Artigo 2.º — Âmbito de aplicação (Regulamento UE sobre IA)

Artigo 2.º do Regulamento (UE) 2024/1689 — Âmbito de aplicação. Texto oficial, interpretação prática, obrigações essenciais e implicações para a conformidade.

Resumo do texto oficial

O Artigo 2.º do Regulamento (UE) 2024/1689 define o âmbito material e territorial do Regulamento UE sobre IA. Estabelece quais os atores, sistemas e circunstâncias que se enquadram no âmbito de aplicação do regulamento.

Ratione personae, o Regulamento aplica-se: (1) aos fornecedores que colocam sistemas de IA no mercado da União ou os colocam em serviço na UE, independentemente do seu local de estabelecimento; (2) aos operadores de sistemas de IA que se encontrem estabelecidos ou localizados na UE; (3) aos fornecedores e operadores estabelecidos em países terceiros quando o resultado produzido pelo sistema de IA seja utilizado na União; (4) aos importadores e distribuidores de sistemas de IA; e (5) aos fabricantes de produtos que colocam sistemas de IA como componentes de segurança de produtos regulamentados no mercado da União.

O Artigo 2.º clarifica ainda que o Regulamento não se aplica aos sistemas de IA desenvolvidos ou utilizados exclusivamente para fins militares, de segurança nacional ou de defesa, nem aos sistemas de IA utilizados pelas autoridades públicas de países terceiros ou por organizações internacionais no contexto de acordos internacionais sobre cooperação policial e judiciária. Os sistemas de IA que ainda não foram colocados no mercado e que se encontram ainda na fase de investigação e desenvolvimento, antes de serem disponibilizados aos utilizadores, também ficam fora do âmbito de aplicação.

Quando um operador ou fornecedor estiver estabelecido fora da UE mas o resultado do sistema de IA for utilizado na UE, o Regulamento continua a aplicar-se, estabelecendo uma forte eficácia extraterritorial comparável ao modelo do RGPD.

O que isto significa na prática

O Artigo 2.º determina se a sua organização deve ou não cumprir o Regulamento UE sobre IA — é a questão limiar que todas as equipas jurídicas e de conformidade devem responder antes de qualquer obrigação poder ser avaliada.

Para as empresas sediadas na UE, a análise é direta: se desenvolve, implementa, importa, distribui ou integra sistemas de IA em produtos ou serviços disponíveis na UE, está abrangido pelo âmbito de aplicação. Isto inclui os fornecedores de SaaS que oferecem funcionalidades baseadas em IA, as empresas que implementam ferramentas de IA em RH, crédito ou cuidados de saúde, e os fabricantes que integram IA em produtos físicos sujeitos à legislação de segurança de produtos da UE em vigor.

Para as empresas não pertencentes à UE, o teste decisivo é saber se o resultado do sistema de IA chega ou afeta indivíduos ou entidades na UE. Uma empresa sediada nos EUA que fornece uma ferramenta de triagem de recrutamento por IA utilizada por filiais europeias de multinacionais, por exemplo, está abrangida pelo âmbito de aplicação mesmo que a própria empresa não tenha qualquer presença na UE. Esses fornecedores devem designar um representante autorizado na União.

Na prática, as equipas de conformidade devem primeiro mapear todos os sistemas de IA em utilização ou em desenvolvimento, e depois aplicar os critérios do Artigo 2.º a cada um. Os sistemas utilizados exclusivamente para I&D interno — não implementados para utilizadores finais — podem ser documentados como fora do âmbito de aplicação, mas este estatuto deve ser ativamente mantido e reavaliado aquando da implementação. As exceções para fins militares e de segurança nacional são restritas e não se deve presumir que se aplicam a sistemas de dupla utilização ou a ferramentas de aplicação da lei sem uma análise jurídica cuidadosa.

Os fornecedores de modelos de código aberto beneficiam de algumas obrigações mais flexíveis, mas continuam abrangidos pelo âmbito de aplicação no que respeita a práticas proibidas e classificações de alto risco.

Obrigações essenciais

• Determinação do âmbito de aplicação: As organizações devem determinar afirmativamente se se enquadram numa das categorias de atores definidas (fornecedor, operador, importador, distribuidor ou fabricante de produtos) antes de avaliar qual o nível de obrigações que lhes é aplicável.
• Conformidade extraterritorial: Os fornecedores não pertencentes à UE cujos sistemas de IA produzam resultados utilizados na União devem cumprir o Regulamento e designar um representante autorizado estabelecido na UE.
• Clareza de papéis: Quando a mesma organização atua simultaneamente como fornecedor e operador, ambos os conjuntos de obrigações se aplicam cumulativamente; as organizações devem documentar e gerir cada papel separadamente.
• Documentação da fronteira de I&D: As organizações que recorrem à isenção de investigação e desenvolvimento devem manter registos claros que demonstrem que o sistema não foi colocado no mercado nem colocado em serviço, e devem reavaliar o âmbito de aplicação em cada fase de desenvolvimento.
• Interpretação restritiva das exclusões: As exclusões militares, de segurança nacional e de defesa devem ser aplicadas de forma estrita; os sistemas de IA de dupla utilização ou os utilizados em contextos gerais de aplicação da lei não se qualificam automaticamente para exclusão.
• Designação de representante autorizado: Os fornecedores de países terceiros abrangidos pelo âmbito de aplicação devem designar e documentar formalmente um representante autorizado na UE como parte da sua infraestrutura de conformidade.

Relação com outros artigos

O Artigo 2.º é o ponto de entrada para todo o quadro regulamentar e deve ser lido em conjunto com várias disposições fundamentais. O Artigo 3.º (Definições) é essencial para interpretar os termos-chave utilizados no Artigo 2.º, em particular as definições de "sistema de IA", "fornecedor" e "operador", que determinam o âmbito de aplicação. O Artigo 5.º (Práticas de IA proibidas) aplica-se a todos os atores abrangidos pelo âmbito de aplicação independentemente do nível de risco, pelo que a correta determinação do âmbito de aplicação ao abrigo do Artigo 2.º é um pré-requisito para avaliar as obrigações mais graves. O Artigo 6.º (Classificação de sistemas de IA de alto risco) e o Artigo 51.º (Classificação de modelos GPAI) só se tornam relevantes após a confirmação do âmbito de aplicação do Artigo 2.º. Para as organizações que recorrem à via do fornecedor de país terceiro, o Artigo 2.º conecta-se diretamente com o Artigo 25.º (Obrigações dos importadores) e o Artigo 26.º (Obrigações dos distribuidores). O alcance extraterritorial estabelecido no Artigo 2.º reflete a lógica do Artigo 3.º do RGPD, e as autoridades reguladoras confirmaram que estas disposições devem ser lidas de forma coerente.

Calendário de conformidade

O Artigo 2.º entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação do Regulamento no Jornal Oficial da UE. No entanto, as suas obrigações práticas ativam-se de acordo com o calendário faseado de aplicação do Regulamento:

• 2 de fevereiro de 2025: O âmbito de aplicação do Artigo 2.º aplica-se plenamente em relação às práticas de IA proibidas ao abrigo do Artigo 5.º — as organizações deviam ter concluído a determinação do seu âmbito de aplicação até essa data para avaliar se algum dos seus sistemas se enquadra em categorias proibidas.
• 2 de agosto de 2025: O âmbito de aplicação aplica-se aos fornecedores de modelos de IA de uso geral (GPAI) ao abrigo do Título VIII (Artigos 51.º–56.º), incluindo avaliações de risco sistémico e obrigações de transparência.
• 2 de agosto de 2026: As obrigações para as instituições e organismos da UE que utilizam sistemas de IA ao abrigo do Artigo 2.º, n.º 1, alínea h) tornam-se aplicáveis.
• 2 de dezembro de 2026: O âmbito de aplicação do Artigo 2.º aplica-se aos sistemas de IA de alto risco listados no Anexo I (componentes de segurança de produtos regulamentados).
• 2 de agosto de 2027: Aplicação plena aos sistemas de IA de alto risco listados no Anexo III (aplicações autónomas de alto risco em áreas como o emprego, a educação, as infraestruturas críticas e a aplicação da lei).

As organizações devem considerar agosto de 2024 como a data a partir da qual deveriam ter iniciado os exercícios de mapeamento do âmbito de aplicação, sendo que cada prazo subsequente desencadeia um fluxo de trabalho de conformidade correspondente.