A sua empresa tem de registar os seus sistemas de IA? A resposta curta é não (e a longa importa)

É uma das perguntas que mais nos chegam desde que o AI Act começou a aplicar-se: "tenho de registar algures a inteligência artificial que usamos?". Por trás costuma estar o medo razoável de descobrir tarde uma obrigação com coima.

A resposta direta: se a sua empresa simplesmente usa ferramentas de IA, não tem de se inscrever em nenhum registo público. Mas convém perceber porquê, porque a parte que sim lhe diz respeito confunde-se constantemente com esta.

Existe um registo europeu, mas não é para si

O Regulamento Europeu de Inteligência Artificial cria uma base de dados da UE para sistemas de IA de alto risco (artigos 49 e 71). Quem tem de se inscrever:

• O fornecedor do sistema de alto risco: quem o desenvolve e o coloca no mercado com o seu nome. Regista-se a si próprio e ao sistema antes de o comercializar.
• O responsável pela implementação que seja uma autoridade pública ou organismo da União: além de o usar, regista a sua utilização.

Ou seja: o registo recai sobre quem fabrica o sistema de alto risco e sobre a administração pública que o usa. Uma empresa privada que compra ou contrata uma ferramenta de IA para a sua gestão interna não consta dessa lista de obrigados.

E há uma segunda razão para não se afligir com o calendário: as obrigações associadas aos sistemas de alto risco do Anexo III aplicam-se a partir de 2 de dezembro de 2027.

Então, o que tem mesmo de fazer?

Aqui está a confusão que vale a pena desfazer. Não há um registo para preencher, mas há algo que a sua empresa precisa de ter por escrito, e que lhe vão pedir por outras vias muito antes de 2027: os seus clientes grandes nas auditorias a fornecedores, a seguradora, a contabilidade, ou você próprio no dia em que quiser saber o que se passa dentro da sua organização.

Esse algo é um inventário dos sistemas de IA que a sua empresa usa. Com três colunas, não trinta:

1. Que ferramenta é e para que se usa. Incluindo as que ninguém aprovou formalmente: o tradutor que o departamento comercial usa, o assistente que alguém ligou ao correio. Isso também é IA na sua empresa.
2. Que dados entram nela. Se entram dados pessoais de clientes ou colaboradores, o RGPD já se lhe aplicava antes do AI Act e continua a aplicar-se.
3. Que nível de risco tem essa utilização concreta. O Regulamento classifica por utilização, não por ferramenta: o mesmo modelo pode ser risco mínimo a redigir um email e alto risco a decidir quem é contratado.

O que já está em vigor e muita gente não sabe

Enquanto o registo de alto risco espera por 2027, há uma obrigação do AI Act que já se aplica: a literacia em IA (artigo 4.º). A sua empresa deve garantir que quem usa estes sistemas tem formação suficiente para perceber o que fazem e detetar os seus erros.

Não exige um certificado nem um curso homologado: exige que consiga demonstrar que a sua equipa sabe o que maneja. Numa PME isso resolve-se com uma sessão de formação documentada e regras de utilização escritas — não com um projeto de consultoria de seis meses.

Também está em vigor a obrigação de transparência (artigo 50.º) quando uma pessoa interage com um sistema de IA em vez de com um humano, ou quando lhe é entregue conteúdo gerado por IA.

Como fazê-lo sem o transformar num projeto

O inventário de uma PME normal cabe numa folha de cálculo e faz-se numa tarde. A ordem que recomendamos:

1. Pergunte antes de auditar. A maior parte da IA que existe numa empresa foi introduzida por um colaborador bem-intencionado, não pelo departamento de sistemas. Se a conversa começa em tom de inspeção, a resposta será que ninguém usa nada.
2. Anote a utilização, não a marca. "Resumir atas de reunião" diz muito mais do que "ChatGPT".
3. Assinale onde há dados pessoais ou decisões sobre pessoas. É aí que é preciso olhar com detalhe; o resto será, provavelmente, risco mínimo e só precisa de regras de utilização.
4. Reveja-o quando as ferramentas mudarem, não por calendário.

Se ao fazê-lo descobrir que metade da IA da sua empresa são contas pessoais de ferramentas gratuitas por onde passam documentos internos, o inventário já compensou: é exatamente o problema que o Regulamento quer que veja.

Fontes: Artigo 49.º do Regulamento (UE) 2024/1689 (registo de sistemas de alto risco), artigo 71.º (base de dados da UE) e o calendário de aplicação do Anexo III.

Este artigo é informativo e não substitui aconselhamento jurídico. A Tecnea desenvolve aplicações com IA e acompanha os seus clientes no cumprimento do AI Act, pelo que temos um interesse comercial evidente neste tema; dizemo-lo à partida. O inventário que descrevemos pode fazê-lo sozinho, e se lhe servir para não contratar ninguém, terá cumprido a sua função.