O EU AI Act em Linguagem Simples: O Que as PME Devem Saber

O EU AI Act já está em vigor, mas o texto oficial parece feito para não ser lido. Isto não é aconselhamento jurídico. É orientação sobre o nível de risco mais provável, o que documentar e a importância da escolha de servidores.

Níveis de Risco, Sem Complicar

O regulamento organiza os sistemas de IA em quatro níveis de risco. Quanto mais alto o nível, mais pesadas as obrigações.

• Risco inaceitável: totalmente proibido. Reconhecimento facial em tempo real em espaços públicos, pontuação social, manipulação subliminar. A maioria das PME não desenvolve estes sistemas.
• Risco elevado: IA usada em decisões de contratação, avaliação de crédito, diagnóstico médico, infraestruturas críticas, aplicação da lei. Aplicam-se obrigações significativas de documentação e avaliação de conformidade. Algumas PME tocam nesta faixa se usarem IA para selecionar candidatos a emprego ou avaliar a capacidade de crédito.
• Risco limitado: sobretudo obrigações de transparência. Se a sua IA interage com clientes (um chatbot, um assistente no WhatsApp), deve informar que se trata de um sistema, não de uma pessoa.
• Risco mínimo: tudo o resto. Filtros de spam, redação assistida por IA, resumo de documentos, geração de relatórios internos, automação de agendamento. Sem obrigações além da conformidade normal com o RGPD.

A maioria dos casos de uso das PME situa-se na faixa mínima ou limitada. Redigir um e-mail, resumir um PDF, automatizar o workflow de faturas: nada disto desencadeia obrigações de risco elevado.

O Que Deve Documentar de Qualquer Forma

Mesmo em risco mínimo, vale a pena manter documentação ligeira. Não porque o regulamento o exija, mas porque obriga à clareza e protege caso alguma vez surja uma questão.

Descreva, em linguagem simples: o que o sistema faz, que dados processa, quem revê os seus resultados antes de estes afetarem uma decisão, e como corrigiria um erro. Um documento interno é suficiente. Não precisa de um departamento de conformidade. Precisa de uma descrição clara da realidade.

As empresas que vão ter dificuldades com a regulação de IA não são as que construíram algo complexo. São as que não conseguiram explicar o que construíram ou para onde foram os dados.

Se tiver um chatbot direcionado a clientes, acrescente mais um ponto: confirme que a sua interface ou os seus termos de serviço deixam claro que se trata de um sistema automatizado. Isso cobre a obrigação de transparência para o risco limitado.

A Importância do Alojamento e do Tratamento de Dados

Ter infraestrutura situada na UE não é um argumento de marketing. Quando os seus dados ficam em servidores na UE e nunca passam por um fornecedor de um país terceiro sem garantias adequadas, a sua exposição ao RGPD diminui e a sua conformidade com o AI Act torna-se mais clara. É possível indicar onde vivem os dados, quem tem acesso e ao abrigo de que base legal são processados.

Se o seu workflow de IA envia dados de clientes para uma API sediada nos EUA sem um Data Processing Agreement e um mecanismo de transferência válido, já tem um problema anterior ao AI Act. A lei só acrescenta mais uma camada sobre uma base já instável.

Na Focus AI, todos os sistemas que construímos funcionam em infraestrutura da UE, usam bases de dados self-hosted onde a residência dos dados importa, e são entregues com documentação que o cliente realmente consegue usar. Não para cumprir uma formalidade, mas porque é isso que é preciso para o sistema sobreviver num ambiente regulado.

A Conclusão Prática

Se automatiza fluxos internos, resume documentos ou opera um assistente para clientes, quase certamente pertence ao nível de risco mínimo ou limitado. Documente de forma simples, identifique o assistente como sistema automatizado quando exigido e mantenha os dados na UE. Esta é a lista de verificação para a maioria das PME da UE. Não desenvolva aplicações de risco elevado sem aconselhamento jurídico adequado.