Artigo 26 da Lei de IA da UE: Obrigações do Deployer para IA de Alto Risco

Quem é um Deployer?

Um deployer é qualquer pessoa física ou jurídica que usa um sistema de IA sob sua própria autoridade no curso de uma atividade profissional (indivíduos que usam IA para razões puramente pessoais e não profissionais são excluídos).

As obrigações do deployer estão ao lado, e não em vez das obrigações do fornecedor. O fornecedor constrói e documenta o sistema; o deployer é responsável por como ele é realmente usado. Se um deployer modificar substancialmente um sistema de alto risco ou colocar seu próprio nome nele, ele também pode assumir as obrigações do fornecedor sob o Artigo 25.

Os Deveres Principais do Deployer

O Artigo 26 impõe um conjunto definido de obrigações operacionais aos deployers de sistemas de IA de alto risco:

• Use de acordo com as instruções — tomar medidas técnicas e organizacionais apropriadas para usar o sistema de acordo com as instruções do fornecedor para uso
• Atribuir supervisão humana competente — confiar a supervisão a pessoas físicas que tenham a competência, treinamento, autoridade e apoio necessários para exercê-la sob o Artigo 14
• Controlar os dados de entrada — onde o deployer controla os dados de entrada, garantir que sejam relevantes e suficientemente representativos em vista do propósito pretendido do sistema
• Monitorar a operação — monitorar a operação do sistema contra as instruções para uso e informar o fornecedor ou distribuidor onde um risco surgir
• Mantenha os logs gerados automaticamente — reter os logs que o sistema gera automaticamente, na medida em que estejam sob o controle do deployer, por pelo menos seis meses (a menos que um período mais longo seja estabelecido pela lei da União ou nacional)
• Informar os trabalhadores e representantes — antes de colocar um sistema de alto risco em serviço no local de trabalho, informar os trabalhadores afetados e seus representantes de que estarão sujeitos a ele
• Avaliação de impacto de proteção de dados — onde relevante, usar as informações fornecidas sob o Artigo 13 para realizar uma avaliação de impacto de proteção de dados sob o RGPD
• Suspender e informar sobre risco grave — onde o sistema apresenta um risco à saúde, segurança ou direitos fundamentais, ou um incidente grave ocorre, suspender o uso, informar o fornecedor, distribuidor e autoridades relevantes e cooperar

O Piso de Retenção de Log de Seis Meses

Os deployers devem manter os logs gerados automaticamente pelo sistema de IA de alto risco por um período apropriado ao propósito pretendido e, em qualquer caso, por pelo menos seis meses — a menos que um período de retenção mais longo seja exigido pela lei da União ou nacional.

Isso se aplica aos logs que estão sob o controle do deployer. É o contraparte do lado do deployer do design de registro do fornecedor sob os Artigos 12 e 19: o fornecedor constrói a capacidade de registro, e o deployer é responsável por realmente reter e ser capaz de produzir os registros resultantes. As regras setoriais (por exemplo, no setor financeiro ou de saúde) frequentemente estabelecem um piso mais longo, então trate seis meses como o mínimo, não o alvo.

As autoridades públicas que atuam como deployers têm deveres adicionais de transparência e registro sob os Artigos 26 e 49.