Artigo 73 — Notificação de incidentes graves (Regulamento IA da UE)

Artigo 73 do Regulamento (UE) 2024/1689 — Notificação de incidentes graves. Texto oficial, interpretação prática, obrigações fundamentais e implicações para a conformidade.

Resumo do texto oficial

O Artigo 73 do Regulamento (UE) 2024/1689 (o Regulamento IA da UE) estabelece uma obrigação obrigatória de notificação de incidentes graves para os fornecedores de sistemas de IA de alto risco disponibilizados no mercado da União. Ao abrigo desta disposição, os fornecedores devem notificar qualquer incidente grave à autoridade de vigilância do mercado do Estado-Membro em que ocorreu o incidente, sem demora injustificada e dentro dos prazos especificados pelo artigo.

O artigo define as informações que devem ser incluídas numa notificação: uma descrição do incidente, o sistema de IA de alto risco envolvido, a natureza do dano causado ou arriscado, as medidas corretivas tomadas ou planeadas, e qualquer documentação técnica relevante. Quando um fornecedor não está estabelecido na União, o representante autorizado assume o dever de notificação.

O Artigo 73 prevê ainda que, quando um incidente grave se enquadra simultaneamente no âmbito de outros instrumentos legislativos da União — como o Regulamento (UE) 2017/745 relativo aos dispositivos médicos ou a Diretiva 2016/680 relativa ao tratamento de dados pessoais para fins de aplicação da lei — o fornecedor pode apresentar uma única notificação através do canal de notificação mais adequado, desde que todos os requisitos de informação ao abrigo de cada instrumento aplicável sejam cumpridos. As autoridades de vigilância do mercado devem partilhar os dados dos incidentes com o Gabinete Europeu de IA e com as autoridades de outros Estados-Membros onde o mesmo sistema está implementado, garantindo a consciência situacional a nível da União.

O que isto significa na prática

Para qualquer organização que coloque um sistema de IA de alto risco no mercado da UE — quer seja como desenvolvedor original, importador ou representante autorizado — o Artigo 73 cria uma obrigação operacional que se ativa no momento em que um incidente grave é detetado.

Em termos práticos, a conformidade requer três fluxos de trabalho paralelos. Em primeiro lugar, deteção interna: as organizações devem dispor de sistemas de monitorização, infraestruturas de registo e processos de triagem de incidentes capazes de identificar eventos que satisfaçam o limiar de incidente grave definido no Artigo 3.º(49). Uma anomalia num sistema de IA de pontuação de crédito que cause uma decisão de crédito discriminatória em larga escala, ou um mau funcionamento de uma ferramenta de diagnóstico médico baseada em IA que contribua para um diagnóstico errado, provavelmente ambos se qualificariam.

Em segundo lugar, notificação: uma vez identificado um incidente, o relógio começa a correr. Um prazo de 72 horas aplica-se quando a vida ou a segurança das pessoas está em risco imediato; um prazo de 15 dias aplica-se nos outros casos. As organizações necessitam de modelos de notificação pré-elaborados, contactos de notificação designados nos seus sistemas de gestão da qualidade (SGQ), e clareza sobre qual a autoridade nacional de vigilância do mercado que tem jurisdição — tipicamente determinada pelo local onde está estabelecido o utilizador afetado.

Em terceiro lugar, acompanhamento: a notificação inicial raramente é o fim. As autoridades solicitarão informações suplementares, registos técnicos e análise de causa raiz. Os fornecedores devem manter um registo de incidentes e documentar todas as ações corretivas tomadas.

Uma empresa de imagiologia médica que implementa uma ferramenta de diagnóstico de IA na Alemanha e em França deve estar preparada para notificar a Bundesnetzagentur (ou a autoridade competente designada na Alemanha) e a autoridade francesa correspondente simultaneamente se ocorrerem incidentes em ambas as jurisdições. O Gabinete Europeu de IA recebe dados consolidados para acompanhar padrões transfronteiriços.

Obrigações fundamentais

• Notificação imediata: Notificar incidentes graves à autoridade de vigilância do mercado competente do Estado-Membro afetado sem demora injustificada — dentro de 72 horas quando a vida ou a segurança estão em risco, e o mais tardar 15 dias nos outros casos.
• Conteúdo substantivo da notificação: Incluir uma descrição do incidente, identificação do sistema de IA, natureza e extensão do dano, medidas corretivas tomadas ou planeadas, e referências à documentação técnica relevante mantida ao abrigo do Artigo 11.
• Dever do representante autorizado: Quando o fornecedor está estabelecido fora da UE, o representante autorizado designado ao abrigo do Artigo 22 é responsável pela apresentação da notificação do incidente em nome do fornecedor.
• Coordenação entre instrumentos: Quando um incidente também desencadeia obrigações de notificação ao abrigo de outro direito da União (por exemplo, MDR, NIS2, DORA), o fornecedor pode consolidar as notificações, desde que todos os requisitos de informação regulatória sejam plenamente cumpridos.
• Partilha de informações pelas autoridades: As autoridades de vigilância do mercado que recebam uma notificação devem partilhá-la com o Gabinete Europeu de IA e notificar as autoridades de outros Estados-Membros onde o mesmo sistema está em utilização, permitindo uma resposta coordenada ao nível da União.
• Manutenção do registo de incidentes: Os fornecedores devem manter registos de todos os incidentes graves e quasi-acidentes como parte das suas obrigações de monitorização pós-comercialização ao abrigo do Artigo 72, garantindo a rastreabilidade e a prontidão para auditoria.

Relação com outros artigos

O Artigo 73 não pode ser lido de forma isolada. É o mecanismo de notificação que operacionaliza o quadro mais amplo de monitorização pós-comercialização estabelecido no Artigo 72, que exige que os fornecedores mantenham sistemas de monitorização contínua e registo de incidentes como parte do seu sistema de gestão da qualidade. O próprio SGQ é regulado pelo Artigo 17, que estabelece os requisitos de documentação e processo que sustentam qualquer notificação de incidente credível.

A definição de "incidente grave" no Artigo 3.º(49) é o limiar que aciona as obrigações do Artigo 73, e o âmbito de "sistema de IA de alto risco" no Artigo 6.º e no Anexo III determina quais os sistemas que se enquadram no alcance do artigo. O Artigo 22 regula os representantes autorizados e é diretamente referenciado para os fornecedores não pertencentes à UE.

Ao nível da vigilância do mercado, o Artigo 73 alimenta a arquitetura de supervisão mais ampla dos Artigos 74–77 (poderes de vigilância do mercado, acesso a informações e medidas corretivas). O Artigo 78 regula a confidencialidade das informações partilhadas entre autoridades. Para os modelos de IA de uso geral com risco sistémico, o Artigo 55 impõe obrigações paralelas de notificação de incidentes que interagem com o Artigo 73 quando esses modelos são integrados em aplicações de alto risco.

Calendário de conformidade

O Regulamento IA da UE entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação no Jornal Oficial da União Europeia. No entanto, as suas disposições aplicam-se de acordo com um calendário faseado:

• 2 de fevereiro de 2025: As proibições de práticas de IA de risco inaceitável (Título II) tornaram-se aplicáveis.
• 2 de agosto de 2025: As obrigações relativas aos modelos de IA de uso geral (Título VIII, incluindo a notificação de risco sistémico ao abrigo do Artigo 55) tornaram-se aplicáveis. O Gabinete Europeu de IA e as estruturas de governação tornaram-se operacionais.
• 2 de agosto de 2026: As regras aplicáveis aos sistemas de IA de alto risco enumerados no Anexo III que não sejam componentes de segurança de produtos regulados pela legislação de harmonização da União existente tornam-se aplicáveis — a notificação de incidentes ao abrigo do Artigo 73 entra em pleno vigor para estes sistemas nesta data.
• 2 de agosto de 2027: As regras aplicáveis aos sistemas de IA de alto risco que são componentes de segurança de produtos já abrangidos pela legislação de harmonização da União (por exemplo, dispositivos médicos, maquinaria) tornam-se aplicáveis, completando a implementação faseada.

As organizações que implementem sistemas de IA de alto risco no âmbito das datas de dezembro de 2026 / agosto de 2027 devem tratar 2025–2026 como o período de construção da conformidade: implementar infraestruturas de monitorização pós-comercialização, elaborar procedimentos de resposta a incidentes e testar fluxos de trabalho de notificação muito antes de as obrigações do Artigo 73 se ativarem.