competência, a formação e a autoridade necessárias, a garantir que os dados de entrada que controla são pertinentes, a vigiar o funcionamento e suspender a utilização se detetar um risco, e a conservar os registos gerados pelo sistema durante pelo menos seis meses.
Se o sistema for usado no trabalho, o empregador informa previamente os representantes dos trabalhadores e os trabalhadores afetados (art. 26.º, n.º 7). Se for usado para tomar ou apoiar decisões sobre pessoas num domínio do anexo III, informa essas pessoas (art. 26.º, n.º 11).
Avaliação de impacto nos direitos fundamentais
O artigo 27.º exige-a, antes da implantação, aos organismos de direito público, às entidades privadas que prestam serviços públicos e a quem usa sistemas de avaliação da capacidade de endividamento ou de fixação de preços em seguros de vida e de saúde (anexo III, ponto 5, alíneas b) e c)).
O Omnibus permite remeter para as partes pertinentes da avaliação de impacto sobre a proteção de dados do artigo 35.º do RGPD ou incorporá-las, e encarrega o Serviço para a IA de elaborar um questionário-modelo para a simplificar (art. 27.º, n.os 4 e 5).
A partir de quando
Estas obrigações aplicam-se a partir de 2 de dezembro de 2027 para os sistemas do anexo III e de 2 de agosto de 2028 para os do anexo I (art. 113.º, alínea c)). Os sistemas de risco elevado já no mercado antes dessa data só ficam sujeitos se depois sofrerem alterações significativas na sua conceção; os destinados a autoridades públicas devem cumprir o mais tardar a 2 de agosto de 2030 (art. 111.º, n.º 2).
O que o auditor costuma pedir
- Instruções de utilização do prestador recebidas e arquivadas
- Pessoas designadas para a supervisão humana, com formação e autoridade para intervir
- Registos do sistema conservados durante pelo menos seis meses
- Representantes dos trabalhadores informados antes de usar o sistema no trabalho
- Avaliação de impacto nos direitos fundamentais feita quando o artigo 27.º a exige
Como abordá-lo na prática
- 1Peça ao prestador as instruções de utilização e a declaração de conformidade do sistema e guarde-as com o contrato.
- 2Nomeie quem supervisiona cada sistema de risco elevado e deixe por escrito o que pode fazer quando o resultado não o convence.
- 3Integre a conservação dos registos e a informação aos colaboradores nos procedimentos de proteção de dados que já tenha.
A avaliação de impacto sobre a proteção de dados e a de direitos fundamentais partilham boa parte da análise: convém fazê-las em conjunto.
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- Regulamento (UE) 2024/1689 (Regulamento Inteligência Artificial) EUR-Lex · JO L 2024/1689 · 12 de julho de 2024
- Regulamento (UE) 2026/1744 (Omnibus digital sobre IA), que altera o Regulamento (UE) 2024/1689 EUR-Lex · JO L 2026/1744 · 24 de julho de 2026
- Regulamento (UE) 2024/1689, texto consolidado EUR-Lex · CELEX 02024R1689-20260727 · Versão de 27 de julho de 2026
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · Aplicável desde 25 de maio de 2018