Regulação da Inteligência Artificial vai avançar na Europa. O que pode mudar e quais são as multas?

Depois de uma maratona de três dias, há luz verde para um acordo provisório dos legisladores europeus para a primeira regulação da Inteligência Artificial, o AI Act. Os relatores falam em regras claras mas há críticas para a tentativa de regular modelos fundacionais e falta de bloqueio à vigilância massiva.

parlamento europeu / adobe stock

A conferência de imprensa de apresentação dos resultados da negociação do trílogo para aprovação do AI Act (o pacote de regulação de Inteligência Artificial) estava prevista para 5ª feira, dia 7 de dezembro, às 8 horas da manhã de Bruxelas, mas os trabalhos acabaram por se prolongar por mais de 30 horas, numa maratona de três dias que envolveu a Comissão Europeia, Parlamento Europeu e o Conselho. A luz verde para o acordo acabaria por ser alcançada já ao final da noite de dia 8, e comunicada na madrugada do dia 9 de dezembro, com os colegisladores a congratularem-se face ao resultado.

Ainda provisório, o acordo é considerado “uma conquista histórica” e “um marco importante para o futuro” da regulação da Inteligência Artificial, num equilíbrio delicado entre o incentivo à inovação e a preservação dos direitos fundamentais dos cidadãos, como salienta Carme Artigas, secretária de Estado de Espanha para a digitalização e a Inteligência Artificial, em representação do Conselho da UE.

Desde que foi apresentada pela Comissão Europeia em 2021, a proposta de regulação já passou pelo Parlamento e chega agora a uma fase relevante antes da confirmação do texto final, mas também tem sido alvo de críticas de várias organizações e empresas que consideram que pode limitar a inovação, sobretudo nas pequenas e médias empresas. O objetivo geral da União Europeia é garantir que os sistemas de Inteligência Artificial usados no mercado europeu são seguros e respeitam os direitos e valores da UE, ao mesmo tempo que promovem o investimento e inovação.

A negociação trouxe algumas mudanças, com acordo de salvaguardas para IA de propósito geral, limitação à utilização de sistemas de identificação biométrica por autoridades policiais e bloqueio à utilização de “posição” nas redes sociais e na IA para explorar ou manipular vulnerabilidades dos utilizadores. O direito de queixa e de receber explicações relevantes e a aplicação de multas que podem variar entre os 35 milhões de euros ou 7% da faturação global ou 7,5 milhões e 1,5% da faturação ficaram também definidas no acordo alcançado.

O comunicado do Conselho da UE sublinha ainda as novas regras impostas a modelos IA gerais com elevado impacto e considerados de risco elevado, um sistema renovado de governação com mais poderes aos reguladores europeus e uma lista mais extensa de proibições, incluindo o uso de sistemas de identificação biométrica remotos. Fala ainda de análises de impacto em sistema de IA de risco elevado antes da sua aplicação.

O texto vai agora ser trabalhado na especialidade, mas a regulação deverá ser aplicada no prazo de dois anos, com algumas exceções em pontos provisório, sendo o texto submetido ainda aos representantes nacionais no Coreper quando estiver concluído. Antes da publicação haverá ainda lugar à confirmação final dos colegisladores.

Para além das reações oficiais da UE, já são conhecidas algumas críticas de organizações como a Amnistia Internacional e a DigitaEurope, que já se opunham a várias medidas e mostram agora preocupação em relação a alguns dos aspectos do acordo.

A Amnistia Internacional diz que as instituições europeias deram luz verde a um sistema de vigilância distópico nos 27 Estados membros, com um precedente devastador.

“Não garantindo um bloqueio total ao reconhecimento facial é falhar uma oportunidade de parar e prevenir um dano colossal nos direitos humanos, espaço cívico e na aplicação da lei que já estão ameaçados na União Europeia”, afirma Mher Hakobyan, conselheiro para a área de Inteligência Artificial.

Em comunicado,  a organização mostra o desapontamento pelo facto do Parlamento Europeu ter recuado face a uma posição inicial para um bloqueio incondicional ao reconhecimento facial, que pode ter impacto na privacidade e proteção dos direitos humanos.

A DigitalEurope, uma associação de empresas de tecnologia, também fez saber que mantém preocupações quanto ao acordo alcançado.

“Temos um acordo, mas a que custo? Apoiámos totalmente uma abordagem baseada no risco, baseada na utilização da IA, e não na tecnologia em si, mas a tentativa de última hora de regular os modelos de base virou esta situação de cabeça para baixo”, avisa Cecilia Bonefeld-Dahl, diretora geral da DigitalEurope.

Para a DigitalEurope, os novos requisitos, adicionados a outra regulamentação como a Data Act, vão exigir muitos recurso de empresas para se manterem em linha com as regras, e esses recursos vão ser gastos com advogados e não com engenheiros. A preocupação é sobretudo com as PME de software que não estão adaptadas à legislação dos produtos e que vão navegar por territórios desconhecidos com o AI Act.

“A Europa não pode perder a corrida da IA”, lembra a  DigitalEurope, acrescentando que é preciso pensar como compensar as empresas deste peso adicional para que tenham capacidade de concorrer.

Mesmo assim a associação defende que a regulamentação pode ser uma força positiva e impulsionar a inovação na Europa, e avisa que as próximas semanas serão essenciais para que se encontrem soluções para os pontos pendentes e clarificação de orientações políticas. “Apelamos às instituições da UE para que trabalhem em estreita colaboração com a indústria para garantir que as empresas, especialmente as mais pequenas, tenham o apoio de que necessitam para cumprir os novos requisitos”, afirma a associação em comunicado.

O que está em causa no acordo provisório para a regulação de IA?  

Para os colegisladores da União Europeia, a lógica de aplicação do pacote de regulação AI Act tem uma abordagem baseada no risco, definindo regras mais rigorosas para sistemas que possam causar mais danos à sociedade.

É a primeira abordagem legislativa de maior abrangência a nível mundial e por isso é pioneira na definição de regras, sendo esperado que se torne um enquadramento adotado noutras geografias, à semelhança do que aconteceu com o RGPD (Regulamento Geral de Proteção de Dados).

Veja algumas das perguntas e respostas relacionadas com a regulamentação e com o acordo agora alcançado.

Quais são os principais elementos do acordo provisório?

Em comparação com a proposta inicial da Comissão, os principais novos elementos do acordo provisório podem ser resumidos da seguinte forma:

• regras sobre modelos de IA de uso geral de alto impacto que podem causar risco sistêmico no futuro, bem como sobre sistemas de IA de alto risco
• um sistema de governação revisto com alguns poderes de aplicação a nível da UE
• extensão da lista de proibições, mas com a possibilidade de utilizar a identificação biométrica remota pelas autoridades responsáveis pela aplicação da lei em espaços públicos, sujeita a salvaguardas
• uma melhor proteção dos direitos através da obrigação de os implantadores de sistemas de IA de alto risco realizarem uma avaliação de impacto nos direitos fundamentais antes de colocarem um sistema de IA em utilização.

O que é considerado como Inteligência Artificial e quais os sistemas de alto risco?

O acordo para o AI Act segue a definição de Inteligência Artificial adotada pela OCDE de forma a garantir que a definição de um sistema de IA inclui critérios claros para o distinguir dos sistemas de software mais simples.

Fica claro que o regulamento não se aplica a áreas fora do âmbito do direito da UE e não deve, em qualquer caso, afetar as competências dos Estados-Membros em matéria de segurança nacional ou de qualquer entidade encarregada de tarefas nesta área

A regulamentação deixa de fora sistemas utilizados exclusivamente para fins militares ou de defesa e sistemas de IA utilizados exclusivamente para fins de investigação e inovação, assim como a utilização para fins não profissionais.

Em relação a sistemas de alto risco e práticas proibidas não há ainda uma definição clara, referindo o acordo que “prevê uma camada horizontal de proteção, incluindo uma classificação de alto risco, para garantir que os sistemas de IA que não sejam suscetíveis de causar violações graves dos direitos fundamentais ou outros riscos significativos não sejam capturados”.

Refere-se assim que os sistemas de IA que apresentem apenas um risco limitado estariam sujeitos a obrigações de transparência muito leves, por exemplo, divulgar que o conteúdo foi gerado por IA para que os utilizadores possam tomar decisões informadas sobre a sua utilização futura. Já os sistemas de alto risco podem ser autorizados, mas com obrigações e requisitos específicos para serem usados na UE, nomeadamente na qualidade dos dados ou na documentação técnica.

“Uma vez que os sistemas de IA são desenvolvidos e distribuídos através de cadeias de valor complexas, o acordo de compromisso inclui alterações que esclarecem a atribuição de responsabilidades e funções aos vários intervenientes nessas cadeias, em particular fornecedores e utilizadores de sistemas de IA”, explica o documento.

Se o risco for considerado inaceitável esses sistemas vão ser banidos da União Europeia, o que abrange a manipulação cognitivo-comportamental, a utilização indiscriminada de imagens faciais da Internet ou de imagens de videovigilância, o reconhecimento de emoções no local de trabalho e em instituições educativas, a pontuação social, a categorização biométrica para deduzir dados sensíveis, como orientação sexual ou crenças religiosas e alguns casos de policiamento preditivo para indivíduos.

Existem exceções à aplicação da lei?

Neste acordo foram introduzidas alterações à proposta inicial da Comissão, nomeadamente para a utilização de sistemas de IA na aplicação da lei.

“Sujeitas a salvaguardas adequadas, estas alterações pretendem refletir a necessidade de respeitar a confidencialidade dos dados operacionais sensíveis em relação às suas atividades”. Como exemplo é referido um procedimento de emergência que permite às autoridades responsáveis pela aplicação da lei implementarem uma ferramenta de IA de alto risco que não tenha passado no procedimento de avaliação da conformidade em caso de urgência. Mas aqui também existirá um mecanismo específico para garantir que os direitos fundamentais serão suficientemente protegidos contra quaisquer potenciais utilizações indevidas dos sistemas de IA.

O que foi definido para sistemas de IA de uso geral e modelos básicos?

Esta é uma das áreas que tem sido criticada. No acordo foram adicionadas novas disposições para ter em conta situações em que os sistemas de IA podem ser utilizados para muitos fins diferentes (IA de uso geral) e em que a tecnologia de IA de uso geral é depois integrada noutro sistema de alto risco.

Para os modelos básicos, ou fundacionais, como os grandes modelos que podem ter tarefas alargadas, nomeadamente a geração de vídeo, texto, imagens e geração de código, foi definido que têm de cumprir obrigações específicas de transparência antes de serem colocados no mercado.

“Foi introduzido um regime mais rigoroso para modelos de fundação de “alto impacto”. São modelos básicos treinados com grande quantidade de dados e com complexidade, capacidades e desempenho avançados bem acima da média, que podem disseminar riscos sistêmicos ao longo da cadeia de valor”, refere o Conselho.

Mais poderes para a UE modelo de governação

Vai ser criado um Gabinete de AI na Comissão Europeia que fica com a responsabilidade de supervisionar os modelos de IA avançados e “contribuir para promover normas e práticas de teste e aplicar as regras comuns em todos os Estados Membros”. O Gabinete vai ter aconselhamento de um painel de especialistas independentes e representantes dos Estados Membros.

Será ainda criado um fórum consultivo para as partes interessadas, como representantes da indústria, PME, empresas em fase de arranque, sociedade civil e universidades.

Quais são as multas previstas?

Tal como acontece com outros quadros regulatórios, as multas foram definidas como uma percentagem do volume de negócios anual global da empresa, ou um valor determinado, o que for maior. Há três escalões, de 35 milhões de euros ou 7% para violações das aplicações de IA proibidas, 15 milhões de euros ou 3% para violações das obrigações da lei de IA e 7,5 milhões de euros ou 1,5% para o fornecimento de informações incorretas.

O acordo provisório prevê limites para as multas administrativas aplicáveis às PME e às empresas em fase de arranque em caso de infração.

O que foi feito para assegurar a inovação?

Para garantir que há espaço para continuar a inovar na área da Inteligência Artificial o acordo fez várias alterações em relação à proposta inicial da Comissão Europeia, em especial na possibilidade dos ambientes de teste, as sandboxes, poderem ter acesso a experimentação em condições no mundo real, mas com proteções especificas. Foi criada uma lista a que as PME podem aceder com situações identificadas.

Quais os próximos passos e quando entra em vigor?

O texto final vai ser ainda trabalhado em comissões técnicas mas o objetivo é que entre em vigor daqui a dois anos, no final de 2025.