Os sistemas de IA de alto risco são o foco do Regulamento Europeu de IA ( Regulamento (UE) 2024/1689 ), geralmente conhecido como Lei da IA, que introduz uma estrutura baseada no risco para o desenvolvimento, fornecimento e utilização de sistemas de inteligência artificial (IA). Quanto maior o risco para a saúde, a segurança e os direitos fundamentais, maiores serão as obrigações.
Para as organizações, a conformidade não começa com a elaboração de documentação técnica, mas sim com a classificação correta. Primeiro, determine quais sistemas de IA são desenvolvidos, adquiridos ou utilizados dentro da organização. Em seguida, avalie se um sistema é proibido , de alto risco, sujeito a obrigações de transparência ou fora de quaisquer obrigações específicas.
Este artigo define quando um sistema de IA pode ser considerado de alto risco, quais obrigações se aplicam a fornecedores e implementadores e quais medidas as organizações podem tomar agora. Também aborda o cronograma atual, incluindo as mudanças decorrentes do processo Digital Omnibus. A data de referência para este artigo é 25 de julho de 2026.
Quando um sistema de IA apresenta alto risco?
A avaliação de sistemas de IA de alto risco é feita principalmente de acordo com o Artigo 6 e os Anexos I e III da Lei de IA. Existem duas vias.
A primeira via diz respeito aos sistemas de IA que fazem parte de produtos abrangidos pela legislação europeia de produtos, enumerados no Anexo I, e que exigem avaliação de conformidade por terceiros. Pense em certos dispositivos médicos, máquinas, elevadores e brinquedos. Para esses sistemas, a Lei de IA baseia-se no procedimento de avaliação de conformidade já existente.
A segunda via diz respeito aos sistemas de IA utilizados nos domínios enumerados no Anexo III: biometria, infraestruturas críticas, educação e formação profissional, emprego e gestão da força de trabalho, acesso a serviços essenciais públicos e privados, aplicação da lei, migração, asilo e controlo de fronteiras, e administração da justiça e dos processos democráticos. Nem toda a utilização num desses domínios resulta automaticamente na classificação como sistema de IA de alto risco: a função específica do sistema e as condições do Artigo 6.º devem também ser avaliadas.
A exceção prevista no artigo 6.º, n.º 3.
Um sistema que se enquadre em um domínio do Anexo III não é automaticamente contabilizado entre os sistemas de IA de alto risco: essa classificação é excluída quando o sistema não representa um risco significativo para a saúde, segurança ou direitos fundamentais das pessoas e não influencia materialmente o resultado da tomada de decisões. Isso pode ocorrer quando o sistema executa apenas uma tarefa processual específica, simplesmente aprimora uma atividade já realizada por um humano, apenas sinaliza desvios em relação a uma decisão humana anterior sem substituir essa avaliação, ou executa unicamente uma tarefa preparatória.
A utilização desta exceção deve ser cuidadosamente fundamentada e documentada. A organização regista não só a conclusão, mas também os factos e a avaliação em que essa conclusão se baseia. Um prestador que considere que um sistema do Anexo III não pertence à categoria de sistemas de IA de alto risco deve documentar essa avaliação antes de o sistema ser colocado no mercado ou em funcionamento, estando ainda sujeito à obrigação de registo prevista no artigo 49.º, n.º 2.
Em um ponto, o Regulamento é absoluto. O artigo 6.º, n.º 3, prevê que um sistema de IA referido no Anexo III é sempre considerado um sistema de IA de alto risco quando realiza a definição de perfis de pessoas singulares. A exceção não pode ser invocada nesse caso.
Qual é o papel da sua organização?
A Lei de IA distingue várias funções na cadeia. Duas delas são importantes para a maioria das organizações. Uma entidade que desenvolve um sistema de IA ou o coloca no mercado sob seu próprio nome ou marca registrada é considerada um fornecedor. Uma entidade que utiliza um sistema de IA no curso de seus próprios negócios, sem tê-lo desenvolvido, geralmente é considerada um implementador.
Essa atribuição de funções não é estática. Uma organização que modifica substancialmente um sistema adquirido, o fornece a terceiros sob seu próprio nome ou marca registrada, ou altera sua finalidade original, ainda pode ser considerada uma fornecedora e, portanto, sujeita a um conjunto mais rigoroso de obrigações. Defina para cada sistema qual função você desempenha e registre essa avaliação.
As principais obrigações
Os fornecedores de sistemas de IA de alto risco estão sujeitos a obrigações, incluindo as previstas nos artigos 8 a 17, 43 e 47 a 49:
- um sistema de gestão de riscos que abrange todo o ciclo de vida
- Governança de dados, incluindo a detecção e correção de vieses nos dados utilizados, incluindo dados de treinamento, validação e teste.
- documentação técnica de acordo com o Anexo IV e registro de eventos
- Instruções claras de uso para implementadores
- um projeto que permite uma supervisão humana eficaz
- requisitos de precisão, robustez e segurança cibernética
- Um sistema de gestão da qualidade, uma avaliação da conformidade, uma declaração de conformidade da UE, a marcação CE e o registo na base de dados da UE.
Para sistemas de IA de alto risco utilizados para identificação biométrica remota, conforme mencionado no Anexo III, ponto 1(a), o Artigo 14(5) impõe um requisito adicional de supervisão humana: nenhuma ação ou decisão pode ser tomada com base na identificação, a menos que esta tenha sido verificada e confirmada separadamente por pelo menos duas pessoas singulares com a competência, formação e autoridade necessárias. Este princípio é conhecido como princípio dos quatro olhos.
Os responsáveis pela implementação estão sujeitos às obrigações mais leves, mas não menos importantes, dos Artigos 26 e 27: utilização de acordo com as instruções de uso, supervisão humana competente, monitoramento da operação do sistema, comunicação de riscos e incidentes graves e retenção dos registros por pelo menos seis meses. Os funcionários que trabalharão com o sistema e as pessoas a quem ele for aplicado devem ser informados com antecedência.
Determinados responsáveis pela implementação de sistemas também devem realizar uma avaliação de impacto sobre os direitos fundamentais, a Avaliação de Impacto sobre os Direitos Fundamentais prevista no Artigo 27. Isso se aplica, em qualquer caso, a entidades regidas pelo direito público, a prestadores privados de serviços públicos e a responsáveis pela implementação de sistemas de avaliação de crédito ou de avaliação de riscos de seguros de vida e saúde.
Cronograma e situação atual
A Lei de Inteligência Artificial entrou em vigor em 1 de agosto de 2024 e será aplicada em fases. Na prática, é importante distinguir entre obrigações já aplicáveis, obrigações com data de aplicação futura e alterações anunciadas cuja entrada em vigor formal ainda não foi concluída.
Práticas proibidas (Artigo 5): Aplicável desde 2 de fevereiro de 2025
Alfabetização em IA (Artigo 4): Aplicável a partir de 2 de fevereiro de 2025
Modelos de IA de propósito geral: Aplicáveis a partir de 2 de agosto de 2025
Obrigações de transparência (Artigo 50): Aplicáveis a partir de 2 de agosto de 2026; não adiadas.
Alto risco via Anexo III: Formalmente ainda em vigor até 2 de agosto de 2026; após a entrada em vigor do Acordo Omnibus, o mais tardar até 2 de dezembro de 2027.
Alto risco via Anexo I: Formalmente ainda em vigor até 2 de agosto de 2027; assim que a Lei Omnibus entrar em vigor, o mais tardar até 2 de agosto de 2028.
Em 19 de novembro de 2025, a Comissão Europeia publicou o pacote Digital Omnibus, propondo o adiamento da aplicação das obrigações relativas aos sistemas de IA de alto risco. Um acordo político provisório foi alcançado em 7 de maio de 2026. O Parlamento Europeu deu o seu aval em 16 de junho de 2026 e o Conselho deu a sua aprovação final em 29 de junho de 2026.
Na data de referência deste artigo, a publicação no Jornal Oficial da União Europeia ainda não havia sido concluída. A alteração entra em vigor no terceiro dia subsequente à publicação. Até lá, o cronograma original da Lei de Informática Avançada permanece em vigor, com 2 de agosto de 2026 como data de aplicação das obrigações de alto risco previstas no Anexo III. A publicação antes dessa data é amplamente esperada, mas ainda não está confirmada.
O adiamento, além disso, está estruturado de forma condicional. A aplicação das obrigações para sistemas de IA de alto risco está condicionada a uma decisão da Comissão que estabeleça a disponibilidade das normas harmonizadas e dos instrumentos de apoio necessários, seguida de um período de transição. As datas de 2 de dezembro de 2027 e 2 de agosto de 2028 funcionam como datas de salvaguarda, e não como um simples adiamento.
Dois pontos merecem atenção separada. Primeiro, as obrigações de transparência do Artigo 50 e a obrigação de alfabetização em IA do Artigo 4 não foram adiadas: elas permanecem em seus prazos originais. Segundo, o pacote adiciona uma nova proibição ao Artigo 5, direcionada a aplicações de IA que geram imagens íntimas sem consentimento e a material de abuso sexual infantil gerado por IA.
Para as organizações, isso significa que o planejamento com base em dezembro de 2027 é sensato, mas que a manutenção de registros deve, por ora, ser organizada como se agosto de 2026 ainda fosse a data vigente, até que o Diário Oficial diga o contrário.
Supervisão e penalidades
Nos Países Baixos, até a data de referência deste artigo, ainda não existe legislação de implementação para a Lei de Informática. Espera-se que a Autoridade Holandesa para a Infraestrutura Digital e a Autoridade Holandesa para a Proteção de Dados assumam um papel central de coordenação, cabendo aos supervisores setoriais a responsabilidade pelas suas respectivas áreas. A atribuição precisa de poderes e a sua base legal, contudo, deverão ser definidas com base na legislação de implementação holandesa final.
O artigo 99 da Lei de IA prevê diversas categorias de penalidades máximas. O nível depende da natureza da infração e, quando relevante, do volume de negócios anual mundial da empresa. A penalidade máxima mais elevada aplica-se à infração das práticas proibidas no artigo 5.º; uma penalidade máxima inferior aplica-se à infração das outras obrigações, incluindo as relativas aos fornecedores e implementadores de sistemas de IA de alto risco; e a penalidade mais baixa aplica-se ao fornecimento de informações incorretas, incompletas ou enganosas às autoridades. Um regime mais favorável aplica-se às pequenas e médias empresas (PME), incluindo as startups. A penalidade efetiva é determinada tendo em conta as regras aplicáveis em matéria de penalidades e as circunstâncias do caso.
Roteiro prático
- Faça um inventário de todos os sistemas de IA que sua organização desenvolve, compra ou utiliza.
- Defina para cada sistema qual função você desempenha: provedor ou implementador.
- Determine a categoria de risco para cada sistema e documente essa avaliação, incluindo qualquer recurso à exceção prevista no artigo 6.º (3).
- Estabeleça uma governança de IA e nomeie um responsável.
- Garantir o conhecimento de IA entre os funcionários que trabalham com esses sistemas; essa obrigação já existe.
- Preparar as medidas de transparência previstas no artigo 50.º, tendo em vista o dia 2 de agosto de 2026.
- Comece a documentação técnica e, quando necessário, a avaliação de impacto sobre os direitos fundamentais com a devida antecedência.
- Analisar os contratos com fornecedores no que diz respeito à atribuição de funções, fornecimento de informações e direitos de auditoria.
- Acompanhe a publicação do pacote Omnibus no Diário Oficial e ajuste seu planejamento de acordo.
Conclusão
A Lei de IA afeta fundamentalmente a forma como as organizações desenvolvem, adquirem e utilizam IA. O adiamento anunciado das obrigações relativas a sistemas de alto risco proporciona mais tempo, mas ainda não é lei aplicável, e as obrigações que já se aplicam ou entram em vigor em 2 de agosto de 2026 não são afetadas por ela. Uma abordagem prudente é, portanto, planear tendo em conta as novas datas, mantendo-se preparado para as antigas. Para uma visão geral mais abrangente do regulamento, consulte o nosso Guia Completo da Lei de IA da UE , que complementa o foco deste artigo nos sistemas de IA de alto risco.
Law & More Ajudamos organizações a inventariar e classificar seus sistemas de IA, determinar seu papel como fornecedor ou implementador, revisar e elaborar contratos com fornecedores de IA e estabelecer governança de IA. Gostaria de saber quais obrigações se aplicam atualmente à sua organização e quais etapas devem ser priorizadas? Entre em contato conosco para uma conversa sem compromisso.
Perguntas frequentes
Abaixo, respondemos às perguntas mais frequentes sobre este assunto.
O que é a Lei de Inteligência Artificial?
O Regulamento Europeu sobre Inteligência Artificial (Regulamento (UE) 2024/1689) entrou em vigor em 1 de agosto de 2024 e aplica-se gradualmente, com obrigações que se tornam mais rigorosas à medida que o risco representado por um sistema de IA aumenta.
Quando um sistema de IA apresenta alto risco?
Por duas vias: como parte de um produto abrangido pela legislação de produtos enumerada no Anexo I, ou através da utilização num dos domínios enumerados no Anexo III. Neste último caso, o domínio por si só não é decisivo; a função específica e as condições do artigo 6.º também contam.
Um sistema do Anexo III pode, ainda assim, ficar fora da categoria de alto risco?
Sim, quando não representar risco significativo e não influenciar materialmente a tomada de decisões, por exemplo, quando executar uma tarefa meramente processual ou preparatória. Essa avaliação deve ser documentada. Quando o sistema realizar a criação de perfis de pessoas físicas, a exceção não se aplica.
Sou um provedor ou um implementador?
Você é um fornecedor se desenvolver o sistema ou o colocar no mercado sob seu próprio nome ou marca registrada, e geralmente um implementador se usar um sistema adquirido. Se você modificar substancialmente um sistema adquirido ou fornecê-lo a terceiros sob seu próprio nome, ainda poderá ser considerado um fornecedor.
Quais são as obrigações aplicáveis aos prestadores de serviços?
Entre outros, gestão de riscos, governança de dados, documentação técnica, registro de logs, instruções de uso, supervisão humana, requisitos de precisão e segurança cibernética, um sistema de gestão da qualidade, uma avaliação de conformidade, marcação CE e registro no banco de dados da UE.
Quais são as obrigações aplicáveis aos responsáveis pela implantação?
O uso deve estar em conformidade com as instruções, com supervisão humana competente, monitoramento, notificação de riscos e incidentes graves, e retenção de registros por pelo menos seis meses. Os funcionários envolvidos e as pessoas a quem o sistema se destina devem ser informados com antecedência.
Quando deve ser realizada uma avaliação de impacto sobre os direitos fundamentais?
O artigo 27 exige isso, entre outros, de órgãos regidos pelo direito público, prestadores privados de serviços públicos e implementadores que utilizam sistemas de avaliação de crédito ou de avaliação de riscos de seguros de vida e saúde.
As obrigações de alto risco foram adiadas?
Uma alteração aprovada adia a aplicação, no máximo, para 2 de dezembro de 2027 para o Anexo III e para 2 de agosto de 2028 para o Anexo I. Considerando que, na data de referência deste artigo, essa alteração ainda não foi publicada no Jornal Oficial, a data original de 2 de agosto de 2026 continua formalmente em vigor.
O que já se aplica hoje?
As práticas proibidas do Artigo 5 e a obrigação de alfabetização em IA entraram em vigor em 2 de fevereiro de 2025, assim como as regras para modelos de IA de uso geral, em 2 de agosto de 2025. As obrigações de transparência do Artigo 50 entraram em vigor em 2 de agosto de 2026 e não foram adiadas.
Quem supervisiona a Lei de Inteligência Artificial na Holanda?
Ainda falta legislação de implementação. Espera-se que a Autoridade Holandesa para Infraestrutura Digital e a Autoridade Holandesa para a Proteção de Dados assumam um papel central de coordenação, juntamente com os supervisores setoriais. A atribuição final de poderes decorrerá da legislação de implementação holandesa.
O que minha organização deve fazer agora?
Comece fazendo um inventário de todos os sistemas de IA que você desenvolve, compra ou utiliza. Registre para cada sistema qual a sua função, a categoria de risco aplicável e as obrigações decorrentes. Além disso, estabeleça uma governança de IA, assegure o conhecimento sobre IA e revise os contratos com fornecedores em relação à alocação de funções, fornecimento de informações e direitos de auditoria.
