Artigo 78.º — Confidencialidade (Regulamento IA da UE)

Artigo 78.º do Regulamento (UE) 2024/1689 — Confidencialidade. Texto oficial, interpretação prática, obrigações fundamentais e implicações para a conformidade.

Resumo do texto oficial

O artigo 78.º do Regulamento (UE) 2024/1689 estabelece um quadro de confidencialidade vinculativo que regula o tratamento de informações obtidas pelas autoridades competentes — incluindo as autoridades nacionais de vigilância do mercado, as autoridades notificantes, os organismos notificados e a Comissão — no exercício das suas funções ao abrigo do Regulamento IA da UE.

O artigo exige que todas as partes que exercem funções ao abrigo do Regulamento protejam as informações sujeitas a obrigações de sigilo profissional. Isto abrange segredos comerciais, dados comercialmente sensíveis, propriedade intelectual e dados pessoais encontrados durante auditorias, investigações, avaliações de conformidade, procedimentos de ação corretiva ou qualquer outra atividade de supervisão. A obrigação aplica-se tanto às próprias autoridades como ao seu pessoal, incluindo peritos externos que assistem em tarefas de aplicação.

O artigo 78.º permite, não obstante, a troca de informações entre autoridades competentes dentro de um Estado-Membro, entre Estados-Membros e com a Comissão, quando tal troca for necessária para o desempenho de tarefas ao abrigo do Regulamento. Quaisquer informações assim partilhadas mantêm o seu carácter confidencial e o organismo destinatário assume as mesmas obrigações de proteção.

O artigo não impede as autoridades de publicarem conclusões agregadas, anonimizadas ou não sensíveis, nem invalida os requisitos de divulgação obrigatória decorrentes de processos judiciais. Funciona em conjunto com o Regulamento (UE) 2016/679 (RGPD) e com regimes de confidencialidade específicos do setor, onde aplicável, sem os substituir.

O que isto significa na prática

Para os fornecedores e implementadores de IA, o artigo 78.º proporciona uma proteção processual significativa. Quando uma autoridade nacional de vigilância do mercado inicia uma investigação — por exemplo, porque um sistema de IA de alto risco foi sinalizado por incumprimento dos requisitos de avaliação de conformidade do artigo 43.º, ou porque foi comunicado um incidente grave ao abrigo do artigo 73.º — o fornecedor deve cooperar e fornecer documentação técnica, detalhes algorítmicos e resultados de testes. O artigo 78.º garante que estas informações comercialmente sensíveis não saiam da esfera regulatória sem justificação legal.

Quem é afetado. As obrigações diretas recaem sobre as autoridades competentes e o seu pessoal. Os fornecedores e implementadores são os beneficiários indiretos, obtendo a garantia de que os segredos comerciais divulgados durante a aplicação são protegidos. Os organismos notificados, que avaliam a conformidade de sistemas de IA de alto risco e recebem, por isso, submissões técnicas detalhadas, estão igualmente vinculados.

Cenários concretos. Um fornecedor de um sistema de IA de alto risco utilizado na pontuação de crédito apresenta a sua documentação técnica à autoridade nacional de vigilância do mercado na sequência de uma reclamação. Ao abrigo do artigo 78.º, a autoridade não pode partilhar essa documentação com um concorrente nem publicá-la de forma a revelar a arquitetura proprietária do modelo. De igual modo, um trabalhador de um organismo notificado que analise a composição de dados de treino durante uma avaliação de conformidade fica vinculado pelo sigilo profissional relativamente a esses dados.

Passos práticos para os fornecedores. As organizações devem rotular os documentos comercialmente sensíveis apresentados às autoridades e manter um registo do que foi divulgado, a quem e ao abrigo de que obrigação regulatória. Quando um pedido de divulgação parece exceder os poderes da autoridade, os fornecedores têm o direito de recorrer aos tribunais competentes.

Obrigações fundamentais

• As autoridades competentes, as autoridades notificantes, os organismos notificados, a Comissão e o respetivo pessoal devem tratar como confidenciais todas as informações obtidas no exercício das suas funções que se qualifiquem como segredo comercial, dados comercialmente sensíveis ou dados pessoais.
• As obrigações de confidencialidade estendem-se a peritos externos e a quaisquer outras pessoas que participem em tarefas regulatórias ao abrigo do Regulamento IA, como avaliadores técnicos ou consultores científicos.
• A troca de informações entre autoridades — dentro de um Estado-Membro, entre Estados-Membros e com a Comissão — é permitida quando necessária para a aplicação, mas as informações partilhadas mantêm o seu estatuto confidencial e o organismo destinatário assume obrigações de proteção equivalentes.
• As autoridades não podem divulgar a terceiros, incluindo o público, quaisquer informações que possam prejudicar os interesses comerciais de fornecedores ou implementadores, a menos que uma base jurídica específica, como uma ordem judicial ou um interesse público preponderante, justifique a divulgação.
• As obrigações de confidencialidade devem ser conciliadas com, mas não substituem, as regras de proteção de dados aplicáveis ao abrigo do RGPD; os dados pessoais contidos em processos de supervisão devem ser tratados em conformidade com ambos os quadros simultaneamente.
• As autoridades mantêm a capacidade de publicar conclusões não sensíveis, anonimizadas ou agregadas — como relatórios de tendências setoriais ou estatísticas de vigilância do mercado — desde que nenhuma informação confidencial de um fornecedor individual possa ser derivada do conteúdo publicado.

Relação com outros artigos

O artigo 78.º está estruturalmente ligado à arquitetura mais ampla de vigilância do mercado e aplicação do Regulamento IA da UE. Apoia o artigo 74.º (vigilância do mercado a nível nacional), o artigo 75.º (vigilância do mercado a nível da União e coordenação) e o artigo 76.º (supervisão de modelos de IA de uso geral), todos os quais exigem que as autoridades recolham e tratem informações operacionais e técnicas sensíveis. O regime de confidencialidade que estabelece é uma condição prévia para uma cooperação eficaz ao abrigo do artigo 101.º (cooperação do Gabinete de IA com os Estados-Membros).

Intersecta-se igualmente diretamente com o artigo 73.º (comunicação de incidentes graves) e o artigo 72.º (monitorização pós-comercialização), uma vez que ambos os mecanismos geram divulgações de dados técnicos e comerciais potencialmente sensíveis a organismos de supervisão.

No âmbito da cadeia de avaliação de conformidade, o artigo 78.º reforça as obrigações dos organismos notificados designados ao abrigo dos artigos 33.º a 39.º, que recebem regularmente documentação técnica detalhada. Por fim, deve ser lido em conjunto com o artigo 70.º (obrigações de confidencialidade dos operadores em termos mais amplos) e o considerando 145, que esclarece que os objetivos de transparência do Regulamento não podem ser utilizados para justificar a divulgação de informações comerciais genuinamente confidenciais.

Calendário de conformidade

O artigo 78.º entrou em vigor em 1 de agosto de 2024, vinte dias após a publicação do Regulamento (UE) 2024/1689 no Jornal Oficial da União Europeia. No entanto, a sua relevância prática está ligada ao calendário de aplicação faseada do Regulamento mais amplo.

As primeiras obrigações vinculativas ao abrigo do Regulamento IA — as proibições de práticas de IA de risco inaceitável ao abrigo do artigo 5.º — tornaram-se aplicáveis em 2 de fevereiro de 2025. A partir dessa data, as autoridades de vigilância do mercado começaram a exercer poderes ativos de aplicação, tornando as proteções de confidencialidade do artigo 78.º imediatamente operacionais para quaisquer investigações iniciadas.

O quadro para modelos de IA de uso geral (Título IV) aplicou-se a partir de 2 de agosto de 2025, alargando as proteções do artigo 78.º às informações recolhidas na supervisão dos fornecedores de GPAI e nas atividades de supervisão do Gabinete de IA.

A vaga mais substancial de obrigações — abrangendo sistemas de IA de alto risco listados no Anexo III — aplica-se a partir de 2 de agosto de 2026, com determinados sistemas nos setores do Anexo I sujeitos a uma transição adicional até 2 de agosto de 2027. À medida que a atividade de avaliação de conformidade e a monitorização pós-comercialização ao abrigo dos artigos 72.º a 73.º se intensificarem ao longo de 2026–2027, o artigo 78.º tornar-se-á uma disposição frequentemente invocada na relação quotidiana entre os reguladores e a indústria de IA.