Artigo 7.º — Alterações ao Anexo III (Regulamento UE sobre IA)

Artigo 7.º do Regulamento (UE) 2024/1689 — Alterações ao Anexo III. Texto oficial, interpretação prática, obrigações essenciais e implicações para a conformidade.

Resumo do Texto Oficial

O artigo 7.º do Regulamento (UE) 2024/1689 confere à Comissão Europeia o poder de alterar o Anexo III — a lista de categorias de sistemas de IA de alto risco — por meio de atos delegados adotados nos termos do artigo 97.º. Este mecanismo permite que o perímetro regulatório do Título III se expanda ou contraia em resposta a evidências empíricas, sem necessidade de um procedimento legislativo completo de codecisão.

Ao avaliar se deve adicionar uma nova categoria de sistemas de IA ao Anexo III, a Comissão é obrigada a aplicar um conjunto estruturado de critérios. Estes incluem: a gravidade e irreversibilidade dos danos que o sistema pode causar à saúde, à segurança ou aos direitos fundamentais; o número de pessoas potencialmente afetadas e o seu grau de vulnerabilidade; a medida em que o sistema já foi implantado e os danos reais observados; o grau de supervisão humana sobre as saídas automatizadas; e se o direito da União ou dos Estados-Membros aplicável já oferece um nível adequado de proteção contra os riscos identificados.

Por outro lado, a Comissão pode remover uma categoria do Anexo III quando a base de evidências demonstrar que o risco residual já não satisfaz o limiar que justifica a classificação como alto risco, ou quando salvaguardas equivalentes tiverem sido estabelecidas por outros instrumentos vinculativos da União.

Qualquer ato delegado adotado ao abrigo do artigo 7.º está sujeito ao procedimento de controlo parlamentar previsto no artigo 97.º, conferindo ao Parlamento Europeu e ao Conselho o direito de objetar antes de o ato entrar em vigor. Isto garante a supervisão democrática da evolução regulatória, preservando ao mesmo tempo a agilidade de que a Comissão necessita para acompanhar o ritmo das capacidades de IA em rápido desenvolvimento.

O que isto Significa na Prática

O artigo 7.º funciona como o mecanismo adaptativo do Regulamento UE sobre IA para a classificação de alto risco. Na prática, significa que a fronteira entre os sistemas de IA sujeitos ao regime completo de conformidade de alto risco e os que não o são não está permanentemente fixada na data de entrada em vigor. Os fornecedores e os responsáveis pela implantação devem, por isso, monitorizar continuamente os atos delegados da Comissão, e não apenas no momento do desenvolvimento inicial do produto.

Para as organizações que constroem ou implantam sistemas de IA em setores adjacentes ao Anexo III — por exemplo, ferramentas de IA utilizadas na gestão de recursos humanos, na avaliação de crédito ou na prestação de serviços públicos — o artigo 7.º cria um risco de horizonte de conformidade: um sistema que hoje está fora do âmbito pode ficar dentro do âmbito após uma alteração pela Comissão. As organizações prudentes devem realizar uma avaliação preliminar de alto risco mesmo para sistemas fronteiriços e conceber a sua arquitetura de governação de forma a ser atualizável.

Para as organizações que já operam dentro das categorias do Anexo III, o artigo 7.º reforça a necessidade de monitorização contínua da conformidade. Uma alteração que restrinja a definição de uma categoria listada pode aliviar certas obrigações, mas as organizações não devem presumir esse alívio sem uma análise jurídica formal do âmbito do ato delegado.

Concretamente, um fornecedor de uma ferramenta assistida por IA que classifica candidatos a emprego num contexto de recrutamento no setor público está atualmente abrangido pelo ponto 4 do Anexo III. Se a Comissão, com base em dados de vigilância pós-comercialização recolhidos ao abrigo do artigo 72.º, determinar que os sistemas de IA utilizados no recrutamento no setor privado em pequenas empresas representam riscos equivalentes, pode alargar esse ponto por via do artigo 7.º. A cadeia de fornecimento, os requisitos de documentação técnica e as obrigações de avaliação da conformidade desse fornecedor passariam então a aplicar-se a um conjunto mais alargado de clientes.

Obrigações Fundamentais

• Monitorizar os atos delegados da Comissão: Os fornecedores e os responsáveis pela implantação devem acompanhar quaisquer atos delegados adotados ao abrigo do artigo 7.º que alterem o Anexo III, uma vez que as alterações podem modificar o seu estatuto de conformidade sem períodos de transição para além dos especificados no próprio ato.
• Manter documentação de risco adaptável: A documentação técnica e os registos de avaliação da conformidade devem ser estruturados de modo a poderem ser atualizados para refletir qualquer reclassificação de um sistema de IA de não-alto-risco para alto risco, ou vice-versa.
• Realizar avaliações de horizonte para sistemas fronteiriços: As organizações que operam sistemas de IA em setores adjacentes ao Anexo III devem avaliar periodicamente se as orientações evolutivas da Comissão ou as conclusões da vigilância do mercado indicam uma próxima alteração que possa afetar os seus produtos.
• Participar nos processos de consulta pública: O procedimento de ato delegado inclui consultas com as partes interessadas relevantes; os fornecedores e as associações do setor devem participar para garantir que as evidências específicas do setor sejam consideradas antes de a Comissão finalizar as alterações.
• Rever as obrigações de clientes e da cadeia de fornecimento em caso de alteração: Quando uma alteração alarga o Anexo III, os fornecedores devem transmitir as obrigações contratuais e técnicas atualizadas aos responsáveis pela implantação e aos organismos notificados sem demora injustificada.
• Acompanhar a remoção de categorias: Quando a Comissão remove uma categoria, as organizações devem avaliar se podem reduzir os encargos de conformidade, mas devem conservar os registos que demonstram a conformidade passada durante os períodos em que o estatuto de alto risco era aplicável.

Relação com Outros Artigos

O artigo 7.º não pode ser lido isoladamente de várias outras disposições. Está diretamente subordinado ao artigo 97.º, que regula o exercício do poder delegado, incluindo a duração da delegação, as condições de revogação e o procedimento de objeção parlamentar.

Os critérios que o artigo 7.º estabelece para adicionar categorias ao Anexo III espelham diretamente o quadro de avaliação de riscos subjacente ao artigo 9.º (sistema de gestão de riscos), o que significa que as mesmas questões factuais que informam uma alteração pela Comissão também informam as obrigações internas de gestão de riscos de um fornecedor.

O artigo 6.º define a regra primária de classificação de alto risco, e o artigo 7.º funciona como o seu complemento dinâmico: em conjunto, determinam quais os sistemas de IA que ficam sujeitos às obrigações do Título III estabelecidas nos artigos 8.º a 49.º.

Os dados de vigilância pós-comercialização recolhidos ao abrigo do artigo 72.º e os relatórios de incidentes graves ao abrigo do artigo 73.º alimentam diretamente a base de evidências que a Comissão utiliza ao considerar alterações ao abrigo do artigo 7.º, criando um ciclo de feedback entre a supervisão do mercado e a classificação regulatória. Por fim, o próprio Anexo III é o texto operativo que o artigo 7.º modifica; qualquer análise de conformidade deve ser realizada em relação à versão do Anexo III em vigor no momento da atividade relevante, e não à versão em vigor em qualquer data anterior.

Calendário de Conformidade

2 de agosto de 2024 — O Regulamento (UE) 2024/1689 entrou em vigor. O artigo 7.º, incluindo o poder delegado da Comissão para alterar o Anexo III, tornou-se operacional a partir desta data. O período de delegação decorre por cinco anos a contar da entrada em vigor, renovável por extensão tácita ao abrigo do artigo 97.º.

2 de fevereiro de 2025 — As práticas de IA proibidas ao abrigo do artigo 5.º tornaram-se aplicáveis. As alterações ao abrigo do artigo 7.º não podem anular as proibições; qualquer sistema abrangido pelo artigo 5.º não pode ser reabilitado por reclassificação.

2 de agosto de 2025 — As regras relativas a modelos de IA de uso geral (Título VIII) tornaram-se aplicáveis. A infraestrutura de vigilância pós-comercialização da Comissão começou a produzir dados que podem informar futuras alterações ao abrigo do artigo 7.º.

2 de agosto de 2026 — Os sistemas de IA de alto risco abrangidos pela legislação harmonizada da União enumerada no Anexo I, Secção A ficaram sujeitos ao regime completo do Título III. As alterações ao abrigo do artigo 7.º que afetam estes setores interagem com a legislação de segurança dos produtos existente.

2 de agosto de 2027 — Os sistemas de IA de alto risco enumerados no Anexo III (que não os já sujeitos a datas anteriores) ficam plenamente sujeitos às obrigações do Título III. Este é o prazo principal de conformidade para a maioria das organizações afetadas pelas classificações do Anexo III, incluindo quaisquer alterações futuras efetuadas ao abrigo do artigo 7.º antes desta data. As alterações adotadas após 2 de agosto de 2027 especificarão as suas próprias datas de aplicação em conformidade com o procedimento de ato delegado.