Por Rui Duro (*)

A Lei da Inteligência Artificial (IA) da UE, introduzida em 2021, representou um marco significativo, especificamente em resposta ao cenário em rápida evolução das tecnologias de IA e IoT. A Lei da IA foi motivada pela necessidade de abordar desafios e riscos complexos associados a estas tecnologias, incluindo preocupações com a privacidade, considerações éticas e potencial utilização indevida. Foi concebida como um passo necessário para garantir que o desenvolvimento da IA esteja alinhado com os direitos fundamentais e a segurança pública, especialmente em setores críticos como os cuidados de saúde, as finanças e as infraestruturas.

Nos últimos meses, a Lei da IA da UE foi objeto de algumas atualizações significativas. Por exemplo, em dezembro de 2023, a lei começou a classificar os sistemas de IA com base nos riscos que representam e a estabelecer diferentes níveis de obrigações para fornecedores e utilizadores. Inclui agora disposições para sistemas de IA inaceitáveis e de alto risco, abordando questões como a manipulação comportamental cognitiva e a pontuação social, com regulamentos específicos para IA generativa como o ChatGPT. Embora a lei seja um longo caminho para regular o desenvolvimento da IA, a questão é saber se abrange adequadamente a aplicação destas plataformas, mais especificamente em contextos industriais.

O que significa a Lei da IA para a segurança da IoT

Avaliar a eficácia do EU AI Act na regulamentação da IoT para a segurança em serviços críticos requer uma compreensão das suas disposições e implicações. A importância dada pela lei à categorização do risco significa que os dispositivos IoT utilizados em setores críticos, como os cuidados de saúde, as finanças e as infraestruturas que frequentemente se enquadram na categoria de "alto risco", estão sujeitos a um exame mais rigoroso e a requisitos regulamentares. Estes incluem estratégias abrangentes de gestão de riscos, práticas rigorosas de governação de dados e medidas robustas de cibersegurança. Esta atenção aos sistemas de IA de alto risco destina-se a garantir que os dispositivos e aplicações IoT não comprometem a segurança dos utilizadores nem violam os direitos fundamentais. Além disso, a lei obriga a uma documentação exaustiva e a uma supervisão humana destes sistemas, reforçando ainda mais a rede de segurança contra a potencial utilização indevida ou o mau funcionamento da IA nos dispositivos IoT.

No entanto, a questão de saber se a Lei da IA vai suficientemente longe na abordagem de todas as considerações de segurança para serviços críticos continua a ser objeto de debate. Embora forneça um quadro fundamental para regulamentar a IA na IoT, a natureza em rápida evolução destas tecnologias pode colocar desafios que ultrapassam o âmbito atual da legislação. Por exemplo, o desenvolvimento de novas tecnologias e aplicações de IA na IoT pode ultrapassar os mecanismos regulamentares estabelecidos pela lei, conduzindo a potenciais lacunas na cobertura de segurança. Além disso, o aspeto da autoavaliação para categorizar e certificar os sistemas de IA poderia criar inconsistências no cumprimento e na execução, levantando preocupações sobre a uniformidade e o rigor da aplicação dos regulamentos. Isto realça a necessidade de monitorização e adaptação contínuas do quadro regulamentar para acompanhar os avanços tecnológicos e as ameaças de segurança emergentes no domínio da IoT. Simplificando, as próprias empresas ainda se encontram no território do "proceder por sua conta e risco". Para onde forem, a legislação segui-las-á.

Medir o impacto da lei nas indústrias

A eficácia da lei varia naturalmente de aplicação para aplicação. Por exemplo, no setor da saúde, onde a IA e a IoT convergem para fornecer ferramentas de diagnóstico avançadas, sistemas de monitorização de doentes e cirurgias robóticas, os requisitos rigorosos da lei garantem um nível mais elevado de segurança dos dados e de segurança operacional. Estes regulamentos são cruciais num setor em que o que está em jogo é a privacidade dos pacientes e as decisões médicas que salvam vidas. A ênfase da lei na documentação detalhada, na gestão de riscos e na supervisão humana alinha-se bem com a necessidade do setor da saúde de precisão, fiabilidade e considerações éticas nas aplicações de IA.

No setor financeiro, que depende cada vez mais da IA para serviços como a deteção de fraudes, a negociação algorítmica e os serviços personalizados ao cliente, a Lei da IA fornece um quadro para abordar os riscos inerentes à utilização indevida de dados e às vulnerabilidades do sistema. A exigência de avaliações de impacto sobre os direitos fundamentais ao abrigo da lei é particularmente relevante neste domínio, tendo em conta as grandes quantidades de dados pessoais e financeiros sensíveis tratados pelos sistemas de IA no setor financeiro. Isto garante que as aplicações de IA na banca e nos seguros não só adiram a elevados padrões de eficiência e inovação, mas também respeitem medidas rigorosas de segurança e privacidade dos dados. No entanto, a natureza dinâmica dos mercados financeiros e o rápido desenvolvimento das tecnologias de IA representam um desafio contínuo, o que significa que a lei estará quase sempre, pelo menos, um passo atrás. Mais uma vez, caberá às próprias empresas discernir a sua própria apetência pelo risco e utilizar a tecnologia de forma responsável.

Em que medida é que a lei aborda as preocupações em matéria de cibersegurança?

Por um lado, a abordagem rigorosa da lei aos sistemas de IA de alto risco, que inclui uma gestão pormenorizada dos riscos e a governação dos dados, reforça significativamente a cibersegurança e a proteção dos dados. Isto é particularmente pertinente em setores como o da energia e das telecomunicações, onde os sistemas IoT são parte integrante e altamente vulneráveis a ciberameaças. Ao exigir documentação robusta, supervisão humana e transparência, a lei garante que os sistemas de IA nesses setores sigam altos padrões de segurança, reduzindo riscos como violações de dados, acesso não autorizado e manipulação de sistemas de IA.

No entanto, há preocupações sobre se a lei abrange todos os aspetos da cibersegurança, especialmente considerando a rápida evolução das tecnologias de IA e IoT. Embora a ênfase da lei nos direitos humanos fundamentais e na segurança dos sistemas de IA seja primordial, pode não abordar suficientemente os desafios de cibersegurança específicos de certas indústrias. É verdade que o AI Act dá passos significativos no reforço da cibersegurança e da proteção de dados, mas é necessário proceder a uma avaliação e adaptação contínuas das suas disposições para garantir que continua a ser eficaz contra o cenário em constante evolução das ciberameaças em indústrias críticas.

A Lei da IA da UE abre um novo território na regulamentação da IA e da IoT, mas o seu verdadeiro teste não reside apenas no quadro que estabelece atualmente, mas na sua adaptabilidade e capacidade de resposta a futuras evoluções tecnológicas. A lei, embora forneça uma base sólida, também sublinha a responsabilidade dinâmica que as empresas têm na navegação destas tecnologias emergentes. As empresas devem, por conseguinte, envolver-se proativamente com esta regulamentação, antecipando e atenuando os riscos à medida que surgem novos casos de utilização. Esta atitude proativa será fundamental para moldar um futuro digital resiliente, seguro e inovador, em que o equilíbrio entre o avanço tecnológico e a utilização ética e segura da IA na IoT seja mantido de forma contínua e diligente.