Sua organização sabe quais sistemas de inteligência artificial utiliza, quem responde por eles e quais controles já foram implementados?
A Comissão Europeia disponibiliza uma plataforma centralizada de informações e ferramentas interativas para auxiliar empresas, desenvolvedores, fornecedores e demais organizações a compreender as obrigações estabelecidas pelo Regulamento Europeu de Inteligência Artificial – o AI Act.
O AI Act Service Desk reúne recursos para consulta do regulamento, identificação preliminar das obrigações aplicáveis e esclarecimento de dúvidas. A plataforma inclui o AI Act Explorer, que facilita a navegação pelos artigos, anexos e considerandos do regulamento, e o Compliance Checker, desenvolvido para apoiar a análise das exigências aplicáveis a sistemas de IA e modelos de inteligência artificial de finalidade geral. Essas ferramentas auxiliam a compreensão do regulamento, mas não substituem a avaliação jurídica, técnica e organizacional do contexto específico de cada sistema.
O AI Act estrutura as obrigações regulatórias a partir de quatro níveis de risco aplicáveis aos sistemas de IA:
O AI Act adota uma abordagem baseada em riscos. São considerados de alto risco determinados sistemas cuja utilização possa produzir impactos relevantes sobre a saúde, a segurança ou os direitos fundamentais das pessoas. Entre os exemplos apresentados pela Comissão Europeia estão sistemas utilizados em:
infraestruturas críticas;
educação e avaliação de estudantes;
recrutamento e gestão de trabalhadores;
concessão de crédito e acesso a serviços essenciais;
identificação biométrica;
aplicação da lei;
migração e controle de fronteiras;
administração da justiça e processos democráticos.
Antes de serem colocados no mercado, esses sistemas estarão sujeitos a obrigações reforçadas, como:
implementação de processos adequados de avaliação e mitigação de riscos;
utilização de conjuntos de dados com padrões de qualidade compatíveis com a finalidade do sistema;
manutenção de registros que permitam rastrear suas operações;
elaboração de documentação técnica detalhada;
fornecimento de informações claras aos responsáveis pela implantação;
adoção de medidas apropriadas de supervisão humana;
garantia de níveis adequados de robustez, cibersegurança e precisão.
Para as organizações, o desafio não consiste apenas em conhecer essas obrigações, mas em convertê-las em controles verificáveis. Isso envolve identificar os sistemas utilizados, classificá-los conforme seu risco, definir responsáveis, documentar decisões, estabelecer supervisão humana e produzir evidências de que os controles funcionam efetivamente.
A ausência dessa estrutura pode gerar lacunas entre o uso real da inteligência artificial e a governança formalmente declarada pela organização.
Sua organização está preparada?
Algumas perguntas ajudam a identificar o nível de maturidade atual:
Existe um inventário atualizado dos sistemas e recursos de IA utilizados?
Os papéis de fornecedor, responsável pela implantação, importador ou distribuidor foram corretamente identificados?
Os sistemas foram classificados segundo sua finalidade e seu nível de risco?
Há documentação técnica, registros, critérios de supervisão humana e procedimentos de gestão de incidentes?
A organização consegue demonstrar, por meio de evidências, que seus controles são executados e monitorados?
Respostas incompletas ou dispersas podem indicar a necessidade de estruturar ou revisar o programa de governança de inteligência artificial.
Como funciona o processo para os fornecedores
De acordo com o fluxo apresentado pela Comissão Europeia, o fornecedor desenvolve o sistema de IA de alto risco e deve submetê-lo à avaliação de conformidade, observando os requisitos do AI Act. Em determinados casos, essa avaliação também poderá envolver um organismo notificado.
Quando aplicável, os sistemas de IA de alto risco abrangidos pelas regras de registro deverão ser inseridos na base de dados da União Europeia.
Caso sejam realizadas alterações substanciais durante seu ciclo de vida, será necessário retornar à etapa de avaliação de conformidade.
Depois da entrada do sistema no mercado:
as autoridades competentes realizam a vigilância de mercado;
os responsáveis pela implantação devem assegurar a supervisão e o monitoramento humanos;
os fornecedores devem manter um sistema de monitoramento pós-comercialização;
fornecedores e responsáveis pela implantação devem comunicar incidentes graves e falhas relevantes.
Fluxo ilustrado pela Comissão Europeia: desenvolvimento do sistema, avaliação de conformidade, registro, declaração de conformidade, marcação CE e monitoramento durante o ciclo de vida.
Portanto, a conformidade não se encerra quando o sistema é colocado no mercado ou começa a ser utilizado. Ela exige monitoramento contínuo, revisão dos riscos, gestão de mudanças, tratamento de incidentes e manutenção das evidências ao longo de todo o ciclo de vida da solução.
Plataforma de apoio à implementação
A Plataforma Única de Informações do AI Act foi estruturada para ajudar os interessados a identificar se estão sujeitos às obrigações do regulamento e quais medidas devem adotar para buscar a conformidade.
Além das ferramentas automatizadas de consulta, o Service Desk permite o envio de perguntas a uma equipe de especialistas que atua em cooperação com o European AI Office.
Esses recursos podem contribuir para a avaliação inicial das obrigações regulatórias, mas não eliminam a necessidade de uma análise jurídica, técnica e de riscos contextualizada, considerando a finalidade do sistema, os dados tratados, os atores envolvidos e seus impactos potenciais.
Impactos para as organizações
A implementação do AI Act exige uma abordagem multidisciplinar. Organizações que desenvolvem, fornecem, importam, distribuem ou utilizam sistemas de IA devem estruturar processos capazes de integrar:
governança de inteligência artificial;
gestão de riscos;
proteção de dados e privacidade;
segurança da informação;
documentação técnica;
supervisão humana;
monitoramento contínuo;
gestão de incidentes;
definição de responsabilidades na cadeia de fornecimento.
Da obrigação regulatória ao controle efetivo
A implementação desses requisitos demanda mais do que a elaboração de uma política isolada. É necessário construir um sistema de governança capaz de relacionar cada obrigação a:
riscos identificados;
controles preventivos e detectivos;
responsáveis pela execução;
evidências de cumprimento;
indicadores de monitoramento;
procedimentos de resposta e melhoria contínua.
Essa estrutura permite que a organização avance de uma abordagem meramente documental para um modelo de governança verificável, auditável e integrado aos processos de negócio.
Organizações sediadas fora da União Europeia também devem avaliar a possível aplicabilidade do AI Act, especialmente quando oferecem sistemas no mercado europeu ou quando os resultados produzidos por esses sistemas são utilizados na União Europeia. Essa análise deve considerar o modelo de operação, os papéis desempenhados e o alcance territorial previsto no regulamento.
Como a BBA pode apoiar
A BBA Consultoria apoia organizações na estruturação e revisão de programas de governança de inteligência artificial, integrando requisitos jurídicos, riscos, privacidade, segurança da informação, controles internos e processos de negócio.
O trabalho pode abranger:
inventário e classificação dos sistemas de IA;
identificação dos atores e responsabilidades;
diagnóstico de maturidade e análise de lacunas;
avaliação de riscos e impactos;
estruturação de políticas, controles e evidências;
definição de supervisão humana;
gestão de fornecedores e da cadeia de IA;
monitoramento, auditoria e gestão de incidentes;
preparação de planos de adequação.
Sua organização já consegue demonstrar quais sistemas de IA utiliza, quais riscos foram avaliados e quais controles estão efetivamente funcionando?
Entre em contato com a BBA Consultoria para realizar um diagnóstico inicial da governança de IA e identificar os controles que precisam ser implementados, aprimorados ou formalizados.
A BBA Consultoria pode apoiar o diagnóstico de maturidade e a construção de um programa de governança de IA integrado à privacidade, à segurança da informação, ao compliance e à gestão de riscos.
Fale com a BBA e avalie o nível de preparação da sua organização.
Deixe um comentário