Artigo 31.º — Requisitos relativos aos organismos notificados (Regulamento UE sobre IA)

Artigo 31.º do Regulamento (UE) 2024/1689 — Requisitos relativos aos organismos notificados. Texto oficial, interpretação prática, obrigações fundamentais e implicações para a conformidade.

Resumo do texto oficial

O artigo 31.º do Regulamento (UE) 2024/1689 estabelece as condições que um organismo de avaliação da conformidade deve satisfazer antes de um Estado-Membro poder notificá-lo à Comissão Europeia como organismo competente para realizar avaliações de conformidade por terceiros de sistemas de IA de alto risco.

O artigo impõe requisitos em várias dimensões. Em primeiro lugar, o organismo deve ser estabelecido ao abrigo do direito nacional e ter personalidade jurídica. Em segundo lugar, deve ser independente dos sistemas de IA que avalia, dos seus fornecedores e de qualquer pressão comercial, financeira ou outra que possa comprometer o seu julgamento; nem o organismo nem o seu pessoal pode ser o projetista, desenvolvedor, fabricante, fornecedor, instalador, comprador, proprietário, utilizador ou responsável pela manutenção dos sistemas de IA que avaliam. Em terceiro lugar, o organismo e o seu pessoal devem possuir a competência técnica necessária — incluindo experiência relevante com tecnologias de IA e práticas de dados — e devem manter essa competência através de formação contínua. Em quarto lugar, o organismo deve ser financeiramente sólido e dispor de um seguro de responsabilidade civil adequado. Em quinto lugar, o organismo deve dispor de processos documentados para o tratamento de conflitos de interesses, para a confidencialidade das informações obtidas durante a avaliação e para a proteção dos interesses dos fornecedores e de terceiros. Por fim, o organismo deve participar em atividades de coordenação a nível da União e cooperar com as autoridades de vigilância do mercado e as autoridades notificantes.

Quando um organismo notificado subcontrata tarefas ou utiliza uma filial, deve assegurar que essas entidades satisfazem os mesmos requisitos e mantém a plena responsabilidade pelo trabalho delas.

O que isto significa na prática

O artigo 31.º é dirigido principalmente aos organismos de avaliação da conformidade que procuram o estatuto de organismo notificado e às autoridades notificantes nacionais responsáveis pela sua avaliação e designação. Não impõe obrigações diretas aos fornecedores de IA, mas os seus requisitos moldam o ecossistema em que os fornecedores devem operar.

Para os organismos de avaliação da conformidade, o cumprimento do artigo 31.º implica a realização de um exercício abrangente de prontidão interna antes de requerer a notificação. Isto inclui a realização de uma revisão estrutural para verificar a independência em relação aos fornecedores e às cadeias de abastecimento, o recrutamento ou a reconversão de pessoal com especialização prática em aprendizagem automática, governação de dados e no domínio de aplicação específico dos sistemas de IA a avaliar (por exemplo, dispositivos médicos, sistemas biométricos ou infraestruturas críticas). Os organismos devem implementar sistemas de gestão documentados que abranjam a confidencialidade, os conflitos de interesses e a garantia de qualidade, e devem garantir um seguro de responsabilidade profissional adequado.

Para os fornecedores de IA de sistemas de alto risco que exigem uma avaliação da conformidade por terceiros ao abrigo do artigo 43.º — por exemplo, sistemas listados no Anexo III para os quais nenhuma norma harmonizada cobre os requisitos completos — a escolha de um organismo notificado implica verificar se o organismo está devidamente listado na base de dados NANDO e se o seu âmbito de notificação abrange o setor de aplicação de IA relevante. Os fornecedores devem também verificar os acordos de subcontratação do organismo e confirmar que os avaliadores das filiais são eles próprios conformes.

As autoridades notificantes nacionais devem construir quadros de avaliação que testem rigorosamente os requerentes em relação a cada critério do artigo 31.º e devem implementar procedimentos de monitorização para verificar o cumprimento contínuo após a notificação, uma vez que a satisfação continuada destes requisitos é uma condição para manter o estatuto notificado.

Obrigações fundamentais

• Independência e imparcialidade: O organismo notificado, a sua direção superior e o pessoal responsável pela realização das tarefas de avaliação da conformidade não podem ser o projetista, desenvolvedor, fabricante, fornecedor ou utilizador dos sistemas de IA que avaliam, e devem estar livres de qualquer influência — comercial, financeira ou outra — que possa afetar a sua objetividade.
• Competência técnica: O organismo deve demonstrar conhecimentos e experiência suficientes em tecnologias de IA, dados e governação de dados, cibersegurança e no domínio de aplicação específico dos sistemas para os quais foi notificado, e deve assegurar que o pessoal recebe formação contínua para acompanhar os desenvolvimentos tecnológicos.
• Personalidade jurídica e estabilidade financeira: O organismo deve ser uma entidade legalmente constituída ao abrigo do direito nacional e deve ser capaz de demonstrar solidez financeira e dispor de um seguro de responsabilidade civil adequado para cobrir as suas atividades de avaliação.
• Sistemas de gestão documentados: O organismo deve operar procedimentos documentados para o tratamento de conflitos de interesses, a proteção da confidencialidade de informações comercialmente sensíveis e a gestão de reclamações e recursos dos fornecedores.
• Regras de subcontratação e filiais: Quando tarefas são subcontratadas ou delegadas a uma filial, o organismo notificado deve verificar que o subcontratante ou filial satisfaz todos os requisitos do artigo 31.º, deve informar o fornecedor antes de subcontratar e mantém a plena responsabilidade jurídica pelos resultados.
• Cooperação e participação: O organismo notificado deve cooperar com as autoridades nacionais de vigilância do mercado e as autoridades notificantes, e deve participar nos grupos de coordenação a nível da União estabelecidos para os organismos notificados ao abrigo do quadro do Regulamento sobre IA.

Relação com outros artigos

O artigo 31.º insere-se no Título III, Capítulo 4, que regula todo o quadro das autoridades notificantes e organismos notificados. Deve ser lido em conjunto com o artigo 28.º, que define as obrigações das autoridades notificantes, com o artigo 29.º, que estabelece os requisitos para os pedidos de notificação e o procedimento de notificação à Comissão, e com o artigo 30.º, que aborda o estabelecimento e as tarefas das autoridades notificantes a nível nacional.

A jusante, o artigo 31.º conecta-se diretamente ao artigo 33.º, que especifica as obrigações operacionais dos organismos notificados uma vez designados — incluindo o dever de realizar avaliações em conformidade com os artigos 43.º e 44.º — e ao artigo 44.º, que regula os certificados emitidos pelos organismos notificados e as condições para a sua suspensão ou retirada. O artigo 43.º determina precisamente quando a avaliação da conformidade por terceiros por um organismo notificado é obrigatória versus quando um fornecedor pode recorrer ao controlo interno. O artigo 49.º sobre a declaração de conformidade UE e o artigo 50.º sobre a marcação CE são os resultados a jusante que dependem de um certificado válido de organismo notificado quando um é exigido.

Cronograma de conformidade

O Regulamento (UE) 2024/1689 entrou em vigor em 1 de agosto de 2024. O Regulamento UE sobre IA aplica-se em fases:

• 2 de fevereiro de 2025: As proibições de práticas de IA de risco inaceitável (Título II) começaram a aplicar-se.
• 2 de agosto de 2025: As regras sobre modelos de IA de uso geral (Título VIII) e as obrigações de governação para os Estados-Membros tornaram-se aplicáveis.
• 2 de agosto de 2026: As principais obrigações para os sistemas de IA de alto risco listados no Anexo III — incluindo os requisitos de avaliação da conformidade ao abrigo do artigo 43.º e, portanto, os requisitos operacionais para os organismos notificados ao abrigo do artigo 31.º — tornam-se plenamente aplicáveis.
• 2 de agosto de 2027: Prazo alargado para determinados sistemas de IA de alto risco que são também componentes de segurança de produtos já sujeitos à legislação de harmonização da União listada no Anexo I (como dispositivos médicos e maquinaria).

Em termos práticos, os organismos de avaliação da conformidade que pretendam estar operacionais em 2 de agosto de 2026 devem ter iniciado o seu processo de candidatura bem antes dessa data, dado o tempo necessário para a avaliação nacional e a notificação formal à Comissão. Previa-se, portanto, que os Estados-Membros tivessem os seus quadros de autoridades notificantes e procedimentos de avaliação implementados até meados de 2025, o mais tardar.