O EU AI Act em Linguagem Simples: O Que as PME do Luxemburgo Precisam Mesmo de Saber

O EU AI Act já está em vigor, e o texto oficial lê-se como se tivesse sido desenhado para não ser lido. Isto não é aconselhamento jurídico. É orientação: em que nível de risco provavelmente se encontra, o que documentar, e porque é que a escolha do alojamento importa.

Os Níveis de Risco, Simplificados

O Act organiza os sistemas de IA em quatro faixas de risco. Quanto mais alta a faixa, mais pesadas as obrigações.

• Risco inaceitável: totalmente proibido. Reconhecimento facial em tempo real em espaços públicos, pontuação social, manipulação subliminar. As PME do Luxemburgo não estão a construir nada disto.
• Risco elevado: IA usada em decisões de contratação, avaliação de crédito, diagnóstico médico, infraestruturas críticas, aplicação da lei. Aplicam-se obrigações significativas de documentação e avaliação de conformidade. Algumas PME tocam nesta faixa se usarem IA para selecionar candidatos a emprego ou avaliar a capacidade de crédito.
• Risco limitado: sobretudo obrigações de transparência. Se a sua IA interage com clientes (um chatbot, um assistente no WhatsApp), tem de informar que os utilizadores estão a falar com um sistema, não com uma pessoa.
• Risco mínimo: tudo o resto. Filtros de spam, redação assistida por IA, resumo de documentos, geração de relatórios internos, automação de agendamento. Sem obrigações além da conformidade normal com o RGPD.

A maioria dos casos de uso das PME situa-se na faixa mínima ou limitada. Redigir um e-mail, resumir um PDF, automatizar o workflow de faturas: nada disto desencadeia obrigações de risco elevado.

O Que Deve Documentar de Qualquer Forma

Mesmo em risco mínimo, vale a pena manter documentação ligeira. Não porque o regulamento o exija, mas porque obriga à clareza e protege caso alguma vez surja uma questão.

Registe, em linguagem simples: o que o sistema faz, que dados processa, quem revê os seus resultados antes de estes afetarem uma decisão, e como corrigiria um erro. Um documento interno é suficiente. Não precisa de um departamento de conformidade. Precisa de uma descrição clara da realidade.

As empresas que vão ter dificuldades com a regulação de IA não são as que construíram algo complexo. São as que não conseguiram explicar o que construíram ou para onde foram os dados.

Se tiver um chatbot direcionado a clientes, acrescente mais um ponto: confirme que a sua interface ou os seus termos de serviço deixam claro que o utilizador está a falar com um sistema automatizado. Isso cobre a obrigação de transparência para o risco limitado.

Porque É Que o Alojamento e o Tratamento de Dados Importam

Ter infraestrutura alojada na UE não é um argumento de marketing. Quando os seus dados ficam em servidores na UE e nunca passam por um fornecedor de um país terceiro sem garantias adequadas, a sua exposição ao RGPD diminui e a sua conformidade com o AI Act torna-se mais clara. Consegue indicar onde vivem os dados, quem tem acesso, e ao abrigo de que base legal são processados.

Se o seu workflow de IA envia dados de clientes para uma API sediada nos EUA sem um Data Processing Agreement e um mecanismo de transferência válido, já tem um problema anterior ao AI Act. O Act limita-se a acrescentar mais uma camada sobre uma base já instável.

Na Focus AI, todos os sistemas que construímos correm em infraestrutura da UE, usam bases de dados self-hosted onde a residência dos dados importa, e são entregues com documentação que o cliente realmente consegue usar. Não para cumprir uma formalidade, mas porque é isso que é preciso para o sistema sobreviver num ambiente regulado.

A Conclusão Prática

Se está a automatizar workflows internos, a resumir documentos, ou a operar um assistente direcionado a clientes, está quase de certeza na faixa mínima ou limitada. Documente de forma simples, divulgue o bot sempre que exigido, mantenha os dados na UE. É esta a checklist para a maioria das PME do Luxemburgo. Não construa aplicações de risco elevado sem aconselhamento jurídico adequado.