Artigo 99 — Sanções (Regulamento IA da UE)

Artigo 99 do Regulamento (UE) 2024/1689 — Sanções. Texto oficial, interpretação prática, obrigações fundamentais e implicações de conformidade.

Resumo do Texto Oficial

O Artigo 99 do Regulamento (UE) 2024/1689 estabelece o quadro de sanções administrativas para infrações ao Regulamento IA da UE. Define uma estrutura tripartida de coimas calibrada em função da gravidade da infração.

As infrações mais graves — violações das práticas de IA proibidas enumeradas no Article 5 — atraem coimas até 35 milhões de euros ou 7% do volume de negócios anual total a nível mundial, consoante o valor mais elevado. As violações de outras obrigações impostas a prestadores, responsáveis pela implantação, importadores e distribuidores — incluindo as relativas a sistemas de IA de alto risco, obrigações de transparência e modelos GPAI — ficam sujeitas a coimas até 15 milhões de euros ou 3% do volume de negócios anual mundial. O fornecimento de informações incorretas, incompletas ou enganosas a organismos notificados ou autoridades nacionais competentes é sancionado com até 7,5 milhões de euros ou 1% do volume de negócios anual mundial.

Para os prestadores de modelos GPAI, o Artigo 99(3) remete para os limiares de coimas aplicáveis às obrigações ao abrigo do Capítulo V (Articles 53–56), incluindo as obrigações de risco sistémico para prestadores de modelos GPAI com risco sistémico. Quando a parte infratora é uma PME ou startup, aplica-se o limite percentual do volume de negócios quando este produz um valor absoluto inferior ao limite do valor fixo. As autoridades nacionais competentes são responsáveis pela imposição e execução de coimas na sua jurisdição, enquanto o Gabinete de IA detém competência de execução sobre os prestadores de modelos GPAI a nível da União.

O que isto significa na prática

O Artigo 99 é a espinha dorsal de execução do Regulamento IA da UE. A sua estrutura escalonada determina diretamente a forma como as organizações devem priorizar os seus programas de conformidade.

Para os prestadores de sistemas de IA de alto risco, o escalão de 3%/15 milhões de euros aplica-se a falhas como avaliações de conformidade inadequadas, documentação técnica em falta, sistemas de gestão da qualidade não conformes, ou incumprimento do registo de sistemas na base de dados da UE ao abrigo do Article 71. Um fabricante de dispositivos médicos que implanta uma ferramenta de diagnóstico assistida por IA sem completar a avaliação de conformidade exigida ao abrigo do Annex VI fica exposto a responsabilidade neste escalão.

Para qualquer operador que implante aplicações de IA proibidas — como identificação biométrica em tempo real em espaços públicos fora das exceções limitadas, pontuação social por autoridades públicas, ou técnicas de manipulação subliminar — aplica-se o escalão de 7%/35 milhões de euros. Estas são as proibições absolutas do Regulamento, e o nível de sanção indica que nenhuma justificação comercial pode compensar uma violação.

Para os programadores e responsáveis pela implantação de modelos GPAI, as coimas no escalão de 3% aplicam-se a falhas na documentação técnica, transparência em matéria de direitos de autor e — para modelos com risco sistémico — obrigações de comunicação de incidentes e testes adversariais.

Para todos os operadores, o fornecimento de informações falsas a reguladores durante investigações de fiscalização do mercado aciona o escalão de 1%. Isto é operacionalmente significativo: significa que a gestão interna de documentos, as trilhas de auditoria e os protocolos de cooperação com as autoridades devem ser robustos antes de os reguladores intervirem.

Os fatores de proporcionalidade — incluindo a duração da infração, o grau de cooperação e as violações anteriores — orientam as autoridades na fixação da coima efetiva dentro do limite aplicável.

Obrigações Fundamentais

• Evitar práticas proibidas (Article 5): Qualquer implantação ou colocação no mercado de sistemas de IA que apliquem práticas enumeradas no Article 5 — incluindo identificação biométrica remota em tempo real em espaços publicamente acessíveis (fora das exceções enumeradas), pontuação social, manipulação subliminar e exploração de vulnerabilidades — expõe o operador ao escalão de sanção mais elevado.
• Cumprir as obrigações dos prestadores para sistemas de IA de alto risco: Os prestadores devem manter avaliações de conformidade, documentação técnica, sistemas de gestão da qualidade e monitorização pós-comercialização. As falhas em qualquer uma destas áreas ficam sujeitas à coima de escalão intermédio.
• Cumprir as obrigações relativas a modelos GPAI (Chapter V): Os prestadores de modelos de IA de fins gerais devem satisfazer as obrigações de transparência, documentação e política de direitos de autor; os prestadores de modelos GPAI com risco sistémico enfrentam requisitos adicionais em torno da comunicação de incidentes, avaliações de modelos e medidas de cibersegurança.
• Fornecer informações precisas às autoridades: Todos os operadores devem cooperar com as autoridades nacionais de fiscalização do mercado e o Gabinete de IA, e não devem fornecer informações incorretas ou enganosas durante investigações ou procedimentos de conformidade.
• Assegurar conformidade proporcional para PME: Embora as PME beneficiem de consideração de proporcionalidade na fixação de coimas, não estão isentas de obrigações substantivas — devem ainda assim cumprir os requisitos aplicáveis e ficam sujeitas à execução.
• Manter trilhas de auditoria internas: Dado que as coimas podem ser moduladas pelo grau de cooperação e pelas medidas corretivas tomadas, as organizações devem manter evidências das etapas de conformidade, procedimentos de resposta a incidentes e envolvimento de boa-fé com os reguladores.

Relação com Outros Artigos

O Artigo 99 não pode ser lido isoladamente — é a expressão de execução das obrigações definidas ao longo do Regulamento.

As ligações mais diretas são com o Article 5 (práticas proibidas, que acionam o escalão de sanção mais elevado) e os Articles 8–15 (requisitos dos sistemas de IA de alto risco, a principal fonte de violações de escalão intermédio). Os Article 53–56 (obrigações GPAI) alimentam a estrutura sancionatória para os prestadores de modelos de base. O Article 71 (base de dados da UE para sistemas de IA de alto risco) é uma obrigação de registo cuja violação é abrangida pelo escalão intermédio.

O Article 100 é a disposição gémea para as instituições e órgãos da União, aplicando um regime sancionatório paralelo administrado pela Autoridade Europeia para a Proteção de Dados em vez das autoridades nacionais.

O Article 98 (sanções por incumprimento de organismos notificados) e o Article 101 (delegação de poder relativa a coimas para prestadores de GPAI) estão imediatamente adjacentes no capítulo sancionatório e devem ser lidos em conjunto com o Artigo 99 para uma visão completa da arquitetura de execução do Regulamento. Os Articles 74–79 (fiscalização do mercado e execução) definem o quadro processual no âmbito do qual as coimas do Artigo 99 são impostas.

Calendário de Conformidade

O Regulamento IA da UE entrou em vigor em 2 de agosto de 2024 (vinte dias após a publicação no Jornal Oficial). O Artigo 99 tornou-se aplicável em 2 de agosto de 2025, após o período de transição de doze meses ao abrigo do Artigo 113(2).

O calendário de aplicação faseada é um contexto crítico para compreender quando a exposição a sanções se anexa às diferentes obrigações:

• 2 de fevereiro de 2025 — As disposições de proibição (Article 5) tornaram-se aplicáveis, o que significa que as violações de práticas de IA proibidas ficaram sujeitas ao escalão de coimas de 7%/35 milhões de euros desde essa data.
• 2 de agosto de 2025 — Data geral de aplicabilidade da maior parte do Regulamento, incluindo o Artigo 99, as obrigações relativas a modelos GPAI (Chapter V) e o quadro de governação. Os escalões de coimas de 3%/15 milhões de euros e 1%/7,5 milhões de euros tornaram-se operacionais a partir desta data.
• 2 de dezembro de 2026 — Os sistemas de IA de alto risco abrangidos pelo Annex I (legislação de harmonização da União existente) devem cumprir os requisitos completos de alto risco, tornando as obrigações dos prestadores ao abrigo dos Articles 8–15 executáveis com exposição a coimas.
• 2 de agosto de 2027 — Os sistemas de IA de alto risco enumerados no Annex III que já estavam no mercado antes de 2 de agosto de 2024 devem cumprir, completando a introdução faseada para implantações de alto risco já existentes.

As organizações devem mapear o seu portfólio de IA face a estas datas para determinar a exposição atual e prospetiva a sanções ao abrigo do Artigo 99.