Quando se aplica a gestão de riscos de IA e o que fazer depois

A gestão de riscos de IA aplica-se quando um sistema, funcionalidade, capacidade de fornecedor ou processo interno pode ter consequências relevantes para pessoas, dados, segurança, clientes ou a empresa. Um sistema não precisa de ser classificado como de risco elevado ao abrigo do AI Act para merecer uma análise estruturada. Privacidade, segurança, fiabilidade, contratos e risco operacional podem justificar controlos por si próprios.

O teste prático para SaaS é: a utilização pode alterar uma decisão, expor informação protegida, afetar uma pessoa, gerar conteúdo para clientes, automatizar uma tarefa importante ou criar um compromisso que a empresa terá de sustentar? Se sim, ou se a resposta não for clara, registe o caso, atribua um responsável e faça uma avaliação proporcional antes da adoção ou lançamento.

Quando analisar

Inclua IA para clientes, modelos próprios, API de modelos, funções incorporadas de fornecedores e ferramentas usadas por trabalhadores. A análise costuma ser necessária quando existem dados pessoais ou confidenciais; quando o resultado influencia acesso, prioridade ou outra consequência importante; quando falta supervisão humana eficaz; quando a IA pode executar ações; ou quando mudam finalidade, dados, modelo, fornecedor, mercado ou utilizadores. Para baixo impacto, a análise pode ser simples, desde que a decisão de âmbito seja consciente e documentada.

Obrigações jurídicas específicas

A gestão geral de riscos e o cumprimento do AI Act estão relacionados, mas não são iguais. As obrigações dependem do sistema, finalidade prevista, papel da organização, categoria de risco e data de aplicação. Uma empresa SaaS pode ser prestadora numa funcionalidade e responsável pela implantação numa ferramenta interna.

O artigo 9 exige que prestadores de sistemas de IA de risco elevado estabeleçam, implementem, documentem e mantenham um sistema de gestão de riscos. É um processo contínuo e iterativo ao longo do ciclo de vida: identificar riscos conhecidos e razoavelmente previsíveis, avaliá-los no uso previsto e no uso indevido previsível, integrar dados de monitorização pós-comercialização, adotar medidas específicas e testar o sistema. Como o calendário evoluiu, consulte a página oficial atual da Comissão Europeia.

Cinco perguntas de triagem

1. Qual é a finalidade real, quem utiliza e quem é afetado?
2. Que dados entram, que resultados saem e como são conservados?
3. O resultado é rascunho, conselho, recomendação, prioridade ou ação automática?
4. O que pode falhar: exatidão, viés, privacidade, segurança, propriedade intelectual ou continuidade?
5. Que regras, contratos, compromissos e políticas internas são relevantes?

Fluxo operacional e evidências

Crie uma entrada estável de inventário com responsável, finalidade, modelo ou fornecedor, utilizadores, afetados, dados, automação, mercados e data de revisão. Documente o papel, contexto e impacto. O NIST AI RMF organiza o trabalho em Govern, Map, Measure e Manage, com governação transversal ao ciclo de vida.

Selecione avaliações adequadas: exatidão, modos de falha, privacidade e segurança, impacto, red teaming ou evidências do fornecedor. Defina critérios e registe limitações. Os controlos devem resultar dos riscos: minimização de dados, entradas proibidas, acesso, confirmação humana, limites de ação, registos, avisos, alternativas, monitorização e escalamento. Registe o responsável, a evidência e a decisão.

Conserve inventário, análise de papel, avaliação, fluxos de dados, documentação do fornecedor, testes, aprovações, controlos, supervisão, incidentes e histórico. Reavalie quando mudarem finalidade, utilizadores, dados, modelo, fornecedor, automação, geografia, lei ou comportamento observado.

FAQ

Aplica-se apenas a IA de risco elevado?

Não. O artigo 9 cria uma obrigação específica para prestadores de sistemas de risco elevado. Outros sistemas podem exigir gestão proporcional por privacidade, segurança, contratos, expectativas dos clientes ou compromissos voluntários.

O que documentar primeiro?

Finalidade, responsável, utilizadores, afetados, dados, modelo ou fornecedor, uso do resultado, supervisão humana, papel, riscos, controlos, aprovação e motivos de reavaliação.