Regulamento IA da UE: Fornecedores vs. Utilizadores Finais — Quem É Responsável pelo Quê?

O Regulamento IA da UE divide as obrigações entre fornecedores (que constroem sistemas de IA) e utilizadores finais (que os colocam em prática). Compreender o papel que ocupa determina o seu esforço de conformidade — e se pode transferir responsabilidade para outra parte.

A Arquitetura de Dois Intervenientes do Regulamento IA da UE

O Regulamento IA da UE não cria uma obrigação universal única para todos os intervenientes de IA. Distingue sistematicamente entre dois papéis primários na cadeia de valor de IA:

• Fornecedores — entidades que desenvolvem, treinam ou ajustam sistemas de IA e os colocam no mercado
• Utilizadores finais — entidades que operam sistemas de IA num contexto profissional sem os terem construído

Esta distinção não é semântica. Determina que obrigações se aplicam, quem detém que documentação, quem regista na base de dados de IA da UE, quem realiza a avaliação de conformidade e quem é responsável quando algo corre mal. Conhecer o seu papel é o primeiro passo em qualquer programa de conformidade com o Regulamento IA da UE.

Um terceiro papel — representante autorizado — aplica-se a fornecedores estabelecidos fora da UE que devem designar um representante com sede na UE para exercer as suas obrigações regulatórias em território da UE.

Definição do Fornecedor (Art.º 3.º(3))

Um fornecedor é qualquer pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que:

1. Desenvolve um sistema de IA ou o manda desenvolver, e
2. O coloca no mercado ou em serviço sob o seu próprio nome ou marca — quer mediante pagamento quer gratuitamente

Os indicadores-chave do estatuto de fornecedor são a responsabilidade de desenvolvimento e a colocação no mercado. Um laboratório de IA que constrói e licencia um modelo de pontuação de crédito é um fornecedor. Uma consultoria que concebe e constrói uma ferramenta personalizada de triagem de recrutamento para um cliente e depois a entrega também é fornecedor (desde que coloque o sistema no mercado sob o seu próprio nome; se for construído sob a marca do cliente, o cliente pode ser o fornecedor).

A definição abrange:

• Startups de IA e fornecedores de software que vendem produtos de IA embalados
• Empresas que constroem sistemas de IA para implantação interna
• Instituições de investigação que publicam sistemas de IA para uso geral
• Fornecedores de cloud que oferecem IA como serviço sob a sua própria marca

Os fornecedores suportam o maior esforço de conformidade ao abrigo do Regulamento. Para sistemas de alto risco, inclui a realização de avaliações de conformidade, a preparação de documentação técnica, o registo na base de dados de IA da UE, a aposição da marcação CE e a manutenção de um sistema de monitorização pós-colocação no mercado.

Definição do Utilizador Final (Art.º 3.º(4))

Um utilizador final é qualquer pessoa singular ou coletiva, autoridade pública, agência ou organismo que utiliza um sistema de IA sob a sua autoridade para um fim profissional — exceto quando o uso é em atividade pessoal não profissional.

Os utilizadores finais não constroem sistemas de IA. Utilizam sistemas construídos por outros — quer comprados prontos a usar, licenciados via API, ou incorporados num produto SaaS. A grande maioria das organizações europeias que «utilizam IA» são utilizadores finais: empresas que usam ChatGPT ou Claude via API, departamentos de RH que usam rastreamento de candidatos impulsionado por IA, hospitais que usam ferramentas de diagnóstico assistidas por IA, bancos que usam modelos de crédito fornecidos por vendedores.

Obrigações principais do utilizador final (para sistemas de IA de alto risco):

• Utilizar o sistema apenas em conformidade com as instruções fornecidas pelo fornecedor (Art.º 26(1))
• Atribuir uma pessoa com competência, autoridade e recursos para realizar supervisão humana (Art.º 26(2))
• Assegurar que os dados de entrada são relevantes e representativos para a finalidade prevista (Art.º 26(5))
• Monitorizar a operação do sistema para detetar anomalias (Art.º 26(5))
• Reter os registos produzidos pelo sistema pelo período exigido (Art.º 26(6))
• Notificar o fornecedor e a autoridade competente de quaisquer incidentes graves (Art.º 26(8))
• Realizar uma Avaliação de Impacto sobre a Proteção de Dados quando exigido pelo RGPD (Art.º 26(9))

Os utilizadores finais de sistemas de reconhecimento de emoções e de categorização biométrica devem também cumprir as obrigações de transparência do Art.º 50 independentemente da classificação de risco.

A Fronteira Fornecedor-Utilizador Final na Prática

A fronteira entre fornecedor e utilizador final é simples em teoria, mas ténue na prática. Três cenários ilustram as áreas cinzentas comuns:

Cenário 1: SaaS pronto a usar sem personalização

Uma empresa subscreve uma plataforma de triagem de RH impulsionada por IA de um fornecedor, sem qualquer modificação. O fornecedor é o fornecedor. A empresa é o utilizador final. O fornecedor deve à empresa as instruções de utilização, a documentação de conformidade e a capacidade de registo. A empresa deve aos seus trabalhadores transparência e supervisão humana.

Cenário 2: Integração de API com engenharia de prompt significativa

Uma empresa integra um modelo GPAI via API, acrescenta um prompt de sistema personalizado, constrói uma interface de utilizador e lança a aplicação para clientes. Para o modelo GPAI subjacente, o desenvolvedor original é o fornecedor. Para a aplicação construída por cima, a empresa é o fornecedor — desenvolveu um sistema de IA e colocou-o no mercado sob a sua própria marca. Aplicam-se obrigações de fornecedor e GPAI em camadas diferentes.

Cenário 3: Construção personalizada interna

Um banco constrói o seu próprio modelo de avaliação da solvabilidade, treina-o com dados proprietários e implanta-o internamente para decisões de crédito. O banco é simultaneamente o fornecedor (construiu e implantou o sistema) e o utilizador final (opera o sistema para os seus próprios fins). Todas as obrigações do fornecedor ao abrigo do Regulamento — incluindo a avaliação de conformidade para este caso de utilização de alto risco do Anexo III — aplicam-se, assim como todas as obrigações do utilizador final.

Quando os Utilizadores Finais se Tornam Fornecedores (Art.º 25)

O Art.º 25 estabelece gatilhos claros pelos quais um utilizador final assume o estatuto de fornecedor e herda todas as obrigações do fornecedor:

1. Modificação substancial — o utilizador final faz uma modificação substancial a um sistema de IA de alto risco para além do que o fornecedor original pretendia
2. Alteração da finalidade que desencadeia a classificação de alto risco — o utilizador final usa um sistema não de alto risco de forma que cumpre os critérios de alto risco do Anexo III
3. Colocação em nome próprio — o utilizador final coloca o sistema de IA no mercado ou em serviço sob o seu próprio nome ou marca
4. Modificação de modelo GPAI — um utilizador final que faz grandes alterações a um modelo GPAI de uma forma que altera o seu caso de uso de propósito geral

Quando o Art.º 25 é acionado, as obrigações do fornecedor original transferem-se para o novo fornecedor. O fornecedor original é dispensado das obrigações relativas ao sistema modificado ou reaproveitado. Este é um mecanismo importante de alocação de responsabilidade: as organizações que apenas personalizam um sistema devem compreender onde a personalização termina e a modificação substancial começa.

Tabela Comparativa de Obrigações

Como Determinar o Seu Papel

Três perguntas estabelecem o seu papel ao abrigo do Regulamento IA da UE:

1. Desenvolveu o sistema de IA, ou mandou desenvolvê-lo sob a sua direção? Se sim — e o colocou no mercado ou em serviço — é um fornecedor.

2. Está a usar um sistema de IA construído por outra pessoa para um fim profissional? Se sim, é um utilizador final.

3. Modificou substancialmente, reaproveitou ou reaproveitou com nova marca um sistema de IA? Se sim, pode ter-se tornado fornecedor desse sistema modificado ao abrigo do Art.º 25.

Para as organizações que são ambos — construção interna para uso interno — todas as obrigações acumulam. Não há redução para operações integradas.

Alocação Contratual de Responsabilidades

O Regulamento permite que fornecedores e utilizadores finais aloquem contratualmente obrigações específicas. O Art.º 25(1) permite explicitamente isso para determinadas obrigações. No entanto, aplicam-se dois limites:

• A responsabilidade regulatória não pode ser contratualmente transferida. Se o utilizador final opera um sistema de alto risco, permanece responsável pelas obrigações de utilizador final independentemente do que diz o contrato. Os contratos podem estabelecer recurso interno, mas não podem transferir a responsabilidade regulatória para a outra parte.
• O fluxo de informação deve ser preservado. Qualquer alocação deve assegurar que o utilizador final tem a informação necessária para cumprir as suas obrigações — instruções de utilização, acesso a registos, canais de comunicação de incidentes. Os contratos que cortam este fluxo de informação são problemáticos para a conformidade, não apenas comercialmente.

As equipas de aprovisionamento devem utilizar os contratos de fornecedores de IA para assegurar que os fornecedores fornecem o que os utilizadores finais necessitam: instruções, documentação de conformidade, canais de notificação de incidentes, compromissos de atualização e termos de governação de dados para quaisquer dados partilhados para ajuste fino.