Aplica-se fora da UE?

"Não somos uma empresa europeia, portanto isto não se aplica a nós" é a leitura errada mais comum e mais cara do Regulamento da IA. O artigo 2 abrange prestadores e responsáveis pela implantação independentemente do local onde estão estabelecidos. O critério não é onde a empresa está constituída. O que conta é onde o teu sistema é colocado no mercado, onde está o teu responsável pela implantação e - a alínea residual que quase toda a gente ignora - onde os resultados são usados.

O artigo 2(1)(c) aplica o regulamento a prestadores e responsáveis pela implantação em países terceiros "caso os resultados produzidos pelo sistema de IA sejam usados na União". Uma empresa de São Francisco sem entidade na UE, sem servidores na UE e sem pessoal na UE fica abrangida no momento em que um cliente em Dublin usa aquilo que o seu modelo produz.

As sete formas de ficares abrangido

Os casos que aparecem mesmo

SaaS dos EUA com clientes na UE. Abrangido. És o prestador das funcionalidades de IA que lanças, e a utilização pelos teus clientes coloca os resultados na União. A constituição no Delaware é irrelevante. Especificidades de SaaS.

Empresa do Reino Unido depois do Brexit. Para estes efeitos, o Reino Unido é um país terceiro, pelo que a análise é idêntica à dos EUA - utilizadores na UE significa estar abrangido. O Reino Unido não tem um diploma equivalente próprio, o que significa que as empresas britânicas ficam com as obrigações do Regulamento da IA sem um regime interno com que as alinhar.

Empresa da UE que só vende fora da UE. Continua abrangida enquanto responsável pela implantação ao abrigo do 2(1)(b) quanto aos sistemas que usa internamente, porque essa alínea depende de onde estás estabelecido e não de onde estão os teus clientes. As tuas ferramentas internas de IA são apanhadas mesmo que nenhum cliente seja europeu.

Empresa de fora da UE com pessoal na UE. A utilização de IA sobre esses trabalhadores é atividade de responsável pela implantação que afeta pessoas na União. As ferramentas de RH são o desencadeador habitual - e são também a área do anexo III com as obrigações mais pesadas. Pormenor sobre RH.

Tratar dados pessoais da UE mas usar os resultados noutro sítio. É aqui que o Regulamento da IA e o RGPD se separam. O RGPD segue os dados pessoais. O Regulamento da IA segue o sistema, o mercado e os resultados. Podes estar em cheio no âmbito do RGPD e fora do Regulamento da IA, ou ao contrário. O mapeamento, para equipas de privacidade.

Os prestadores de sistemas de risco elevado de fora da UE precisam de alguém na União

Ao abrigo do artigo 22, um prestador estabelecido num país terceiro tem de designar, por mandato escrito, um mandatário estabelecido na União antes de disponibilizar um sistema de IA de risco elevado no mercado da União. O mandatário conserva a documentação, coopera com as autoridades e pode pôr termo ao mandato se o prestador atuar em contrário às suas obrigações.

Existe uma exigência paralela para os prestadores de modelos de IA de fins gerais de países terceiros, ao abrigo do artigo 54.

Esta é a obrigação que as equipas de fora da UE descobrem por último, porque é administrativa e não técnica - e é uma condição prévia de acesso ao mercado, não uma formalidade que se regularize depois. Só se aplica se alguma coisa que lanças for genuinamente de risco elevado, o que vale a pena estabelecer antes de ires à procura de um mandatário.

O que está genuinamente fora do âmbito

A exclusão do código aberto é a que mais vezes é invocada em excesso. Publicar um modelo sob uma licença permissiva não o isenta se for colocado em serviço como sistema de risco elevado, se envolver uma prática proibida, ou se se aplicarem os deveres de transparência do artigo 50.

Estar abrangido não é o mesmo que estar sobrecarregado

É esta a parte que se perde. Âmbito e nível são perguntas separadas, e quase todas as empresas de fora da UE que entram em pânico com a primeira descobrem que a segunda é pouco exigente.

A maioria das empresas de SaaS de fora da UE que estão abrangidas acaba como prestadora de sistemas de risco limitado ou mínimo. Na prática, isso significa: divulgação ao abrigo do artigo 50 se o teu produto conversa com utilizadores, literacia do artigo 4 para o pessoal, e uma verificação do artigo 5. O capítulo III - avaliação da conformidade, marcação CE, registo na base de dados da UE - só se aplica se alguma coisa que lanças for genuinamente de risco elevado ao abrigo do anexo III.

O resultado que interessa mesmo a uma empresa de fora da UE é uma posição escrita e datada: quais dos teus sistemas estão abrangidos, ao abrigo de que alínea do artigo 2, em que nível, e o que daí decorre. É isso que as compras das grandes empresas europeias pedem, e é normalmente um dia de trabalho e não um programa de conformidade.

O âmbito territorial é resolvido pelo artigo 2 com base nos factos da tua implantação, não pelo sítio onde estão os teus servidores. Alojar nos EUA não te tira do âmbito, e alojar na UE não te põe nele. A verificação gratuita percorre as alíneas do artigo 2 antes de olhar para o nível, porque errar o âmbito faz com que tudo o que vem a seguir fique errado.