Sistemas de IA de alto risco: guia pratico para equipas SaaS

Sistemas de IA de alto risco sao sistemas que entram na rota de compliance mais exigente do EU AI Act devido a finalidade, contexto de produto ou possivel impacto na saude, seguranca ou direitos fundamentais. Para uma equipa SaaS, a pergunta pratica nao e apenas se o produto usa IA. A pergunta e se um use case concreto e componente de seguranca de um produto regulado, e ele proprio produto regulado, ou e destinado a um uso listado no Annex III.

Se a resposta pode ser sim, a equipa precisa de um workflow estruturado. Deve identificar sistema, papel, finalidade, pessoas afetadas, dados, configuracao de cliente, vendor, evidencia, controlos, owner e launch gate. A decisao nao deve ficar apenas num memo juridico; deve orientar product, engineering, security, privacy, compliance e equipas customer-facing.

As draft guidelines da European Commission de maio de 2026 sao uteis porque explicam a interpretacao atual do Article 6 e dao exemplos praticos. Continuam a ser draft guidance, por isso o AI Act permanece a fonte da obrigacao legal.

Porque isto importa

A classificacao high-risk pode ativar risk management, data governance, documentacao tecnica, logging, transparencia, human oversight, accuracy, robustness, cybersecurity, quality management, conformity assessment, registo, monitoring e incident handling.

O maior risco operacional e ambiguidade. Uma equipa pode lancar ranking, scoring, filtering, recomendacoes, HR, education, healthcare ou access decisions sem decidir se o caso entra na rota high-risk. Quando procurement, security do cliente ou audit pergunta, o feature pode ja estar em contratos.

A classificacao acelera porque encaminha trabalho. Um assistant de redacao nao precisa do mesmo processo de um sistema que filtra candidatos. Um resumo interno nao e igual a scoring para credito, emprego, educacao ou essential services.

Duas rotas principais

A primeira rota envolve produtos regulados. Um sistema de IA pode ser high-risk se for componente de seguranca de um produto, ou o proprio produto, coberto pela legislacao de harmonizacao do Annex I e sujeito a third-party conformity assessment. Isto importa para SaaS em medical devices, machinery, transport, aviation, robotics, industria ou infrastructure.

A segunda rota e Annex III: biometrics, critical infrastructure, education, employment, worker management, essential services, law enforcement, migration, justice e democratic processes. A analise depende da finalidade e do uso concreto, nao do nome do modelo.

Para SaaS, Annex III e frequentemente o trigger comum. Hiring, candidate filtering, worker evaluation, student assessment, creditworthiness, insurance risk, biometric identification ou legal decision support precisam de review mais profunda.

Quando ativar review

Ative review com novo AI feature, modelo ou vendor, nova finalidade, nova configuracao de cliente, uso em HR, education, healthcare, essential services, credit ou insurance, biometria, ranking automatizado, menor human review, entrada no mercado UE ou perguntas de cliente sobre AI Act.

Vendor AI exige a mesma disciplina. Termos como insight, intelligence, automation, recommendation, screening, identity ou safety nao resolvem a classificacao. A equipa deve saber o que o sistema faz, que dados usa, quem e afetado, como o output e usado, que configuracoes sensiveis existem e qual e o papel do cliente.

Workflow pratico

Comece com um intake curto: sistema, owner, finalidade, user journey, pessoas afetadas, geografia, dados, modelo ou vendor, papel no AI Act, output, human review, configuracao de cliente e ligacao a Annex I ou Annex III.

Depois encaminhe. Casos sem red flags seguem para classificacao normal, privacy, security e vendor review. Candidatos high-risk seguem para assessment legal e compliance antes do lancamento. Casos ambiguos vao para um reviewer nomeado com prazo.

Para sistemas provavelmente high-risk, expanda o registo: risk management, data governance, technical documentation, logging, instructions for use, human oversight, testing, cybersecurity, post-market monitoring, incident escalation, vendor evidence, conformity route e documentacao de cliente.

Evidencia e ownership

A evidencia deve responder ao que foi revisto, porque a classificacao foi escolhida, que controlos se seguiram e quando a decisao sera reaberta. Guarde inventory, intake, descricao de produto ou vendor, data flow, analise de pessoas afetadas, intended purpose, screening, role analysis, conclusao, reviewer, data, fontes, launch decision, controlos e trigger de review.

Product detem finalidade e configuracao. Engineering detem arquitetura, dados, logs e testing. Security detem vendor e cybersecurity. Privacy detem data protection. Legal e compliance detem interpretacao AI Act e evidence standard. Leadership detem risk acceptance para lancamentos sensiveis ou ambiguos.

Erros comuns

O primeiro erro e tratar high-risk como etiqueta de marca. O mesmo modelo pode suportar drafting low-risk ou employment review high-risk. O segundo e depender apenas de vendor assurances. O terceiro e assumir que human review resolve tudo. O quarto e esquecer change management quando finalidade, dados, geografia, cliente, modelo ou oversight mudam.

FAQ

Qual e o objetivo pratico?

Identificar sistemas de IA que exigem uma rota de governance mais rigorosa, evidencia mais forte e lifecycle controls antes de serem colocados no mercado, postos em servico ou usados em workflows sensiveis.

Quando se aplica a equipas SaaS?

Quando a equipa constroi, vende, integra, configura ou usa IA como componente de seguranca de um produto regulado, como produto regulado ou para usos Annex III como emprego, educacao, essential services, biometrics, law enforcement, migration, justice ou democratic processes.

O que documentar primeiro?

AI inventory, intake high-risk, role analysis, intended purpose, pessoas afetadas, classification decision, owner, localizacao da evidencia e launch gate.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission draft guidelines on the classification of high-risk AI systems.
• European Commission AI Act FAQ on high-risk AI systems.
• AI Act Service Desk guidance on high-risk AI in regulated products.