EU AI Act para quem usa IA

Muitas organizações acreditam que a conformidade com o EU AI Act é um assunto do fornecedor, ou seja, da Microsoft ou da OpenAI. Essa ideia está errada. A lei distribui obrigações por toda a cadeia de fornecimento de IA, e quem usa ferramentas como Copilot ou ChatGPT assume a sua parte da responsabilidade, quer queira, quer não.

Neste artigo explicamos como funciona a classificação de risco, como o Copilot e o ChatGPT se comportam perante a lei e que passos práticos um implantador (deployer) deve dar para estar preparado para uma auditoria.

Responsabilidade partilhada: porque é que utilizadores de IA também são visados

O EU AI Act não se limita a quem desenvolve modelos. Quem os implementa na sua organização também tem deveres. Se usar o ChatGPT em Recursos Humanos, por exemplo, passa a ser responsável pela monitorização de enviesamentos, pela explicabilidade e pela documentação.

As obrigações entram em vigor de forma gradual, mas a aplicação da lei é imediata, e o que está em jogo é sério: as coimas podem chegar a 7% da receita. Por isso, acompanhar as exigências regulatórias deixou de ser opcional e passou a ser uma questão de sobrevivência para a empresa.

A escada de risco do EU AI Act: quatro níveis de classificação

O princípio operacional central da lei é a classificação de cada sistema de IA numa de quatro categorias: inaceitável, alto, limitado ou mínimo. Essa categoria determina o peso da conformidade: o nível de documentação, de supervisão humana, de relatórios e de transparência exigido.

O contexto de uso decide, não a aparência da ferramenta

A classificação não depende do aspeto do sistema, mas do que ele faz e do contexto em que é usado. Um chatbot que escreve publicações pode ser de baixo risco. Se ligar esse mesmo motor a contratações, relatórios ou crédito, os reguladores elevam-no para alto risco. Não há escalada gradual: a mudança é imediata.

Usos de alto risco por definição

Certos usos já estão marcados como de alto risco por defeito, entre eles:

• triagem automatizada de currículos;
• pontuação em processos de recrutamento;
• identificação biométrica;
• IA usada na aplicação da lei e no controlo de fronteiras.

Os modelos generativos e de uso geral, como o ChatGPT e o Copilot, têm requisitos próprios de transparência. Não são automaticamente de alto risco, mas os implantadores devem deixar claro que se trata de IA. Em alguns casos assumem responsabilidades adicionais, quando o modelo influencia decisões sensíveis.

Um calendário em fases, sem margem para facilitismo

As práticas proibidas, como a IA comportamental manipuladora ou a pontuação social, são banidas logo no início. Os deveres de transparência e de rotulagem chegam pouco depois. As obrigações pesadas para sistemas de alto risco só se aplicam por inteiro anos mais tarde. Isso não significa tolerância: os calendários convergem depressa, e desconhecer a lei não serve de defesa quando os auditores chegam. Por isso, convém mapear já os casos de uso.

Quanto mais alto o sistema estiver na escada, mais pesada é a lista de verificação. Em baixo, basta uma nota de transparência. No topo, são necessários arquivos de gestão de risco, registos prontos para auditoria, mecanismos de supervisão e formação documentada da equipa.

Copilot: conformidade incorporada no Microsoft 365

O Copilot não é apresentado como um chatbot inovador, mas como uma solução pronta para empresas, pensada para governança e para operar em ambiente regulamentado. Funciona sobre uma infraestrutura já integrada no Microsoft 365, com certificações de conformidade e muitos anos de práticas de segurança. A diferença é a mesma que existe entre soldar secretárias com sucata e comprar mobiliário certificado e testado contra incêndio.

O que a Microsoft indica sobre dados e residência

• Os prompts, as respostas e os dados acedidos através do Microsoft Graph não são usados para treinar os modelos de base.
• O Copilot corre no Azure OpenAI, dentro do limite de serviço do Microsoft 365.
• O que o utilizador escreve fica no tenant da organização, sujeito às suas permissões. Essa separação é relevante tanto para o RGPD como para o EU AI Act.
• Existe um limite de dados da UE, mas a documentação do Trust Center refere que, em períodos de grande procura, os pedidos podem ser encaminhados para outras regiões. Os reguladores distinguem entre processamento sempre na UE e processamento prioritário na UE com transbordo.

Por baixo funcionam ainda sistemas de segurança: classificadores filtram resultados nocivos ou enviesados antes de chegarem ao utilizador e alguns bloqueiam a inferência de atributos pessoais sensíveis.

As ferramentas ao dispor do implantador

O Microsoft Purview aplica controlos de descoberta, classificação e retenção de dados no ambiente Copilot. As notas de transparência e o painel de IA responsável explicam limitações e permitem monitorizar riscos. O Microsoft Trust Center disponibiliza documentação, avaliações de impacto e modelos úteis numa auditoria.

Mesmo assim, o Copilot não apaga as suas obrigações. A lei aplica um modelo de responsabilidade partilhada: a Microsoft fornece a estrutura, mas a organização tem de configurar, registar e operar dentro dela. Os auditores pedirão os seus registos, não apenas os da Microsoft.

ChatGPT: flexibilidade versus carga de conformidade

O ChatGPT destaca-se pela flexibilidade: pode ser apontado a quase qualquer tarefa e produz texto fluente. Perante o EU AI Act, essa mesma flexibilidade tende a tornar-se um problema de conformidade.

De risco limitado a alto risco

Na versão de aplicação para consumidor, o ChatGPT tem, por defeito, risco limitado. Isso abrange usos casuais, como brainstorming, resumo de notas ou geração de receitas. Quando passa a apoiar decisões sobre pessoas, como contratações, aprovações de crédito ou contexto de saúde, entra num território de risco mais alto, com obrigações mais pesadas. O que muda é o contexto, não o código.

Sem a estrutura pronta

A versão pública não traz as garantias de governança do Copilot. Cabe ao implantador verificar, nos termos contratuais da OpenAI, que dados são armazenados, como são usados e se existem proteções adicionais. Presumir que era seguro não é defesa válida.

Em contexto empresarial, é preciso construir a estrutura de raiz:

• políticas para controlar os prompts;
• registo de auditoria da utilização;
• limites para dados pessoais;
• processos de comunicação de erros e incidentes.

Com o ChatGPT, a organização é simultaneamente arquiteta, empreiteira e responsável pela conformidade. É como um motor de alto desempenho sem chassis: potente, mas sem cintos, airbags ou homologação.

Transparência, RGPD e deepfakes

Os resultados de IA generativa, em texto, imagem ou áudio, têm de ser claramente identificados como gerados por IA. Também é necessário rastrear prompts e explicar o comportamento do sistema. Dizer a um regulador que o modelo prevê probabilidades de tokens não equivale a uma explicação juridicamente suficiente de como ele influenciou uma recomendação de contratação. Se o sistema gerar áudio ou vídeo que pareça uma pessoa real, corre o risco de ser tratado como deepfake, com fiscalização mais apertada.

Quando os prompts contêm identificadores pessoais, aplica-se o RGPD: tratamento lícito, justo e transparente, consentimento quando necessário, minimização de dados e respeito pelos direitos dos titulares. O serviço público da OpenAI não configura estas proteções automaticamente. É preciso verificar, através de contratos vinculativos e práticas documentadas, o que acontece aos dados depois de entregues.

Existe um caminho intermédio: aceder às capacidades através de plataformas geridas, como o Azure OpenAI, ou de conectores integrados em ambientes empresariais. Assim ganha-se registos de auditoria, garantias de residência e monitorização no limite do tenant. As responsabilidades mantêm-se, mas tornam-se geríveis com ferramentas em vez de folhas de cálculo.

Checklist de conformidade para implantadores

A lei espera listas de verificação operacionais e não declarações de boas intenções. Estes são os três pilares essenciais, mais um quarto elemento.

1. Avaliação de impacto e registo de tratamento. Realize uma avaliação de impacto sobre a proteção de dados (DPIA) e mantenha um registo das atividades de tratamento (ROPA). Isto é especialmente importante quando a IA envolve pessoas, como em contratação, saúde ou pontuação financeira. A DPIA mostra que os riscos foram analisados e o ROPA prova que os fluxos de tratamento são acompanhados.
2. Classificar e controlar os dados. O Microsoft Purview permite rotular automaticamente conteúdo sensível, impor políticas de retenção e aplicar DLP. Combine-o com modelos de acesso de privilégio mínimo, para que o Copilot só aceda a dados a que o utilizador já tem permissão. Sem esses limites, qualquer colaborador pode enviar dados restritos a uma IA e provocar uma violação do RGPD.
3. Registar, reter e gerir cada interação. Configure o histórico de atividades do Copilot e ative o registo e a auditoria do Microsoft 365. Quem usou que IA, para que fim e em que dia tem de poder ser demonstrado. A retenção deve durar o suficiente para ser útil, sem se transformar em acumulação inútil.
4. Formação da equipa. O artigo 4 exige literacia em IA, adaptada às funções. A equipa técnica precisa de compreender modelos de risco e mecânica de registo. A equipa de RH precisa de dominar enviesamento, documentação e divulgação.

Erros e armadilhas frequentes

• Julgar o risco pela ferramenta e não pelo uso. O mesmo sistema pode abranger várias classificações consoante o contexto. O sistema é julgado pelo uso e pelo impacto, não pela linguagem de marketing.
• Tratar o ChatGPT como assistente informal. Redigir textos sem rótulo de divulgação, analisar currículos sem verificações de enviesamento ou lidar com notas confidenciais sem limites de dados pode transformar risco limitado em alto risco de um dia para o outro.
• Confundir as ferramentas do fornecedor com conformidade. O fornecedor entrega andaimes, mas o edifício é responsabilidade do implantador. Os reguladores não perguntam se o Microsoft Purview existe, perguntam se os controlos foram implementados.
• Não conseguir apresentar registos. Se a equipa não os consegue produzir, as consequências podem ser multas de dezenas de milhões e danos reputacionais.
• Esperar pelos prazos finais. O escalonamento do calendário não é tolerância.

Regulamentação e inovação: a lei como andaime

Há quem veja o EU AI Act como um travão à inovação. O seu propósito, porém, é substituir a incerteza por uma estrutura estável. Obrigações claras reduzem a ansiedade que impede muitos projetos de escalar. Antes, projetos ficavam em suspenso porque ninguém sabia se um scanner de currículos era legal. Com regras definidas, é possível avançar sem o risco de ser declarado não conforme meses após o lançamento.

A lei funciona como o cinto de segurança num automóvel: as empresas não abandonam o carro por causa dele, aceleram porque os passageiros se sentem seguros. Prova disso é que a equipa jurídica da Microsoft usou um agente Copilot para ajudar a interpretar a própria lei de IA no dia a dia, um caso de uso que dificilmente seria abordado sem clareza regulatória.

Há também custos. Certos modelos avançados chegam mais devagar à Europa por causa dos custos de conformidade e da incerteza jurídica, o que cria acesso desigual. É o preço da estrutura, em troca de estabilidade de longo prazo e confiança pública.

Takeaways práticos

• Classifique cada caso de uso na escada de risco: inaceitável, alto, limitado ou mínimo.
• Avalie o contexto de uso, pois ligar uma ferramenta a contratações, crédito ou relatórios pode elevar o risco de imediato.
• Aplique ferramentas como o Microsoft Purview, o histórico de atividades do Copilot e o painel de IA responsável para documentação e controlo.
• Realize a DPIA e mantenha o ROPA atualizado.
• Ative, retenha e gira registos e auditorias com políticas de retenção sensatas.
• Forme a equipa de acordo com o artigo 4, adaptando o conteúdo a cada função.
• Se usar ChatGPT, verifique os termos contratuais e considere plataformas geridas como o Azure OpenAI.
• Rotule claramente os conteúdos gerados por IA.

Fazit: conformidade é trabalho do implantador

O Copilot aproxima-se da conformidade por design, graças à integração no Microsoft 365 com governança e auditoria já presentes, mas não é uma solução mágica: é preciso configurar, documentar e monitorizar. O ChatGPT, na versão pública, exige que a organização construa a sua própria estrutura de conformidade antes de começar. Em ambos os casos, o regulador analisa a implementação real e não apenas as promessas do fornecedor. Quem classifica os seus usos, regista a atividade, protege os dados e forma as equipas reduz a exposição legal e pode adotar IA com confiança.