Níveis de risco do Regulamento EU IA: um guia para profissionais

Como a pirâmide de risco funciona na prática

O Acto é uma lei baseada no risco. Utilizações mais pesadas acarretam deveres mais pesados; práticas proibidas não têm um caminho de conformidade. A visão geral da Comissão é o ponto de entrada oficial mais curto antes de se mergulhar nos artigos (Comissão Europeia — Acto sobre IA). Mantenha o texto do Jornal Oficial aberto quando um slide de um fornecedor conflita com a lei primária (Regulamento (UE) 2024/1689).

As datas mudam. O pacote Digital Omnibus alterou várias datas de aplicação de alto risco após o calendário original se provar inviável para normas e orientações. Trate qualquer tabela de datas — incluindo a nossa — como uma fotografia e verifique uma linha do tempo mantida antes de comprometer o orçamento (cronologia de implementação do Acto sobre IA da UE). "Planejamos para agosto de 2026" não é uma defesa se a data vinculativa for posterior — e também não é um motivo para congelar o trabalho.

Fornecedor versus implementador em uma frase

Os fornecedores colocam o sistema no mercado ou o colocam em serviço sob seu nome; os implementadores o utilizam sob sua autoridade. Muitas pilhas de agentes de empresa misturam ambos os papéis. Classifique o sistema primeiro, em seguida, atribua quem é o proprietário de qual dever. Misturar as duas conversas é como as equipes "concluem" uma lista de verificação que ninguém pode assinar.

Risco inaceitável: proibido de forma absoluta

O Artigo 5 proíbe práticas como a avaliação social por autoridades públicas, certas identificações biométricas em tempo real em espaços acessíveis ao público (com exceções estreitas) e reconhecimento de emoções em locais de trabalho e escolas nos contextos definidos pelo artigo. Estas proibições aplicam-se a partir de 2 de fevereiro de 2025. Não há um caminho de conformidade: se o seu sistema se enquadra aqui, não pode ser colocado no mercado da UE.

Equipes de produtos às vezes inventam um "modo limitado" para uma prática proibida. Isso não cria um caminho legal. Se o propósito pretendido for a prática proibida, pare. Se uma funcionalidade puder ser usada dessa forma como um uso indevido previsível, documente o uso indevido e os controles técnicos ou contratuais que o bloqueiam — e obtenha aconselhamento quando a fronteira for nebulosa.

Checklist — tela de verificação de uso proibido

- Declaração de propósito pretendido revista contra as categorias do Artigo 5 - Lista de usos indevidos previsíveis escrita (não apenas demonstrações de caminho feliz) - Plano de desativação ou desligamento se uma funcionalidade se desviar para o território proibido - Nenhuma linguagem de vendas que implique uma "versão conforme" de uma prática proibida

Alto risco: a carga de documentação e monitorização

Um sistema é considerado de alto risco através de dois caminhos no Artigo 6: é um componente de segurança de um produto abrangido pela lei de harmonização da UE listada no Anexo I, ou o seu propósito pretendido cai sob um dos domínios do Anexo III — incluindo biometria, infraestruturas críticas, educação, emprego, acesso a serviços privados e públicos essenciais (crédito e seguros são frequentemente desencadeadores), aplicação da lei, migração e administração da justiça. As obrigações do capítulo de alto risco para sistemas autónomos do Anexo III agora aplicam-se a partir de 2 de dezembro de 2027, sob as alterações do Digital Omnibus (a data geral original era 2 de agosto de 2026). Os sistemas de alto risco incorporados em produtos do Anexo I aplicam-se a partir de 2 de agosto de 2028. Confirme a linha do tempo antes de imprimir uma apresentação.

Quando é considerado de alto risco, a carga inclui um sistema de gestão de riscos (Art. 9), governança de dados (Art. 10), documentação técnica (Art. 11), registo automático (Art. 12), transparência para os implementadores (Art. 13), supervisão humana (Art. 14) e expectativas de precisão/cibersegurança (Art. 15). O nosso artigo irmão aborda as lacunas de documentação que as equipas mais frequentemente perdem.

Teste do Artigo 6 — como o executamos num workshop

- Escreva o propósito pretendido num parágrafo simples. Proíba os adjetivos de marketing. - Pergunte: é este um componente de segurança de um produto do Anexo I? Se sim, siga o caminho do Anexo I e as interações com a lei setorial do produto. - Caso contrário, percorra os domínios do Anexo III um a um. A triagem de emprego, gestão de trabalhadores, avaliação de crédito e avaliação educacional são os imãs de agentes empresariais. - Registe a decisão, o proprietário e a data. Revise quando o propósito ou a classe de implementador mudar. - Se a resposta for "talvez", trate-o como de alto risco para planeamento até que o conselho diga o contrário. A ambiguidade não é um passe livre para não fazer nada.

Nível | Exemplos típicos | Forma do dever central | Nota do calendário (verifique ao vivo) Inaceitável | Avaliação social por autoridades públicas; usos biométricos/proémotionais proibidos no Art. 5 | Proibição — nenhum caminho de conformidade | A partir de 2 de fevereiro de 2025 Alto risco (Anexo III) | Agentes de contratação, ferramentas de avaliação de crédito, ferramentas de avaliação educacional | Documentos, registo, supervisão, gestão de riscos, caminho de conformidade | A partir de 2 de dezembro de 2027 (Omnibus) Alto risco (Anexo I) | IA como componente de segurança em produtos regulamentados | Mesmo capítulo de alto risco + lei setorial do produto | A partir de 2 de agosto de 2028 (Omnibus) Risco limitado | Muitos chatbots; mídia sintética com deveres de transparência | Divulgue IA/rotule conteúdo sintético (família do Art. 50) | Transparência ainda no trilho de 2026 — verifique novamente a linha do tempo Risco mínimo | Filtros de spam; muitas ferramentas de elaboração interna | Nenhum dever obrigatório da Lei de IA; códigos voluntários apenas | Ainda classifique — não assuma

Risco limitado: obrigações de transparência

Os chatbots, geradores de deepfakes e reconhecimento de emoções fora de contextos de alto risco frequentemente se enquadram aqui. O principal dever é a transparência: os utilizadores devem saber que estão a interagir com IA e o conteúdo sintético deve ser rotulado onde o Acto o exige. Não há avaliação de conformidade para chatbots de risco limitado comuns. As penalidades por falhas de informação e transparência estão num nível inferior às multas por práticas proibidas (o Artigo 99 utiliza níveis; consulte o texto da regulamentação para os tetos exactos).

Não trate "risco limitado" como "ignore o calendário." Várias obrigações de transparência permaneceram no traço de 2026, mesmo quando as datas de alto risco se moveram. As regras de marca d'água e marcação técnica relacionada para sistemas já no mercado têm as suas próprias sub-datas nos cronogramas públicos. Leia a página do cronograma de implementação antes de dizer a um cliente "tudo foi adiado para 2027."

Checklist — honestidade de risco limitado

- Divulgação ao utilizador de que o interlocutor é IA (onde exigido) - Plano de rotulagem de mídia sintética para áudio/vídeo/imagens gerados - Não reivindicação de "certificado de alto risco" para um chatbot de risco limitado - Nota separada se uma funcionalidade de chatbot for alimentada mais tarde por uma decisão do Anexo III

Risco mínimo: essencialmente não regulamentado sob o Acto

Filtros de spam, muitos motores de recomendação e a maioria dos assistentes de redação internos se enquadram aqui. O Acto não impõe obrigações mandatórias, embora existam códigos de conduta voluntários. A maioria dos agentes de IA empresariais que tomam ou influenciam decisões consequenciais não se enquadra neste nível — essa é a lacuna que as equipes subestimam quando apontam para um assistente de redação e concluem que toda a empresa está "fora do âmbito".

Se o seu agente apenas elabora um esboço e um ser humano sempre retipo em outro sistema sem decisão influenciada por IA, você pode estar mais perto do risco mínimo. Se a pontuação, classificação ou recomendação do agente for a decisão de facto, reveja o Anexo III. O propósito e a utilização superam os diagramas de arquitetura.

Penalidades em números simples (verifique ainda no Art. 99)

O Artigo 99 estabelece tetos por gravidade: práticas proibidas até 35 milhões de euros ou 7% do volume anual de negócios global (o que for mais alto); não conformidade de alto risco até 15 milhões de euros ou 3%; certas informações incorretas/falhas de transparência até 7,5 milhões de euros ou 1,5%. Estes são máximos, não faturas automáticas. Ainda assim, são a razão pela qual a classificação é um tópico de nível de conselho administrativo, e não uma tarefa de uma sexta-feira à tarde.

Para o vocabulário de processo fora do estatuto da UE, as equipes às vezes utilizam o Quadro de Gestão de Riscos de IA da NIST. Isso está bem para a linguagem de governança interna (NIST AI RMF). Não altera o seu nível sob o Regulamento (UE) 2024/1689. O contexto de política digital mais amplo da UE também se situa em torno do Acto; as páginas "Europa adaptada à era digital" da Comissão ajudam a colocar as regras de IA ao lado de arquivos digitais vizinhos (Europa adaptada à era digital), mas a classificação em níveis ainda começa a partir dos Artigos 5–6 e dos anexos.

Erros comuns de classificação

- Classificar o modelo em vez do uso. O mesmo modelo de base pode alimentar um filtro de spam e um classificador de contratações. O uso decide o nível. - Pressupor que "somente interno" significa risco mínimo. As ferramentas de emprego internas são um gatilho clássico do Anexo III. - Congelar o calendário em 2 de agosto de 2026 para todas as funções de alto risco. O Omnibus moveu as datas de aplicação de alto risco do Anexo III/Anexo I; as obrigações de transparência não se moveram todas com elas. - Deixar que as vendas escolham o nível. As vendas querem "baixo risco." A engenharia e o jurídico são os donos do mapa. - Omitir uma decisão escrita. Se você não puder mostrar por que não é de alto risco, um revisor pressuporá que você nunca olhou.

Critérios de decisão: o que fazer este trimestre

Se estiver a construir ou a comprar IA com enfrentamento para a UE em 2026:

- Inventaria sistemas que influenciam o emprego, o crédito, a educação ou os serviços essenciais - Execute o teste do Artigo 6 e armazene o resultado escrito - Mantenha o trabalho de proibição de uso e transparência no calendário próximo - Utilize a pista de alto risco de 2027/2028 para construir documentação, registo e supervisão — não espere pela semana antes da data - Aponte todas as afirmações externas para o EUR-Lex ou a página da Comissão, e não para um resumo de podcast

O que isto não é

Este guia não é um aconselhamento jurídico, não é uma avaliação de conformidade e não é uma promessa de que o VendorVet (ou qualquer ferramenta de lista de verificação) garante uma classificação correta ou "nunca perde" um uso de alto risco. Nós não inventamos métricas de cliente ou afirmamos que uma multa será "definitivamente evitada." As datas neste artigo refletem a mudança do Digital Omnibus para aplicações de alto risco, como comumente relatado após a adoção em meados de 2026; sempre verifique contra o Jornal Oficial e um cronograma de implementação mantido antes de vincular um programa de conformidade.

Encerramento

Mapeie o nível primeiro. Em seguida, abra a lista de verificação certa. Práticas proibidas param; sistemas de alto risco recolhem evidências; sistemas de risco limitado dizem a verdade aos utilizadores; sistemas de risco mínimo ainda precisam de um inventário honesto. Quando a carga de documentação começar, leia a lista de verificação da documentação técnica a seguir — é aí que a maioria das equipas descobre as lacunas que a classificação sozinha não consegue resolver.

Referências

- Regulamento (UE) 2024/1689 (EUR-Lex) - Comissão Europeia — Acto AI - Acto AI da UE — Cronograma de Implementação - Quadro de Gestão de Riscos de IA do NIST - Comissão Europeia — Europa adaptada à era digital

Artigos relacionados