O Regulamento da IA para produtos SaaS

Quase todas as equipas de SaaS acrescentaram funcionalidades de IA nos últimos três anos: um copiloto, um resumidor, um bot de apoio, um modelo de pontuação. A pergunta do Regulamento da IA para o SaaS raramente é "aplica-se" - se os teus utilizadores estão na UE, quase de certeza que sim, independentemente de onde estejas constituído. As perguntas a sério são que funcionalidades têm deveres, de quem são esses deveres e quais são exigíveis já.

Ao nível da funcionalidade, não da empresa

O regulamento regula sistemas de IA, não empresas. Um produto SaaS típico são vários sistemas com níveis diferentes:

Primeiro o inventário: lista as tuas funcionalidades de IA, quem é afetado por cada uma, e se o objeto de alguma avaliação é uma pessoa singular. A maior parte dos produtos SaaS aterra em limitado ou mínimo em toda a linha - uma posição escrita defensável que leva um dia a produzir, e que o departamento de compras de um cliente empresarial vai acabar por pedir.

"Nós só chamamos a OpenAI/a Anthropic" - o que isso significa mesmo

Chamar um modelo por API mantém o artigo 53 (deveres de GPAI) com quem fornece o modelo, não contigo - incluindo o resumo dos dados de treino e a política de direitos de autor que preocupam toda a gente. Uma afinação ligeira dentro do domínio também te mantém normalmente a jusante. O que o uso de API não faz é remover os teus deveres ao nível do sistema: o teu chatbot continua a ter de se divulgar (art. 50(1)), o teu produto continua a ser classificado pelo que ele faz aos seus utilizadores, e um retreino substancial ou um novo domínio de tarefas pode afinal tornar-te prestador de GPAI. O limiar, em detalhe.

Quanto ao papel, lançar funcionalidades de IA com a tua marca torna-te prestador dessas funcionalidades mesmo que o modelo por baixo seja de outra pessoa. Os teus clientes são tipicamente responsáveis pela implantação - o que significa que a tua documentação é matéria-prima da conformidade deles, e que "posição face ao Regulamento da IA disponível a pedido" está discretamente a tornar-se um filtro nas compras. Prestador ou responsável pela implantação.

Em vigor já face a dezembro de 2027

Desde 2 de agosto de 2026: artigo 50 (o teu bot virado para o utilizador diz que é um bot, no primeiro contacto, e não na política de privacidade), artigo 4 (uma sessão registada de literacia em IA para o pessoal que mexe nos sistemas), artigo 5 (nada de inferência de emoções sobre trabalhadores ou utilizadores em contextos proibidos). Adiado para 2 de dezembro de 2027: o conjunto pesado do capítulo III, e só se alguma coisa que lanças for genuinamente de risco elevado - verifica a isenção do artigo 6(3) antes de assumires que é.

SaaS norte-americano e britânico a vender para a UE: o artigo 2 alcança os prestadores onde quer que estejam estabelecidos, quando o resultado é usado na UE. O Delaware não ajuda. O que o regulamento pede a um SaaS B2B típico é menos do que se teme - mas "olhámos para o assunto, esta é a nossa posição, com data" é o que se entrega, e é a sua ausência que trava negócios empresariais.

A versão de 90 minutos

• Inventaria as tuas funcionalidades de IA e quem é afetado por cada uma
• Faz a verificação gratuita por cada funcionalidade que toque em pessoas - dois minutos cada
• Acrescenta a linha de divulgação de IA à saudação do teu bot (esta semana - é lei em vigor)
• Faz e lavra ata de uma sessão de literacia em IA
• Escreve a posição de uma página, põe-lhe data e entrega-a ao próximo questionário de compras que a peça

Quando o departamento jurídico de um potencial cliente quer mais do que uma página, o relatório de lacunas completo (in English) (em inglês) é a versão defensável: papel, nível de risco, obrigações, prazos e uma lista de correções, referidos ao teu produto real - 59 €, uma vez.