Banca e seguros: preparar a TI para a IA de alto risco

Inteligência Artificial · 4 min

O AI Act classifica determinados sistemas de crédito e seguros como IA de alto risco. Saiba como preparar a TI para os requisitos de dados, registos e supervisão humana.

Banca e seguros: preparar a TI para a IA de alto risco

TL;DR

O AI Act classifica como alto risco determinados sistemas de avaliação de crédito de pessoas singulares e de avaliação de risco e tarifação de seguros de vida e saúde.
Após as alterações do AI Omnibus, as regras específicas para estes sistemas aplicam-se a partir de 2 de dezembro de 2027, sem prejuízo de outras obrigações já aplicáveis.
A classificação deve considerar a finalidade de cada sistema, as exceções previstas e a possibilidade de realizar perfis de pessoas singulares.
As responsabilidades variam entre fornecedores e entidades que utilizam os sistemas; os contratos devem refletir essa distinção.
Registos, governação de dados, supervisão humana e avaliação de impacto sobre direitos fundamentais exigem preparação técnica e organizativa.

O calendário mudou, mas o âmbito está definido

Na banca e nos seguros, a inteligência artificial já apoia decisões que afetam diretamente pessoas singulares, desde a concessão de crédito à avaliação do risco em seguros. O Regulamento (UE) 2024/1689, conhecido como AI Act, classifica determinadas utilizações como sistemas de IA de alto risco, nomeadamente a avaliação da solvabilidade ou pontuação de crédito de pessoas singulares e a avaliação de risco e tarifação de seguros de vida e saúde. Com as alterações introduzidas pelo AI Omnibus, em vigor desde 27 de julho de 2026, os requisitos específicos para os sistemas de alto risco previstos no anexo III passam a aplicar-se a partir de 2 de dezembro de 2027. Este adiamento não altera a necessidade de preparação nem afasta outras disposições do regulamento já aplicáveis. Para as equipas de TI, o desafio é identificar os sistemas abrangidos e assegurar que a arquitetura, os dados, os registos e os mecanismos de supervisão permitem cumprir as obrigações relevantes.

Delimitar o âmbito evita trabalho desnecessário

O primeiro passo é inventariar os sistemas de IA e classificá-los de acordo com a finalidade para que foram concebidos e utilizados. O anexo III, ponto 5, do AI Act abrange determinados sistemas de avaliação de crédito de pessoas singulares, mas não inclui, por essa disposição, a avaliação de crédito de empresas. Exclui ainda os sistemas destinados à deteção de fraude financeira. Nos seguros, a classificação prevista no ponto 5, alínea c), refere-se especificamente à avaliação de risco e tarifação de seguros de vida e saúde; outros ramos, como o automóvel ou multirriscos, não ficam abrangidos por essa alínea apenas por utilizarem IA. Existem, contudo, outras disposições a considerar e exceções limitadas no artigo 6.º, n.º 3, para determinadas tarefas que não influenciem materialmente a decisão. Quando o sistema realiza definição de perfis de pessoas singulares, essa exceção não é aplicável. Cada classificação deve ficar fundamentada e documentada.

O papel de cada entidade determina as obrigações

O AI Act distingue os fornecedores, responsáveis pelo desenvolvimento ou disponibilização de sistemas de IA sob o seu nome ou marca, das entidades responsáveis pela implantação, que utilizam esses sistemas sob a sua autoridade. Um banco que desenvolve internamente um sistema de pontuação de crédito para utilização própria pode assumir obrigações de fornecedor. Já uma seguradora que adquire uma solução a terceiros atuará, em regra, como responsável pela implantação, sem prejuízo de outras responsabilidades que possam surgir. Aos fornecedores cabem requisitos como gestão de risco, governação de dados, documentação técnica, avaliação da conformidade e mecanismos de registo. As entidades que utilizam os sistemas devem assegurar uma utilização conforme às instruções, supervisão humana adequada, monitorização e conservação dos registos sob o seu controlo, nos termos aplicáveis. Para as equipas de compras e TI, isto exige contratos claros sobre documentação, acesso a evidências, atualizações, incidentes e responsabilidades de cada parte.

Registos, dados e supervisão humana são requisitos de arquitetura

Os sistemas de IA de alto risco devem dispor de capacidades de registo automático de eventos que permitam acompanhar o seu funcionamento e apoiar a identificação de riscos. O artigo 12.º estabelece este princípio, enquanto o artigo 26.º prevê obrigações de conservação dos registos sob controlo da entidade que utiliza o sistema, com regras específicas para instituições financeiras e sem prejuízo da legislação aplicável à proteção de dados. Na prática, é importante definir que eventos são registados, quem lhes pode aceder e como são protegidos. A rastreabilidade pode também beneficiar da identificação de versões dos modelos, alterações relevantes e fontes de dados, de acordo com a finalidade e os riscos do sistema. A supervisão humana exige igualmente condições técnicas: disponibilizar informação compreensível sobre os resultados, permitir a intervenção de pessoas competentes e apoiar a identificação de erros ou resultados inesperados. Estes mecanismos devem ser previstos na arquitetura, e não acrescentados apenas no final do projeto.

A governação existente no setor é um ponto de partida

Bancos e seguradoras já dispõem de estruturas de gestão de risco, controlo interno, conformidade e auditoria decorrentes da regulamentação financeira. O AI Act reconhece essa realidade e permite que determinadas obrigações sejam satisfeitas através dos mecanismos de governação setorial existentes, nas condições previstas nos artigos 17.º e 26.º. Contudo, essa articulação não dispensa os restantes requisitos aplicáveis. Para os sistemas de avaliação de crédito de pessoas singulares e de avaliação de risco e tarifação de seguros de vida e saúde classificados como alto risco, o artigo 27.º exige ainda uma avaliação de impacto sobre os direitos fundamentais antes da primeira utilização, nos termos previstos. Esta avaliação deve considerar as pessoas afetadas, os riscos, a supervisão humana e as medidas de mitigação, podendo aproveitar elementos de avaliações de impacto sobre a proteção de dados já realizadas. A equipa de TI deve colaborar com as funções de risco, conformidade e proteção de dados, fornecendo evidências sobre o funcionamento e os controlos dos sistemas.

Preparar com método e sem antecipar certezas

O prazo de 2 de dezembro de 2027 deve ser utilizado para organizar a preparação por fases. O trabalho pode começar pelo inventário e classificação dos sistemas, seguindo-se a identificação dos papéis contratuais, a avaliação das capacidades de registo e supervisão humana e a integração dos requisitos nas estruturas de governação existentes. Importa também rever os contratos com fornecedores, as políticas de acesso, a proteção dos dados e os procedimentos de monitorização e resposta a incidentes. Os sistemas já colocados no mercado ou em serviço antes da data de aplicação devem ser avaliados à luz das regras transitórias do artigo 111.º, evitando assumir que todos ficam automaticamente sujeitos ao mesmo regime. As orientações da Comissão Europeia continuarão a apoiar a interpretação e aplicação do regulamento. Para as equipas de TI, o objetivo deve ser chegar ao prazo com responsabilidades definidas, documentação organizada e mecanismos de controlo verificáveis, sem depender de correções de última hora.