Artigo 43.º — Avaliação de conformidade (Regulamento da UE sobre IA)

Artigo 43.º do Regulamento (UE) 2024/1689 — Avaliação de conformidade. Texto oficial, interpretação prática, obrigações essenciais e implicações de conformidade.

Resumo do Texto Oficial

O artigo 43.º do Regulamento (UE) 2024/1689 estabelece os procedimentos de avaliação de conformidade que os fornecedores de sistemas de IA de alto risco devem seguir antes de colocar um sistema no mercado ou de o pôr em serviço na União Europeia.

Para os sistemas de IA de alto risco abrangidos pela legislação de harmonização da União enumerada no Anexo I — como os produtos sujeitos à Diretiva Máquinas, ao Regulamento relativo aos Dispositivos Médicos ou às regras de segurança da aviação civil — é aplicável o procedimento de avaliação de conformidade previsto nessa legislação setorial, complementado pelos requisitos do Capítulo 2 do Título III do Regulamento IA. Quando a legislação setorial não exige o envolvimento de terceiros, o fornecedor deve seguir o procedimento de controlo interno estabelecido no Anexo VI do Regulamento IA.

Para os sistemas de IA de alto risco enumerados no Anexo III, o artigo 43.º prevê duas vias. Por defeito, os fornecedores seguem o procedimento de controlo interno do Anexo VI. No entanto, quando o sistema envolve a identificação biométrica em tempo real ou remota póstuma de pessoas singulares (exceto as excluídas pelo artigo 6.º, n.º 3), ou quando não existe uma norma harmonizada que abranja todos os requisitos relevantes e nenhuma especificação comum foi adotada, a avaliação deve ser realizada por um organismo notificado em conformidade com o Anexo VII.

Qualquer sistema de IA de alto risco que sofra uma modificação substancial após a receção de uma declaração de conformidade UE ou de um certificado deve ser sujeito a uma nova avaliação de conformidade. O artigo confirma igualmente que os organismos notificados devem ser notificados à Comissão e às autoridades dos Estados-Membros antes de realizarem as avaliações, e que os certificados emitidos permanecem válidos salvo se forem retirados.

O Que Isto Significa na Prática

Para a maioria dos fornecedores de sistemas de IA de alto risco enumerados no Anexo III — abrangendo áreas como triagem de emprego, educação, notação de crédito, gestão de infraestruturas críticas e administração da justiça —, o artigo 43.º significa que a autoavaliação interna é a via de conformidade por defeito. O sistema de gestão da qualidade do fornecedor, a documentação técnica e os registos de conformidade devem estar em ordem antes de a declaração de conformidade ser assinada e a marcação CE ser aposta. Não é necessário um auditor externo, a menos que o sistema se enquadre numa das categorias que exigem o envolvimento de um organismo notificado.

Para os fornecedores cujos sistemas se enquadram na legislação setorial do Anexo I — por exemplo, um sistema de IA integrado num dispositivo médico de classe IIb, ou em equipamento de aviação de segurança crítica —, a avaliação de conformidade do Regulamento IA é sobreposta ao procedimento setorial já aplicável. Na prática, isto significa envolver o organismo notificado já designado ao abrigo do Regulamento Dispositivos Médicos ou a autoridade de aviação relevante, garantindo que esse organismo também seja competente para avaliar os requisitos específicos de IA.

O gatilho operacionalmente mais significativo no artigo 43.º é a exigência de repetir a avaliação de conformidade após uma modificação substancial. As equipas de desenvolvimento e os gestores de produto devem, portanto, incorporar uma porta formal de gestão de alterações no seu ciclo de vida de desenvolvimento de IA: qualquer atualização que altere a finalidade prevista, as características de desempenho ou o perfil de risco do sistema deve ser avaliada em relação à definição de modificação substancial antes da implementação.

Os importadores e distribuidores não são eles próprios responsáveis pela realização da avaliação de conformidade, mas devem verificar que o fornecedor concluiu o procedimento e que a documentação está disponível. Os implementadores que operam em setores regulados devem solicitar a confirmação da via de avaliação aplicável como parte da devida diligência em relação ao fornecedor.

Obrigações Essenciais

• Selecionar a via de avaliação correta: Os fornecedores devem determinar se o seu sistema de IA de alto risco se enquadra na legislação setorial do Anexo I ou no Anexo III, e aplicar o procedimento correspondente (controlo interno ao abrigo do Anexo VI, ou avaliação por organismo notificado ao abrigo do Anexo VII quando obrigatório).
• Realizar a avaliação antes da colocação no mercado: A avaliação de conformidade deve estar concluída e a declaração de conformidade UE assinada antes de o sistema ser colocado no mercado da União ou posto em serviço — não retroativamente.
• Envolver um organismo notificado quando exigido: Os sistemas que envolvam a identificação biométrica remota em tempo real para fins de aplicação da lei, ou para os quais não exista uma norma harmonizada aplicável e nenhuma especificação comum abranja todos os requisitos, requerem avaliação por terceiros realizada por um organismo notificado acreditado.
• Integrar a avaliação de IA com os procedimentos setoriais: Para os produtos do Anexo I, a avaliação de conformidade específica de IA deve ser alinhada com — e sempre que possível integrada na — avaliação de conformidade setorial existente, utilizando o mesmo organismo notificado quando competente.
• Reavaliar após modificação substancial: Qualquer modificação substancial a um sistema de IA de alto risco que já tenha concluído a avaliação de conformidade desencadeia uma nova avaliação obrigatória antes de o sistema modificado poder ser implementado ou comercializado.
• Manter a documentação para revisão pós-comercialização: Os fornecedores devem conservar a documentação técnica, os registos de gestão da qualidade e a declaração de conformidade durante dez anos após a colocação do sistema no mercado, e disponibilizá-los às autoridades nacionais competentes a pedido.

Relação com Outros Artigos

O artigo 43.º não pode ser lido de forma isolada. É a expressão processual dos requisitos substantivos estabelecidos nos artigos 8.º a 15.º (Capítulo 2 do Título III), que definem as normas técnicas e de governação que os sistemas de IA de alto risco devem satisfazer — incluindo a gestão de riscos, a governação de dados, a transparência, a supervisão humana, a exatidão e a robustez em matéria de cibersegurança. A definição do que constitui um sistema de IA de alto risco — e que, portanto, ativa o artigo 43.º — é estabelecida pelo artigo 6.º em conjugação com os Anexos I e III.

O procedimento de controlo interno referido no artigo 43.º é detalhado no Anexo VI, enquanto o procedimento do organismo notificado está estabelecido no Anexo VII. O artigo 44.º regula os certificados emitidos pelos organismos notificados após uma avaliação do Anexo VII, incluindo as condições de suspensão e retirada. O artigo 45.º aborda as obrigações do organismo notificado durante a avaliação. O artigo 47.º abrange a declaração de conformidade UE que os fornecedores devem elaborar após a conclusão do procedimento. O artigo 48.º associa a conclusão da avaliação de conformidade ao direito de apor a marcação CE ao abrigo do artigo 49.º.

Para os fornecedores cujos sistemas se qualificam igualmente como modelos de IA de uso geral com risco sistémico, a interação com as obrigações do Título VIII deve ser considerada a par do artigo 43.º.

Calendário de Conformidade

O Regulamento (UE) 2024/1689 entrou em vigor em 1 de agosto de 2024, vinte dias após a sua publicação no Jornal Oficial da União Europeia em 12 de julho de 2024.

O artigo 43.º não é aplicável de imediato a todos os sistemas de IA de alto risco. O calendário de aplicação faseada estabelecido pelo artigo 113.º significa que:

• 2 de fevereiro de 2025 — As proibições relativas às práticas de IA de risco inaceitável (Título II) tornaram-se aplicáveis. O artigo 43.º ainda não estava em vigor.
• 2 de agosto de 2025 — As obrigações relativas aos modelos de IA de uso geral (Título VIII) tornaram-se aplicáveis. As obrigações de avaliação de conformidade ao abrigo do artigo 43.º ainda não estavam em vigor para a maioria dos sistemas de alto risco.
• 2 de agosto de 2026 — O artigo 43.º passa a ser plenamente aplicável aos fornecedores de sistemas de IA de alto risco enumerados no Anexo III (sistemas de IA de alto risco autónomos em áreas como biometria, emprego, educação e infraestruturas críticas).
• 2 de agosto de 2027 — O prazo até ao qual as obrigações, incluindo a avaliação de conformidade, são aplicáveis aos sistemas de IA de alto risco integrados nos produtos do Anexo I que já são regulados pela legislação de harmonização da União e foram colocados no mercado antes de agosto de 2026.

Os fornecedores devem tratar o prazo de agosto de 2026 como a data de conformidade operacional para fins de planeamento interno, garantindo que os sistemas de gestão da qualidade, a documentação técnica e os procedimentos de avaliação estejam operacionais com antecedência suficiente.