A classificação de risco do AI Act enquadra cada sistema de IA numa de quatro camadas: prática proibida, alto risco, risco limitado (obrigações de transparência) ou risco mínimo. A camada, somada ao papel da organização (fornecedor, responsável pela implantação, importador ou distribuidor), define as obrigações. Esta ferramenta aplica as regras dos artigos 5, 6 e 50 e dos anexos I e III às suas respostas e mostra o resultado indicativo.
Como usar
- Dê nome ao sistema e diga se é um sistema de IA ou um modelo de uso geral.
- Escolha o papel da sua organização e a ligação do sistema com a União Europeia.
- Marque práticas proibidas, áreas de alto risco e condições da exceção do artigo 6(3), se houver.
- Marque os gatilhos de transparência e leia a camada, o papel e as obrigações indicativas.
- Exporte em DOCX ou PDF e guarde a classificação junto do inventário de IA.
O que cada campo pede
| Campo | O que preencher |
|---|---|
| Nome do sistema ou caso de uso | Como o sistema é conhecido na organização. |
| É um sistema de IA? | Sistema baseado em máquina que, a partir das entradas, infere como gerar previsões, conteúdos, recomendações ou decisões. |
| É um modelo de IA de uso geral que você coloca no mercado? | Modelo capaz de executar muitas tarefas diferentes e integrável em outros sistemas. |
| Qual é o papel da sua organização? | O AI Act distribui as obrigações conforme o papel na cadeia. |
| É órgão público ou presta serviço público? | Muda a obrigação de avaliar o impacto sobre direitos fundamentais. |
| Ligação com a União Europeia | Marque todas as que se aplicam. Sem ligação com a UE, o AI Act não se aplica. |
| Exclusões | Marque só se o uso for exclusivamente um destes. |
| O sistema faz alguma destas práticas? | Práticas proibidas pelo artigo 5. Deixe vazio se nenhuma se aplica. |
| É componente de segurança de um produto regulado (anexo I)? | Ex.: máquinas, dispositivos médicos, brinquedos, quando exigem avaliação por terceiro. |
| Áreas de alto risco (anexo III) | Marque as áreas em que o sistema é usado. |
| Condições da exceção do artigo 6(3) | Só para sistemas do anexo III que não influenciam de forma relevante o resultado da decisão. |
| O sistema faz perfilamento de pessoas físicas? | Com perfilamento, a exceção não pode ser usada. |
| Gatilhos de transparência (artigo 50) | Marque o que o sistema faz. |
Exemplo
Um banco fictício, o Banco Aurora, usa na UE um modelo de pontuação de crédito comprado de um fornecedor, e o modelo faz perfilamento dos clientes. A ferramenta marca a área de serviços essenciais do anexo III e, como há perfilamento, a exceção não se aplica: o resultado é alto risco, com o banco no papel de responsável pela implantação. Saem nove obrigações indicativas, entre elas supervisão humana com pessoas capacitadas, conservação dos registros, avaliação de impacto sobre direitos fundamentais (FRIA), DPIA e alfabetização em IA.
Quando usar
- Ao registrar um novo caso de uso de IA no inventário da organização.
- Antes de comprar ou contratar um sistema de IA de um fornecedor.
- Quando um sistema existente muda de finalidade, de público ou de mercado.
- Para preparar a conversa com o jurídico sobre o que o AI Act exige de cada sistema.
Perguntas frequentes
Quais são as camadas de risco do AI Act?
São quatro: práticas proibidas (artigo 5), sistemas de alto risco (artigo 6 e anexos I e III), sistemas com obrigações de transparência (artigo 50) e risco mínimo. Os modelos de IA de uso geral têm regras próprias, que se somam às do sistema.
Qual a diferença entre fornecedor e responsável pela implantação?
O fornecedor desenvolve o sistema e o coloca no mercado ou em serviço com o próprio nome. O responsável pela implantação usa o sistema sob a sua autoridade, num contexto profissional. Quem põe a própria marca num sistema de alto risco ou o modifica substancialmente passa a ser tratado como fornecedor.
Um sistema do anexo III é sempre de alto risco?
Não. O artigo 6(3) prevê uma exceção para sistemas que não influenciam de forma relevante a decisão, por exemplo quando fazem só uma tarefa processual restrita ou preparatória. A exceção nunca vale quando o sistema faz perfilamento de pessoas físicas, e precisa ser documentada.
Quando as obrigações começam a valer?
O AI Act se aplica em fases, e os prazos foram alterados depois da publicação. Por isso a ferramenta não mostra datas: confira no texto oficial e nas comunicações da Comissão Europeia a data em vigor para cada obrigação antes de planejar.
O resultado é um parecer jurídico?
Não. É uma classificação indicativa, feita a partir das suas respostas, para organizar a análise. Casos de fronteira, como a definição de sistema de IA ou a exceção do anexo III, precisam de validação por assessoria qualificada.
Que certificação da DPCert cobre o AI Act?
A RAIF (Responsible AI Foundation), de entrada, cobre os princípios e marcos de referência, incluindo as camadas de risco do AI Act. A RAIP (Responsible AI Practitioner) aprofunda o panorama regulatório e a avaliação de risco e de impacto.