Radar

União Europeia publica Lei de Inteligência Artificial e consulta sobre aplicações no sistema financeiro

InovaçãoInteligência Artificial

Conforme anunciado ao final de 2023 [ver Radar#37], Comissão, Parlamento e Conselho europeus chegaram a um acordo em torno da Lei de Inteligência Artificial (IA) da União Europeia, mas a aprovação do texto final ainda exigiu ajustes. Em 24/1 do ano seguinte, um pacote de medidas sobre inovação em IA foi aprovado para apoiar start-ups e pequenas e médias empresas e, em 13/3, foi anunciada a última versão da Lei de IA daquela jurisdição, finalmente publicada em 13/6 último. A Lei traz regras que harmonizam o tratamento da IA na região, por meio de uma legislação cross-sector - que não é exclusiva do setor financeiro, mas aplicável a diversas indústrias e atividades.

O universo de regulados pela Lei é também amplo, incluindo provedores de serviços e empresas que desenvolvam sistemas de IA na União Europeia, usuários de sistemas de IA localizados na região e provedores e usuários de sistemas de IA que não estejam localizados em países da EU, quando o resultado produzido pelo sistema de IA é utilizado na região.

As regras seguem uma abordagem baseada em risco que distingue sistemas de IA em diferentes categorias [ver Radar#31]. No projeto acordado inicialmente, essa classificação comportava 4 tipos de sistemas: com riscos inaceitáveis; elevados (sujeitos a requisitos de autorização e informacionais), limitados (sujeitos a requisitos específicos de transparência) e riscos mínimos ou sem risco. O texto aprovado em 13/3/2024 altera essa categorização, ainda que continue adotando abordagem relacionada a riscos. O processo de discussão levou ao detalhamento dos tipos de sistemas e modelos utilizados, bem como dos setores sujeitos a proibições/restrições, com base em uma nova estrutura de governança criada para esse acompanhamento e na melhor especificação de conceitos e de princípios que devem pautar as exigências associadas aos sistemas de alto risco. Com isso, a Lei dispõe sobre:

• Práticas de IA proibidas, que incluem social scoring e biometric categorization, em situações especificadas (Artigo 5).
• Sistemas de IA de alto risco, que incluem aqueles relacionados a (i) biometria, (ii) infraestrutura crítica, (iii) educação e treinamento vocacional, (iv) empregos e gestão de trabalhadores, (v) acesso e usufruto de serviços essenciais, (vi) cumprimento da Lei (Law enforcement), (vii) migração, asilo e controle de fronteiras e (viii) administração da justiça e processos democráticos, sujeitos a requerimentos diversos e tendo sido estabelecidas exceções e possibilidades de alteração (Artigo 6 e Anexo III).
• Modelos de IA de uso geral, que são modelos de IA utilizados em sistemas de uso geral e que podem, em condições determinadas, suscitar riscos sistêmicos, sujeitos a condições adicionais (Artigo 55).
• Medidas de apoio à inovação, tratando de sandboxes e realização de testes dentro e fora dos mencionados ambientes.
• Governança das novas regras, com distribuição de atribuições e mandatos na UE, estrutura de coordenação (AI Office) e instâncias consultivas.

Os sistemas de IA considerados de alto risco devem apresentar os seguintes elementos: gestão de riscos, gestão e governança de dados, documentação técnica prévia à colocação em mercado ou em funcionamento, e respectiva atualização, procedimento de registro de eventos, transparência e provisão de informações a usuários, supervisão humana e níveis apropriados de acurácia, robustez e segurança cibernética.

A Lei também estabelece exigências para os provedores dos sistemas de alto risco (como controle de qualidade, documentação, ações corretivas e obrigação de informar, além de cooperação com as autoridades), para seus importadores e distribuidores, e para outros integrantes ao longo da cadeia de IA. São também estabelecidas exigências para determinados usuários dos mencionados sistemas, como no caso de entidades públicas ou privadas que prestam serviços públicos essenciais, que passam a estar sujeitas à avaliação de impactos quanto a direitos fundamentais.

As regras têm vigência imediata e serão aplicadas 24 meses após publicação, de forma escalonada e a depender de regulamentação complementar. A esse respeito, na sequência da publicação da Lei, a Comissão Europeia divulgou consulta sobre a aplicação no setor financeiro. Direcionada a participantes e stakeholders do segmento, a consulta traz questões sobre:  desenvolvimento de IA em geral, casos de uso específicos em finanças e a Lei de IA no setor financeiro. O retorno deverá informar a Comissão sobre impacto concreto e aplicações de IA nos serviços financeiros, procurando evitar duplicações ou desincentivos à inovação nos próximos passos dessa regulamentação.

A rápida disseminação de ferramentas que utilizam IA em atividades e serviços prestados no setor financeiro tem exigido ações de reguladores. Ainda em maio na própria UE, a ESMA publicou orientações para intermediários que utilizam IA na prestação de serviços ao varejo, com base em exigências e regras de best execution já vigentes, segundo o MiFID. Também em maio, nos EUA, o Tesouro abriu (nova) consulta, buscando subsídios para ações no tema. Em julho, no Brasil, a ANBIMA publicou um Guia de boas práticas para instituições membro que implementem sistemas de IA, tendo como referência princípios definidos pela OCDE para uso responsável e ético da nova tecnologia.