Artigo 22 — Representantes autorizados de fornecedores estabelecidos fora da União (Lei de IA da UE)

Artigo 22 do Regulamento (UE) 2024/1689 — Representantes autorizados de fornecedores estabelecidos fora da União. Texto oficial, interpretação prática, obrigações fundamentais e implicações de conformidade.

Resumo do texto oficial

O artigo 22 do Regulamento (UE) 2024/1689 estabelece um mecanismo de acesso obrigatório para fornecedores de sistemas de IA de alto risco e modelos de IA de uso geral que estejam estabelecidos em países terceiros mas que coloquem esses sistemas ou modelos no mercado da União ou os ponham em serviço na União.

Esses fornecedores devem, antes de disponibilizarem o seu sistema de IA ou modelo GPAI na UE, designar — por mandato escrito — um representante autorizado estabelecido na União. O mandato deve habilitar esse representante a realizar um conjunto definido de tarefas em nome do fornecedor: verificar se a declaração de conformidade da UE e a documentação técnica necessária foram devidamente elaboradas; assegurar o registo na base de dados da UE referida no artigo 71; e atuar como único ponto de contacto identificável para o Gabinete de IA e para as autoridades nacionais competentes em todos os assuntos relativos à conformidade com o Regulamento.

O representante autorizado deve ser incluído nas informações de registo obrigatórias e deve ter acesso à documentação suficiente para lhe permitir cumprir as suas obrigações. O representante opera sob um dever contínuo de cooperar com as autoridades competentes e de alertar o fornecedor imediatamente de qualquer risco ou incumprimento identificado. Importa salientar que a designação de um representante autorizado não isenta o fornecedor do país terceiro das suas próprias obrigações ao abrigo do Regulamento; ambas as partes têm responsabilidades distintas, com responsabilidade do representante decorrendo especificamente das tarefas atribuídas no mandato.

O que isto significa na prática

O artigo 22 funciona como o equivalente da Lei de IA da UE dos conceitos de "pessoa responsável" ou "representante autorizado" já familiares da legislação de segurança de produtos como o Regulamento sobre Dispositivos Médicos e o Regulamento Geral de Segurança de Produtos. O seu efeito prático é garantir que uma entidade juridicamente identificável com presença física dentro da UE seja sempre acessível pelas entidades reguladoras, independentemente da localização da sede do desenvolvedor do sistema de IA.

Quem é afetado. Qualquer empresa não pertencente à UE — seja um desenvolvedor de modelo de base sediado nos EUA, uma empresa de software de robótica sediada em Singapura ou um fornecedor de HR-tech sediado no Reino Unido — que ofereça um sistema de IA de alto risco ou um modelo GPAI a clientes, utilizadores ou implantadores da UE deve implementar esta estrutura. Isto inclui empresas que distribuem através de revendedores da UE ou plataformas de nuvem: a obrigação recai sobre o fornecedor, não sobre o canal de distribuição.

O que deve ser feito. O fornecedor deve identificar uma pessoa singular ou coletiva sediada num Estado-Membro da UE, celebrar um mandato escrito especificando as tarefas autorizadas do representante, garantir que o representante possui cópias de (ou acesso seguro a) a documentação técnica relevante e declarações de conformidade, e registar os dados do representante na base de dados da UE ao abrigo do artigo 71.

Exemplo concreto. Uma empresa canadiana que desenvolve uma ferramenta de avaliação de crédito baseada em IA classificada como de alto risco ao abrigo do Anexo III deve contratar um escritório de advogados, uma consultora de conformidade ou uma subsidiária de entidade jurídica dedicada estabelecida na UE como seu representante autorizado antes de integrar qualquer banco da UE como cliente. O nome, endereço e dados de contacto desse representante aparecem na base de dados da UE e na documentação do produto, dando às autoridades de vigilância do mercado francesas ou alemãs um ponto de contacto doméstico imediato.

Obrigação contínua. O mandato não é uma apresentação única. O representante deve permanecer acessível, manter a documentação atualizada e escalar qualquer não conformidade identificada ao fornecedor prontamente.

Obrigações fundamentais

• Mandato escrito obrigatório. O fornecedor deve conceder ao representante autorizado um mandato formal e escrito antes de colocar o sistema de IA de alto risco ou o modelo GPAI no mercado da UE, especificando explicitamente quais as tarefas que o representante está habilitado a realizar em nome do fornecedor.
• Requisito de estabelecimento na UE. O representante autorizado deve ser uma pessoa singular ou coletiva estabelecida no interior da União Europeia; um representante sediado num país terceiro — incluindo os Estados da EFTA do EEE não abrangidos por um acordo de equivalência — não satisfaz este requisito.
• Acesso e verificação da documentação. O representante deve verificar se a declaração de conformidade da UE e a documentação técnica exigida ao abrigo dos artigos 11 e 18 foram devidamente elaboradas, e deve manter acesso a esses documentos durante a vigência do mandato.
• Registo na base de dados da UE. O representante é responsável por garantir que as informações do fornecedor — incluindo os próprios dados de contacto do representante — estão registadas na base de dados da UE referida no artigo 71, e que o registo é mantido atualizado.
• Ponto de contacto para as autoridades. O representante autorizado serve como ponto de contacto principal para o Gabinete de IA e as autoridades nacionais competentes para todos os inquéritos de conformidade, vigilância do mercado e execução relativos ao sistema de IA ou modelo GPAI em âmbito.
• Dever de alertar e cooperar. O representante deve informar prontamente o fornecedor de qualquer risco para a saúde, segurança ou direitos fundamentais ou qualquer suspeita de não conformidade que chegue ao seu conhecimento, e deve cooperar plenamente com as autoridades competentes mediante pedido, incluindo fornecer-lhes documentação e acesso a registos.

Relação com outros artigos

O artigo 22 opera no âmbito do quadro mais amplo do Capítulo 3 que rege as obrigações dos fornecedores e utilizadores e deve ser lido em conjunto com várias outras disposições.

O artigo 16 estabelece a lista completa de obrigações aplicáveis aos fornecedores de sistemas de IA de alto risco; o artigo 22 delega efetivamente a execução doméstica dessas obrigações ao representante autorizado quando o fornecedor está estabelecido fora da UE.

Os artigos 11 e 18 definem as obrigações de documentação técnica e de manutenção de registos que o representante deve verificar terem sido cumpridas antes de o sistema ser colocado no mercado.

O artigo 71 estabelece a base de dados da UE na qual os dados do representante devem ser registados, tornando o artigo 22 um pré-requisito para o registo legal por fornecedores de países terceiros.

O artigo 53 rege as obrigações específicas dos fornecedores de modelos de IA de uso geral; o artigo 22 estende o requisito de representante autorizado a esta categoria, reforçando que os fornecedores de GPAI fora da UE enfrentam obrigações de controlo de acesso equivalentes.

Os artigos 74 e 75 sobre vigilância do mercado são diretamente servidos pelo artigo 22: as autoridades competentes exercem os seus poderes de supervisão em relação ao representante autorizado como âncora de execução doméstica quando o fornecedor real é inacessível.

Calendário de conformidade

A Lei de IA da UE (Regulamento 2024/1689) entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação no Jornal Oficial. A aplicação é faseada:

• 2 de fevereiro de 2025 — As disposições sobre práticas de IA proibidas (artigo 5) tornaram-se aplicáveis. O artigo 22 ainda não se aplica isoladamente nesta fase, mas os fornecedores devem já avaliar se os seus sistemas se enquadram no âmbito de alto risco ou GPAI.
• 2 de agosto de 2025 — As obrigações aplicáveis aos modelos de IA de uso geral (Título V, incluindo o artigo 53) tornam-se aplicáveis. Uma vez que o artigo 22 abrange explicitamente os fornecedores de modelos GPAI, os fornecedores de GPAI de países terceiros devem ter o seu representante autorizado em vigor até esta data.
• 2 de dezembro de 2026 — Os sistemas de IA de alto risco listados no Anexo III que já estão sujeitos à legislação de segurança de produtos da UE existente devem cumprir a cadeia completa de obrigações do fornecedor, incluindo os requisitos de representante autorizado do artigo 22.
• 2 de agosto de 2027 — Todos os restantes sistemas de IA de alto risco listados no Anexo III ficam sujeitos ao conjunto completo de obrigações. Os fornecedores de países terceiros desses sistemas que ainda não designaram um representante autorizado estarão em incumprimento a partir desta data.

Os fornecedores que coloquem pela primeira vez sistemas de alto risco no mercado da UE após 2 de agosto de 2024 devem tratar o requisito de representante autorizado como um pré-requisito de acesso ao mercado desde o início, em vez de aguardar a data de aplicação relevante para a categoria do seu sistema.