Seguros — Conformidade com o EU AI Act

Obrigações do EU AI Act para IA em seguros: modelos actuariais, subscrição, avaliação de sinistros e IA de tarifação para pessoas singulares. Abrange a categoria 5(b) do Anexo III e a interação com Solvência II.

Seguros e o EU AI Act — O Desafio Actuarial

O EU AI Act (Regulamento (UE) 2024/1689) impõe o seu maior encargo de conformidade aos sistemas de IA que afetam a capacidade das pessoas singulares de aceder a serviços essenciais e produtos financeiros. Os seguros situam-se no centro desta preocupação. Os sistemas de IA que determinam se uma pessoa singular pode obter um seguro automóvel, de saúde, de vida ou de habitação — e a que custo — são, em muitas configurações, sistemas de IA de alto risco ao abrigo do Anexo III, ponto 5(b) do Regulamento.

O desafio determinante para o setor segurador é actuarial. Há mais de um século, a tarifação de seguros assenta na modelação estatística do risco em grupos populacionais. O EU AI Act não proíbe a diferenciação actuarial, mas impõe obrigações substantivas aos sistemas de IA através dos quais essa diferenciação é executada quando tais sistemas operam ao nível da pessoa singular individual. A transição dos modelos de agrupamento tradicionais para a pontuação de risco individual baseada em IA — possibilitada pela telemática, fluxos de dados de saúde e análise comportamental — é precisamente o que desencadeia o regime de alto risco do Regulamento.

As seguradoras que operam na UE devem, portanto, realizar um exercício sistemático de classificação: quais dos seus sistemas de IA produzem resultados individualizados que determinam ou influenciam de forma significativa as decisões de cobertura para pessoas singulares? Esse exercício de classificação não é uma mera formalidade de conformidade. O seu resultado determina se a seguradora, enquanto utilizador ao abrigo do Art. 26 (ou fornecedor ao abrigo do Art. 16), é titular de obrigações relativas à governação de dados, documentação técnica, supervisão humana, avaliação de conformidade e registo na base de dados da UE para IA de alto risco.

A aplicação do Regulamento aos seguros é ainda complicada pela densidade regulatória existente no setor. A Diretiva Solvência II (2009/138/CE), a Diretiva de Distribuição de Seguros (IDD) (UE) 2016/97, o GDPR e as diretrizes da EIOPA baseadas em princípios sobre IA (2021) impõem cada uma delas requisitos sobre a modelação actuarial, o tratamento de clientes e a utilização de dados. Estes quadros sobrepõem-se — mas não substituem — as obrigações do EU AI Act. Os programas de conformidade devem dar resposta a todos eles simultaneamente.

Casos de Uso de IA de Alto Risco em Seguros

Modelos de Tarifação Actuarial para Pessoas Singulares

O Anexo III, ponto 5(b) do EU AI Act classifica como de alto risco qualquer sistema de IA utilizado para avaliar a solvabilidade de pessoas singulares ou para classificar pessoas singulares em termos do seu perfil de risco para efeitos de acesso a serviços de seguro. Isto abrange os sistemas de IA actuarial que:

• Geram uma pontuação de risco individual utilizada para definir um prémio de seguro automóvel para um tomador de seguro nominado
• Classificam o estado de saúde ou o risco de mortalidade de uma pessoa singular para determinar a elegibilidade para cobertura de seguro de vida ou o prémio correspondente
• Produzem uma decisão de tarifação de seguro de habitação baseada em fatores de risco avaliados por IA atribuíveis a uma pessoa singular específica

O limiar crítico é o impacto na pessoa singular individual. A IA actuarial aplicada a pessoas coletivas — responsabilidade civil empresarial, carga comercial, propriedade industrial — não desencadeia o Anexo III cat. 5(b), salvo se as pessoas singulares forem afetadas de forma materialmente equivalente. As seguradoras que operam tanto em ramos pessoais como comerciais devem classificar cada sistema de IA em função da população sobre a qual atua.

Telemática em Seguros Automóvel e Sistemas Pay-as-You-Drive

Os sistemas de tarifação de seguros baseados em telemática que recolhem dados sobre o comportamento de condução — velocidade, aceleração, padrões de travagem, utilização por período do dia — e utilizam modelos de IA para gerar um prémio individual para uma pessoa singular nominada constituem o caso de uso paradigmático de IA de alto risco em seguros. Estes sistemas preenchem todos os elementos do Anexo III cat. 5(b): avaliam pessoas singulares individuais, produzem resultados que determinam o acesso e a tarifação do seguro, e a sua individualização por IA é precisamente o que os distingue do agrupamento actuarial tradicional.

Os fornecedores de motores de pontuação telemática — quer desenvolvidos internamente quer licenciados a um fornecedor terceiro — devem cumprir o Art. 9 (gestão de riscos), o Art. 10 (governação de dados para conjuntos de dados de treino e validação), o Art. 11 conjugado com o Anexo IV (documentação técnica), o Art. 12 (registo), o Art. 13 (transparência), o Art. 14 (supervisão humana) e o Art. 15 (exatidão, robustez, cibersegurança).

IA de Subscrição em Seguros de Vida e Saúde

Os sistemas de IA utilizados na subscrição de seguros de vida para avaliar o risco de longevidade ou mortalidade de requerentes individuais — determinando se a cobertura é oferecida e a que prémio — são de alto risco ao abrigo do Anexo III cat. 5(b) quando produzem avaliações individualizadas para pessoas singulares. Isto inclui sistemas de IA que processam respostas a questionários de saúde, registos clínicos (quando legalmente acessíveis) ou fluxos de dados de dispositivos wearable para gerar uma pontuação de risco que influencia as decisões de subscrição.

A IA de seguros de saúde que segmenta requerentes individuais por perfil de risco de saúde para efeitos de tarifação ou determinação de elegibilidade está sujeita à mesma classificação. As seguradoras devem estar atentas à intersecção entre o Art. 9 do GDPR (dados de saúde como dados de categoria especial) e os requisitos de governação de dados do Art. 10 do EU AI Act: os conjuntos de dados de treino que contêm dados de saúde exigem uma base jurídica explícita ao abrigo do Art. 9(2) do GDPR, que deve ser documentada na documentação técnica exigida pelo Anexo IV.

IA de Avaliação e Liquidação de Sinistros

A classificação da IA de sinistros depende do seu papel funcional no fluxo de trabalho de decisão sobre sinistros. Dois cenários devem ser distinguidos:

• IA que influencia de forma significativa um resultado de sinistro para uma pessoa singular: quando um sistema de IA avalia um sinistro e o seu resultado conduz diretamente à redução, recusa ou pagamento condicional de uma prestação de seguro a uma pessoa singular — ainda que nominalmente revista por um ser humano — o sistema é provavelmente de alto risco ao abrigo do Anexo III cat. 5(b), por determinar efetivamente o acesso da pessoa singular às prestações do seguro.
• IA que sinaliza sinistros para investigação humana: quando o resultado da IA é um dos vários inputs considerados por um gestor de sinistros que toma uma decisão substantiva independente, e o gestor tem autoridade e informação suficientes para se afastar da avaliação da IA, o sistema pode não ser de alto risco. Esta distinção deve ser documentada e genuína do ponto de vista operacional, e não meramente nominal.

Deteção de Fraude em Seguros

Os sistemas de IA utilizados para detetar sinistros potencialmente fraudulentos ocupam uma importante zona de fronteira. Quando a IA de deteção de fraude desencadeia uma ação adversa automática — suspensão do pagamento, cancelamento da apólice — que afeta uma pessoa singular sem revisão humana substantiva, é provavelmente de alto risco. Quando a IA apenas gera um indicador de risco de fraude que é depois investigado por um gestor especializado que mantém plena autoridade de decisão, pode não o ser. As seguradoras devem documentar em detalhe o fluxo de trabalho da IA de fraude e avaliar se a supervisão humana operacional é substantiva ou meramente nominal.

Fornecedor vs. Utilizador em Seguros

Distinção de Papéis

O EU AI Act impõe conjuntos de obrigações diferentes consoante uma organização seja fornecedor (desenvolve e coloca a IA no mercado) ou utilizador (usa um sistema de IA de terceiros em contexto profissional). Para as seguradoras, esta distinção tem relevância comercial significativa:

• Uma seguradora que desenvolve o seu próprio motor de pontuação telemática ou IA de tarifação actuarial é fornecedora ao abrigo do Art. 3(3) e suporta todas as obrigações de fornecedor ao abrigo do Art. 16: sistema de gestão da qualidade, documentação técnica, Declaração de Conformidade UE, marcação CE, registo na base de dados da UE e monitorização pós-comercialização.
• Uma seguradora que licencia software de IA actuarial a um fornecedor é utilizadora ao abrigo do Art. 3(4) e suporta as obrigações de utilizador ao abrigo do Art. 26: implementação em conformidade com as instruções do fornecedor, supervisão humana, manutenção de registos e comunicação de incidentes.
• Uma seguradora que modifica um sistema de IA licenciado de formas que alteram a sua finalidade prevista — por exemplo, aplicando um modelo de telemática a uma população de tomadores de seguro fora do âmbito validado — pode ser reclassificada como fornecedora ao abrigo do Art. 25(1), com todas as obrigações de fornecedor.

Diligência Devida do Utilizador em IA Actuarial de Fornecedor

As seguradoras que implementem sistemas de IA actuarial de terceiros devem exercer uma diligência devida estruturada antes e após a implementação:

Pré-implementação: Verificar que o sistema de IA está registado na base de dados da UE para IA de alto risco ao abrigo do Art. 49, possui marcação CE e é acompanhado por uma Declaração de Conformidade UE. Solicitar e analisar o resumo da documentação técnica, incluindo métricas de exatidão e parcialidade, o âmbito validado do caso de uso e a declaração de finalidade prevista.

Proteções contratuais: Os contratos de aquisição com fornecedores de IA devem especificar: a obrigação do fornecedor de notificar a seguradora de atualizações significativas ou reavaliações; a obrigação do fornecedor de disponibilizar dados atualizados de monitorização pós-comercialização mediante pedido; e os limites do âmbito de implementação permitido — com um mecanismo claro para a seguradora solicitar uma avaliação de extensão de âmbito em vez de agir unilateralmente.

Monitorização contínua: Ao abrigo do Art. 26(5), os utilizadores devem monitorizar o desempenho dos sistemas de IA de alto risco no seu contexto operacional. Para a IA actuarial, tal implica acompanhar o desempenho do modelo face aos resultados reais dos sinistros, monitorizar o desvio distribucional entre a população de treino e a população ativa de tomadores de seguro, e escalar desvios materiais ao fornecedor para investigação.

Interação com Solvência II, IDD e GDPR

Solvência II — Sistema de Governação e ORSA

Os requisitos do Pilar II da Diretiva Solvência II estabelecem um Sistema de Governação sobre as funções actuariais e de gestão de riscos. A Avaliação Interna dos Riscos e da Solvabilidade (ORSA) exige a identificação documentada de riscos, testes de stress e governação de modelos internos. Estes requisitos sobrepõem-se substancialmente ao sistema de gestão de riscos do Art. 9 do EU AI Act e às componentes de validação de modelos da documentação técnica do Anexo IV.

As seguradoras devem realizar uma análise estruturada de lacunas para identificar quais os instrumentos de governação da Solvência II que podem ser aproveitados para a conformidade com o EU AI Act e quais as lacunas que subsistem. As lacunas mais comuns incluem: testes de parcialidade e avaliação de equidade específicos para IA (não abordados na Solvência II); documentação de conjuntos de dados ao abrigo do Art. 10 para dados de treino e validação (que vai além do âmbito de validação de modelos da Solvência II); registo automático do funcionamento do sistema de IA ao abrigo do Art. 12; e concepção do mecanismo de supervisão humana ao abrigo do Art. 14. Quando um modelo interno aprovado ao abrigo da Solvência II incorpora componentes de IA, o quadro de governação desse modelo deve ser alargado para satisfazer as obrigações do EU AI Act antes de o sistema poder ser implementado legalmente ao abrigo do regime de alto risco.

Diretiva de Distribuição de Seguros — Equidade e Transparência

A IDD (UE) 2016/97 exige que a distribuição de seguros seja realizada no melhor interesse do cliente, com informação apresentada de forma compreensível. Quando a IA é utilizada no processo de distribuição — por exemplo, numa plataforma digital que gera recomendações de produtos personalizadas ou cotações de prémios — as obrigações de equidade e divulgação da IDD alinham-se com os requisitos de transparência do Art. 13 do EU AI Act. As seguradoras devem integrar as obrigações de divulgação do EU AI Act nos documentos de divulgação de produtos IDD (IPIDs) e nos Documentos de Informação Fundamental, garantindo que o papel da IA na decisão de distribuição ou tarifação seja comunicado em linguagem acessível ao tomador de seguro.

GDPR — Dados de Categoria Especial e Decisões Automatizadas

O Art. 9 do GDPR classifica os dados de saúde, dados genéticos e dados relativos à condição física ou mental de uma pessoa como dados de categoria especial, cujo tratamento é proibido na ausência de uma derrogação específica. As seguradoras de vida e saúde que utilizem esses dados no treino ou na pontuação por IA devem identificar e documentar uma base jurídica válida ao abrigo do Art. 9(2) — mais frequentemente o consentimento explícito ao abrigo do Art. 9(2)(a) ou uma derrogação prevista em lei de um Estado-Membro ao abrigo do Art. 9(2)(b) — para cada categoria de dados e finalidade de tratamento.

O Art. 22 do GDPR restringe as decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou igualmente significativos para as pessoas singulares. Uma decisão de subscrição por IA que rejeite automaticamente um pedido de cobertura, ou uma decisão de sinistro por IA que reduza automaticamente um pagamento de prestação, sem envolvimento humano, constitui uma decisão exclusivamente automatizada ao abrigo do Art. 22. O titular dos dados tem direito a: revisão humana da decisão; uma explicação dos principais fatores que influenciaram a decisão automatizada; e o direito de contestar o resultado. As seguradoras devem incorporar estes direitos nos seus processos orientados para o cliente e assegurar que os mecanismos de revisão interna funcionam de forma substantiva.

Diretrizes da EIOPA sobre IA

As diretrizes da EIOPA baseadas em princípios sobre a utilização de IA em seguros (2021) estabeleceram as expectativas do setor em matéria de transparência, não discriminação, qualidade dos dados e explicabilidade dos modelos antes da entrada em vigor do EU AI Act. A EIOPA está a desenvolver orientações de implementação setoriais para o EU AI Act, e as seguradoras devem acompanhar de perto as publicações da EIOPA. As autoridades de supervisão nacionais — ACPR (França), BaFin (Alemanha), IVASS (Itália), DNB (Países Baixos) — implementarão as expectativas de supervisão em alinhamento com as orientações da EIOPA, e estão previstas publicações setoriais de perguntas e respostas durante o período de implementação do Regulamento.

Execução — EIOPA e Autoridades de Supervisão Nacionais

Papel de Supervisão da EIOPA

A EIOPA (Autoridade Europeia dos Seguros e Pensões Complementares de Reforma) não dispõe de autoridade de execução direta ao abrigo do EU AI Act, que designa as autoridades de supervisão nacionais como autoridades competentes ao abrigo do Art. 70. No entanto, a EIOPA coordena a convergência de supervisão entre os reguladores de seguros da UE e emite normas técnicas vinculativas e não vinculativas. As expectativas de governação da IA da EIOPA — expressas através de diretrizes, pareceres e declarações de supervisão — moldarão a forma como as autoridades nacionais implementam os requisitos do EU AI Act no contexto dos seguros. As seguradoras devem tratar os instrumentos da EIOPA como orientações setoriais de referência, mesmo quando não são juridicamente vinculativos.

Autoridades de Supervisão Nacionais de Seguros como Autoridades Competentes em IA

As autoridades de supervisão de seguros nos principais mercados da UE estão posicionadas para exercer as funções de autoridade competente ao abrigo do EU AI Act sobre sistemas de IA de seguros:

• ACPR (Autorité de contrôle prudentiel et de résolution) em França, que publicou expectativas de supervisão sobre IA em serviços financeiros
• BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht) na Alemanha, com um historial consolidado na supervisão de decisões algorítmicas
• IVASS (Istituto per la Vigilanza sulle Assicurazioni) em Itália
• DNB (De Nederlandsche Bank) nos Países Baixos

Estas autoridades dispõem de poderes ao abrigo do Art. 74 e do Art. 75 para solicitar acesso a dados de treino, documentação técnica e registos; realizar inspeções no local; ordenar medidas corretivas; e recomendar sanções financeiras por incumprimento. As coimas por colocação no mercado de IA de alto risco não conforme podem atingir 30 milhões de euros ou 6% do volume de negócios anual global, consoante o montante mais elevado.

Dupla Supervisão: EU AI Act e Regulamentação Setorial

As autoridades de supervisão de seguros que realizem a execução do EU AI Act farão-o no contexto dos seus mandatos prudenciais e de conduta mais amplos. Uma investigação ao abrigo do EU AI Act sobre um modelo de tarifação actuarial enviesado pode simultaneamente envolver obrigações de reporte do Pilar III da Solvência II, requisitos de conduta da IDD e execução do GDPR pela autoridade de proteção de dados. As seguradoras devem assumir que as intervenções de supervisão serão transversais e conceber os seus programas de conformidade em conformidade.

Roteiro de Conformidade para Seguradoras

Passo 1: Inventário e Classificação de Sistemas de IA

Realizar um inventário exaustivo de todos os sistemas de IA utilizados em: tarifação de prémios; aceitação ou recusa de subscrição; avaliação ou pagamento de sinistros; deteção de fraude; pontuação de risco de clientes; e distribuição ou recomendação de produtos. Para cada sistema, avaliar se produz resultados que determinam ou influenciam de forma significativa os outcomes para pessoas singulares individuais. Os sistemas que cumpram este limiar requerem uma avaliação de classificação ao abrigo do Anexo III cat. 5(b).

Passo 2: Determinação do Papel de Fornecedor/Utilizador

Para cada sistema de IA de alto risco, determinar se a seguradora é o fornecedor, o utilizador ou — de forma crítica — se a utilização fora do âmbito validado pelo fornecedor desencadeou uma reclassificação como fornecedor. Recorrer a aconselhamento jurídico para avaliar configurações de fronteira, em particular quando dados internos ou populações de tomadores de seguro da seguradora tenham sido utilizados para afinar ou estender um modelo licenciado.

Passo 3: Análise de Lacunas face às Obrigações do EU AI Act

Mapear os instrumentos de governação existentes da Solvência II, a documentação ORSA e os processos de validação de modelos internos face aos requisitos do EU AI Act ao abrigo do Art. 9 (gestão de riscos), Art. 10 (governação de dados), Art. 11 e Anexo IV (documentação técnica), Art. 12 (registo), Art. 13 (transparência), Art. 14 (supervisão humana) e Art. 15 (exatidão, robustez, cibersegurança). Documentar as lacunas identificadas e atribuir responsabilidades de remediação.

Passo 4: Governação de Dados e Alinhamento com o GDPR

Para cada sistema de IA de alto risco, auditar os conjuntos de dados de treino e validação. Documentar a proveniência dos dados, os métodos de recolha, a representatividade em relação aos grupos demográficos relevantes dos tomadores de seguro e as limitações conhecidas. Assegurar que as bases jurídicas do GDPR estão em vigor para todos os dados pessoais e, quando aplicável, para os dados de categoria especial. Integrar a documentação do Art. 10 no ficheiro técnico do Anexo IV.

Passo 5: Conceção do Mecanismo de Supervisão Humana

Conceber mecanismos de supervisão humana operacionalmente realistas para cada implementação de IA de alto risco. Para IA de subscrição, tal implica que um subscritor qualificado dispõe de informação, autoridade e tempo no fluxo de trabalho suficientes para rever e afastar-se da recomendação da IA antes de esta afetar o tomador de seguro. Para IA de sinistros, implica que um gestor de sinistros tem autoridade de revisão substantiva — e não uma mera função de validação nominal. Documentar a conceção da supervisão e incluí-la na documentação técnica.

Passo 6: Diligência Devida junto de Fornecedores e Remediação Contratual

Para sistemas de IA actuarial de terceiros, implementar o processo de diligência devida pré-implementação descrito acima e rever os contratos existentes com fornecedores. Quando os contratos não incluam disposições que exijam ao fornecedor a manutenção de documentação de conformidade com o EU AI Act, a notificação da seguradora em caso de alterações significativas e a permissão de auditoria do desempenho do sistema de IA, proceder à remediação por via de alteração contratual ou renegociação. Estabelecer procedimentos internos para monitorizar o desempenho do sistema de IA na população ativa de tomadores de seguro e comunicar desvios significativos aos fornecedores e, quando exigido, às autoridades de supervisão.