Artigo 21 — Cooperação com as autoridades competentes (Regulamento UE sobre IA)

Artigo 21 do Regulamento (UE) 2024/1689 — Cooperação com as autoridades competentes. Texto oficial, interpretação prática, obrigações fundamentais e implicações de conformidade.

Resumo do texto oficial

O Artigo 21 do Regulamento (UE) 2024/1689 (o Regulamento UE sobre IA) estabelece uma obrigação geral para os fornecedores de sistemas de IA de alto risco de cooperar com as autoridades nacionais competentes a pedido. Ao abrigo desta disposição, os fornecedores — e, quando aplicável, os seus representantes autorizados — devem fornecer às autoridades competentes todas as informações e documentação necessárias para demonstrar que o sistema de IA de alto risco em causa cumpre os requisitos estabelecidos no Capítulo 2 do Título III. Esta obrigação de cooperação estende-se à concessão de acesso ao próprio sistema de IA quando a autoridade competente considerar tal acesso necessário para cumprir as suas funções de supervisão ou de vigilância do mercado.

O artigo opera no âmbito do quadro mais amplo de vigilância do mercado do Regulamento e deve ser lido em conjugação com os poderes de execução conferidos às autoridades nacionais ao abrigo do Título X. Não cria uma obrigação de divulgação proativa no curso normal das atividades; em vez disso, é ativado mediante um pedido formal ou informal de um organismo de supervisão. A obrigação é incondicional em termos de âmbito: os fornecedores não podem recusar a cooperação com base em confidencialidade comercial, segredo comercial ou interesse proprietário, embora o Regulamento preveja salvaguardas separadas para o tratamento de informações confidenciais pelas autoridades. O Artigo 21 funciona efetivamente como a ponte entre as obrigações de conformidade impostas aos fornecedores e a capacidade de execução da infraestrutura regulatória estabelecida pelos Estados-Membros e pelo Gabinete Europeu de IA.

O que significa na prática

Para os fornecedores de sistemas de IA de alto risco, o Artigo 21 exige que seja mantida uma postura de conformidade estruturada e pronta para auditoria em todos os momentos — não apenas no momento da avaliação de conformidade. Quando uma autoridade nacional de vigilância do mercado, um organismo notificado a atuar por delegação, ou o Gabinete Europeu de IA inicia uma investigação, o fornecedor deve estar em condições de responder prontamente com documentação técnica abrangente, resultados de avaliação de conformidade, registos de gestão de riscos e dados de monitorização pós-comercialização.

Quem é afetado. Os fornecedores que colocam no mercado da UE sistemas de IA de alto risco (listados no Anexo III ou abrangidos pela legislação setorial do Anexo I) são os principais destinatários das obrigações. Os representantes autorizados que atuam em nome de fornecedores de países terceiros têm a mesma obrigação no âmbito do seu mandato. Os utilizadores não são os principais destinatários do Artigo 21, mas podem ser incluídos em procedimentos de cooperação quando os seus dados operacionais ou o acesso ao sistema implementado seja requerido por uma autoridade.

Exemplos concretos. Um fabricante de dispositivos médicos que integra uma ferramenta de diagnóstico baseada em IA deve, a pedido, entregar o dossiê técnico completo, incluindo descrições dos dados de formação, protocolos de validação e registos de monitorização pós-implementação. Um recrutador que utiliza uma ferramenta de triagem de CV assistida por IA categorizada como de alto risco ao abrigo do Anexo III deve facilitar o acesso da autoridade à lógica de decisão do sistema e aos parâmetros de configuração, caso seja aberta uma investigação.

Preparação operacional. As organizações devem designar uma função de ligação regulatória, manter documentação técnica com controlo de versões e estabelecer um protocolo interno para pedidos das autoridades, incluindo prazos de revisão jurídica que não impeçam a cooperação atempada.

Obrigações fundamentais

• Fornecer documentação a pedido. Os fornecedores devem facultar às autoridades competentes todas as informações e documentação técnica necessárias para avaliar a conformidade com o Capítulo 2 do Título III, incluindo o dossiê técnico exigido ao abrigo do Artigo 11 e os registos mantidos ao abrigo do Artigo 12.
• Conceder acesso ao sistema de IA. Quando uma autoridade competente determina que a inspeção ou interação com o sistema de IA é necessária, os fornecedores devem facilitar esse acesso sem demora injustificada ou obstrução.
• Cooperar através de representantes autorizados. Os fornecedores de países terceiros devem assegurar que o seu representante autorizado estabelecido na UE está habilitado a cumprir as obrigações de cooperação em sua totalidade em seu nome, conforme exigido pelo Artigo 22.
• Manter informações em formato recuperável. A utilidade prática do Artigo 21 depende de a documentação ser atual, precisa e recuperável. Os fornecedores não devem permitir que os registos técnicos fiquem desatualizados ou inacessíveis no momento em que um pedido é recebido.
• Abster-se de obstrução. Qualquer ato ou omissão que impeça, retarde ou frustre uma investigação de supervisão — incluindo divulgação seletiva, destruição de registos ou retenção de credenciais de acesso — constitui uma violação do Artigo 21 e pode desencadear sanções ao abrigo do Artigo 99.
• Estender a cooperação às atividades de vigilância pós-comercialização. A cooperação ao abrigo do Artigo 21 não se limita às verificações de conformidade antes da colocação no mercado; abrange a supervisão regulatória contínua ao longo do ciclo de vida do sistema de IA de alto risco.

Relação com outros artigos

O Artigo 21 situa-se na interseção entre as obrigações dos fornecedores e a execução regulatória, não podendo ser lido de forma isolada. Depende diretamente do Artigo 11 (documentação técnica) e do Artigo 12 (manutenção de registos e registo de eventos), uma vez que essas disposições definem o conjunto de informações que um fornecedor deve ser capaz de fornecer. Relaciona-se com o Artigo 17 (sistema de gestão da qualidade), que rege os processos organizacionais subjacentes à prontidão documental. O Artigo 22 (representantes autorizados) operacionaliza o Artigo 21 para fornecedores de países terceiros, designando quem tem obrigações de cooperação na UE. Do ponto de vista da execução, o Artigo 21 alimenta o regime de vigilância do mercado do Título X (Artigos 74–76), os poderes do Gabinete Europeu de IA ao abrigo do Título VIII e o quadro de sanções do Artigo 99, que associa sanções à não cooperação. O Artigo 9 (gestão de riscos) é também relevante, uma vez que as autoridades podem examinar se os registos de identificação e mitigação de riscos são adequados. A leitura do Artigo 21 em conjunto com os Artigos 13 (transparência) e 14 (supervisão humana) dá uma visão completa do ambiente de informação que os fornecedores devem manter.

Calendário de conformidade

O Regulamento UE sobre IA entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação no Jornal Oficial. As suas disposições aplicam-se de acordo com um calendário faseado:

• 2 de fevereiro de 2025 — As proibições de práticas de IA de risco inaceitável (Título II) tornaram-se aplicáveis. O próprio Artigo 21 ainda não estava em vigor para os sistemas de alto risco.
• 2 de agosto de 2025 — As disposições sobre modelos de IA de uso geral (Título VIII) e as obrigações do Gabinete Europeu de IA tornaram-se aplicáveis.
• 2 de agosto de 2026 — O Artigo 21, juntamente com o conjunto completo de obrigações do Título III para sistemas de IA de alto risco listados no Anexo III (exceto os abrangidos pela legislação setorial anterior), torna-se aplicável. Os fornecedores cujos sistemas se enquadram nesta categoria devem estar totalmente prontos para a cooperação até esta data.
• 2 de agosto de 2027 — Os sistemas de IA de alto risco regidos pela legislação de harmonização da União listada no Anexo I (por exemplo, dispositivos médicos, máquinas, aviação) que já estão sujeitos a procedimentos de avaliação de conformidade têm até esta data antes de as obrigações plenas do Regulamento UE sobre IA para sistemas de alto risco, incluindo o Artigo 21, se aplicarem aos produtos existentes.

Os fornecedores devem tratar o período que antecede a sua data de aplicação não como um período de carência, mas como tempo de implementação: a documentação técnica, a infraestrutura de registo e os protocolos internos de cooperação devem estar operacionais muito antes do prazo.