A Primer on the EU AI Act

Atualização de 11 de julho de 2025: Na sequência da publicação do texto final do Código de Boas Práticas para a IA de finalidade geral, apresentamos uma visão geral da nossa abordagem à entrada em vigor, em 2 de agosto de 2025, das disposições aplicáveis aos modelos de IA de finalidade geral. 

No ano passado, publicámos esta introdução ao Regulamento da IA da UE, com uma perspetiva preliminar sobre a nossa preparação para a aplicação destes novos requisitos legais. 

Desde então, temos participado ativamente na aplicação do texto, contribuindo para a elaboração do Código de Boas Práticas para a IA de finalidade geral, um quadro destinado a ajudar os prestadores de IA a cumprir o Regulamento da IA da UE. Após meses de trabalho conjunto com especialistas, a sociedade civil e o setor, foi publicado um Código final. Anunciamos hoje a nossa decisão de assinar o Código de Boas Práticas e de o utilizar para demonstrar o cumprimento das obrigações relevantes ao abrigo do Regulamento da IA da UE.

Ao assinarmos o Código, damos um passo concreto no nosso plano mais abrangente de conformidade com o Regulamento da IA da UE. Esta decisão reflete o nosso compromisso de garantir continuidade, fiabilidade e confiança à medida que as regras entram em vigor, continuando simultaneamente a colaborar com empresas e cidadãos europeus e a disponibilizar-lhes modelos de IA cada vez mais capazes, seguros e protegidos, para que possam beneficiar da revolução da IA.

A assinatura do Código reforça muitas das medidas de segurança e transparência pioneiras no setor que temos desenvolvido ao longo dos últimos anos. Fomos uma das primeiras empresas a publicar um protocolo abrangente de segurança e proteção, o nosso Preparedness Framework (2023), que descreve a nossa abordagem à implantação segura de modelos de IA de fronteira.

Em linha com o nosso compromisso de rever e melhorar continuamente os quadros internos de responsabilização e governação, publicámos⁠ uma versão atualizada do Preparedness Framework em abril de 2025. 

À medida que continuamos a desenvolver e disponibilizar tecnologias cada vez mais capazes, monitorizamos e mitigamos ativamente um vasto leque de novos riscos e preocupações de segurança no mundo real, para manter os nossos modelos fiáveis e seguros. Além disso, aperfeiçoamos e melhoramos constantemente estes processos.

• Há muito que publicamos Fichas de Sistema detalhadas e documentação técnica sobre os nossos principais lançamentos, explicando o que os nossos modelos podem ou não fazer, os riscos que testámos e os domínios em que ainda estamos a aprender. 
• O Centro de Segurança permite o acesso público aos resultados das avaliações de segurança dos nossos modelos.
• A nossa Rede de Red Teaming reúne especialistas externos para submeter os nossos modelos a testes rigorosos
• A Especificação do Modelo permite compreender como moldamos o comportamento dos modelos para que reflita valores humanos e normas democráticas.

Em conjunto, este trabalho tem sido fundamental para estabelecer normas de segurança e proteção no setor e contribuir para o desenvolvimento de um Código de Boas Práticas viável, baseado nas melhores práticas do setor. O desenvolvimento de uma IA segura e responsável é um processo contínuo. Continuaremos a melhorar progressivamente a nossa abordagem à segurança, para ajudar a garantir que a nossa tecnologia é utilizada de forma responsável e em benefício de todos, onde quer que estejam.

Trabalharemos em estreita colaboração com o Serviço Europeu para a IA, as autoridades competentes e os nossos clientes à medida que o Regulamento da IA for aplicado nos próximos meses e anos, para que possamos, em conjunto, assegurar os benefícios da IA para a sociedade e a economia europeias. 

Atualização: Em 25 de setembro de 2024, subscrevemos os três compromissos fundamentais do Pacto para a IA da UE.

1. Adotar uma estratégia de governação da IA para promover a sua adoção na organização e avançar rumo ao futuro cumprimento do Regulamento da IA;
2. realizar, na medida do possível, um levantamento dos sistemas de IA fornecidos ou implantados em áreas que seriam consideradas de alto risco ao abrigo do Regulamento da IA;
3. promover a sensibilização e a literacia em IA dos seus colaboradores e de outras pessoas que lidem com sistemas de IA em seu nome, tendo em conta os respetivos conhecimentos técnicos, experiência, educação e formação, o contexto em que os sistemas de IA serão utilizados e as pessoas ou grupos de pessoas afetados pela sua utilização.

Consideramos que a ênfase central do Pacto para a IA na literacia, adoção e governação da IA incide nas prioridades certas para garantir uma ampla distribuição dos seus benefícios. Além disso, estes objetivos estão alinhados com a nossa missão de disponibilizar tecnologias seguras e de vanguarda que beneficiem todos.

O Regulamento da IA da UE⁠(abre numa nova janela) é um importante quadro regulamentar concebido para gerir o desenvolvimento, a implantação e a utilização da IA em toda a Europa. O Regulamento dá grande ênfase à segurança, para promover uma adoção fiável da IA na Europa, protegendo simultaneamente a saúde, a segurança e os direitos fundamentais. Introduz novos requisitos baseados nos riscos associados aos sistemas de IA, com especial atenção aos casos de utilização de alto risco e inaceitáveis, bem como obrigações específicas para modelos e sistemas de IA de finalidade geral (GPAI). 

Embora o processo legislativo esteja concluído e a lei entre em vigor em agosto de 2024, serão necessárias orientações e legislação de execução adicionais para definir o seu âmbito, sobretudo no que respeita a modelos de GPAI como os da OpenAI. 

Na OpenAI, estamos empenhados em cumprir o Regulamento, não só por ser uma obrigação legal, mas também porque o objetivo da lei está alinhado com a nossa missão de desenvolver e disponibilizar IA segura em benefício de toda a humanidade. Temos orgulho em lançar modelos líderes do setor, tanto em capacidades como em segurança. Defendemos uma abordagem equilibrada e científica, na qual as medidas de segurança⁠ são integradas no processo de desenvolvimento desde o início. As nossas equipas desenvolvem um vasto leque de iniciativas técnicas para responder aos desafios de segurança da IA, incluindo avaliações dos modelos ao abrigo do nosso Preparedness Framework⁠ antes da sua implantação, red teaming⁠ interno e externo, monitorização⁠ de utilizações abusivas após a implantação, programas de recompensas pela deteção de erros⁠ e de bolsas para a cibersegurança⁠, bem como contributos para normas de autenticidade⁠, entre outras. 

Trabalharemos em estreita colaboração com o Serviço Europeu para a IA e outras autoridades competentes à medida que a nova lei for aplicada nos próximos meses, e esperamos que os conhecimentos que adquirimos ajudem a concretizar os objetivos do Regulamento quanto à implantação de uma IA segura e benéfica.  

Nesta publicação, apresentamos uma visão geral de alguns temas fundamentais do Regulamento da IA, com especial destaque para os casos de utilização proibidos e de alto risco.

O Regulamento da IA entrará em vigor em 1 de agosto de 2024, 20 dias após a publicação no Jornal Oficial da UE. Embora a maioria das disposições do Regulamento só seja aplicável 24 meses após a entrada em vigor, há vários prazos importantes a ter em conta: 

• As proibições de práticas vedadas serão aplicáveis 6 meses após a entrada em vigor (fevereiro de 2025) 
• Os códigos de boas práticas, que abrangerão muitos dos pormenores de execução necessários para cumprir o Regulamento, terão de ser finalizados no prazo de 9 meses após a entrada em vigor (maio de 2025) 
• A maioria das obrigações relativas à IA de finalidade geral será aplicável 12 meses após a entrada em vigor (agosto de 2025). 
• As obrigações aplicáveis à maioria dos sistemas de IA de alto risco serão aplicáveis 24 meses após a entrada em vigor (agosto de 2026). 

Os sistemas de GPAI preexistentes que não tenham sido objeto de alterações substanciais e determinados sistemas de IA que sejam componentes de sistemas informáticos de grande escala identificados no anexo X do Regulamento da IA terão um prazo de aplicação mais longo, de 36 meses (agosto de 2027).

O Regulamento da IA aplica-se principalmente aos «sistemas de IA», que define como «um sistema baseado em máquinas concebido para funcionar com diferentes níveis de autonomia, que pode apresentar capacidade de adaptação após a implantação e que, com objetivos explícitos ou implícitos, infere, a partir dos dados de entrada que recebe, a forma de gerar resultados como previsões, conteúdos, recomendações ou decisões suscetíveis de influenciar ambientes físicos ou virtuais». Esta definição é, em termos gerais, coerente com a definição de «sistemas de IA» publicada pela OCDE em 2023 e com a utilizada no Decreto Presidencial 14110 da Administração Biden sobre o desenvolvimento e a utilização seguros, protegidos e fiáveis da inteligência artificial.  

É importante salientar que o Regulamento da IA distingue entre prestadores e responsáveis pela implantação de sistemas de IA. Os prestadores são entidades, como a OpenAI, que desenvolvem um sistema de IA ou um modelo de IA de finalidade geral. Incluem-se também as entidades que mandam desenvolver um sistema de IA ou um modelo de IA de finalidade geral e o colocam no mercado, ou que colocam o sistema de IA em serviço sob o seu próprio nome ou marca, mediante pagamento ou gratuitamente. 

Os responsáveis pela implantação são clientes ou parceiros que utilizam estes sistemas ou modelos nas suas próprias aplicações, por exemplo, integrando o GPT‑4o num caso de utilização específico. Embora a maioria das obrigações previstas no Regulamento da IA recaia sobre os prestadores e não sobre os responsáveis pela implantação, importa salientar que um responsável pela implantação que integre um modelo de IA no seu próprio sistema de IA pode tornar-se prestador ao abrigo do Regulamento, por exemplo, se utilizar a sua própria marca num sistema de IA ou o modificar de formas não previstas pelo prestador.

As organizações fora da UE também terão de cumprir o Regulamento da IA em várias circunstâncias, que podem ter um alcance bastante amplo.  Por exemplo, o Regulamento aplica-se se: 

• Um prestador colocar no mercado da UE um sistema de IA ou um modelo de GPAI, independentemente de a empresa estar estabelecida na UE ou noutro país; 
• Os responsáveis pela implantação de um sistema de IA estiverem estabelecidos ou localizados na UE; 
• Os prestadores e responsáveis pela implantação de sistemas de IA estiverem estabelecidos ou localizados num país terceiro, mas os resultados produzidos pelo sistema de IA forem utilizados na UE.

O amplo alcance extraterritorial do Regulamento da IA significa que as empresas não europeias terão de o cumprir para servir clientes da UE, independentemente de estarem ou não sediadas na UE.

O Regulamento da IA assenta num quadro baseado no risco, com requisitos específicos para sistemas de IA de alto risco e de risco inaceitável. O Regulamento exige que as empresas classifiquem o nível de risco dos seus sistemas de IA para determinar as obrigações regulamentares correspondentes e estabelece várias categorias ou níveis de sistemas de IA, cada um sujeito a obrigações diferentes.

Determinadas práticas de IA consideradas um risco inaceitável para os direitos das pessoas são totalmente proibidas. Estas práticas incluem:   

• Utilizar técnicas subliminares, manipuladoras ou enganosas para distorcer o comportamento e prejudicar a tomada de decisões informadas, causando danos significativos. 
• Explorar vulnerabilidades relacionadas com a idade, a deficiência ou as circunstâncias socioeconómicas para distorcer o comportamento, causando danos significativos. 
• Sistemas de categorização biométrica que deduzam atributos sensíveis, como raça, opiniões políticas, filiação sindical, crenças religiosas ou filosóficas, vida sexual ou orientação sexual (com exceções limitadas para a rotulagem ou filtragem de conjuntos de dados adquiridos legalmente e para utilização pelas autoridades policiais) 
• Sistemas de pontuação social, como os que avaliam ou classificam pessoas ou grupos com base no comportamento social ou em características pessoais, causando-lhes danos. 
• Avaliar o risco de uma pessoa cometer infrações penais exclusivamente com base na definição de perfis ou em características de personalidade (com exceções limitadas) 
• Criar bases de dados de reconhecimento facial através da recolha indiscriminada de imagens faciais na Internet ou em gravações de videovigilância
• Inferir emoções em locais de trabalho ou estabelecimentos de ensino 
• Identificação biométrica remota em tempo real, em espaços públicos, para fins policiais (com determinadas exceções).

O Regulamento impõe obrigações rigorosas aos sistemas que considera constituírem uma ameaça substancial à saúde, à segurança ou aos direitos fundamentais das pessoas, classificados como IA de alto risco (HRAI). Estes incluem: a) sistemas que sejam componentes de segurança de um produto sujeito a outra legislação da UE; e b) casos de utilização específicos, como sistemas destinados a determinar o acesso ou a admissão a estabelecimentos de ensino, recrutar ou selecionar trabalhadores ou monitorizar o seu desempenho, determinar a elegibilidade para apoios públicos ou a solvabilidade, e avaliar a elegibilidade e os preços de seguros de saúde, entre outros.  

Os sistemas de HRAI devem cumprir obrigações regulamentares rigorosas, como estabelecer um sistema de gestão de riscos para avaliar continuamente os riscos e as estratégias de mitigação ao longo do ciclo de vida, adotar medidas abrangentes de governação de dados para testar e avaliar riscos de parcialidade, preparar documentação técnica detalhada antes da colocação do sistema no mercado e assegurar uma monitorização contínua. 

Os restantes sistemas de IA que não apresentem riscos inaceitáveis ou elevados estão sujeitos apenas a requisitos limitados, como obrigações de transparência. Por exemplo, o Regulamento determina que as pessoas devem ser informadas quando interagem com um sistema de IA, como um chatbot, e que as imagens e os conteúdos de áudio ou vídeo manipulados artificialmente devem estar claramente identificados. É provável que a maioria dos sistemas de IA existentes no mercado pertença a esta categoria.

Aplicam-se requisitos especiais aos prestadores de modelos e sistemas de IA de finalidade geral, como a OpenAI, que terão de: 

• Elaborar documentação técnica detalhada sobre o modelo e fornecê-la ao Serviço para a IA mediante pedido
• Criar documentação para os responsáveis pela implantação que utilizem o modelo de GPAI para desenvolver os seus próprios sistemas de IA
• Aplicar políticas destinadas a respeitar a legislação da UE em matéria de direitos de autor
• Fornecer um resumo dos conteúdos utilizados para treinar o modelo de GPAI 

Além disso, os prestadores de modelos de GPAI com capacidades de impacto elevado que sejam considerados portadores de «riscos sistémicos» (por exemplo, modelos treinados com uma grande capacidade computacional, tecnicamente definida como 10^25 FLOPs) terão de: 

• Realizar avaliações dos modelos para identificar e mitigar riscos sistémicos, bem como avaliar e mitigar continuamente os riscos existentes
• Notificar a Comissão Europeia dos modelos que cumpram os critérios desta categoria
• Monitorizar e comunicar incidentes graves 
• Aplicar medidas de cibersegurança adequadas ao modelo e à respetiva infraestrutura física

Os prestadores de modelos de GPAI poderão recorrer a um código de boas práticas para demonstrar o cumprimento dos requisitos do Regulamento da IA. É provável que estes códigos de boas práticas estabeleçam as bases para os pormenores específicos de aplicação destas obrigações, e esperamos colaborar com o Serviço Europeu para a IA durante o seu desenvolvimento ao longo dos próximos 9 meses. 

A OpenAI está empenhada em cumprir o Regulamento da IA da UE e trabalhará em estreita colaboração com o novo Serviço Europeu para a IA durante a aplicação da lei. Nos próximos meses, continuaremos a preparar documentação técnica e outras orientações para os prestadores a jusante e os responsáveis pela implantação dos nossos modelos de GPAI, reforçando simultaneamente a proteção e a segurança dos modelos que disponibilizamos no mercado europeu e fora dele.   

Se a sua organização estiver a tentar determinar como cumprir o Regulamento da IA, deve começar por classificar todos os sistemas de IA abrangidos. Identifique os sistemas de GPAI e outros sistemas de IA que utiliza, determine como são classificados e analise as obrigações decorrentes dos seus casos de utilização. Deve também determinar se é um prestador ou responsável pela implantação relativamente a qualquer sistema de IA abrangido. Estas questões podem ser complexas, pelo que deve consultar um jurista caso tenha dúvidas.