Parecer sobre a proposta de Regulamento “Digital Omnibus on AI”

No dia 20 de janeiro, foi publicado o Parecer Conjunto 1/2026 do Comité Europeu para a Proteção de Dados (EDPB) e da Autoridade Europeia para a Proteção de Dados (EDPS) sobre a proposta de Regulamento “Digital Omnibus on AI” da Comissão Europeia, que visa simplificar a implementação do Regulamento da Inteligência Artificial (Regulamento (UE) 2024/1689). A Proposta procura dar resposta a determinados desafios de implementação do Regulamento da IA, mediante medidas de simplificação direcionadas.

Embora o EDPB e a EDPS apoiem o objetivo geral de enfrentar os desafios de implementação e reduzir encargos administrativos, alertam que que a prossecução deste objetivo não deverá resultar numa diminuição do nível de proteção dos direitos fundamentais, em particular o direito fundamental à proteção de dados pessoais.

Neste quadro, as entidades sublinham os seguintes temas críticos:

1. Calendário de Implementação

Nos termos do atual art. 113.º do Regulamento da IA, as disposições relativas aos sistemas de IA de risco elevado do Anexo III começam a aplicar-se a partir de 2 de agosto de 2026, e as relativas aos sistemas de risco elevado do Anexo I a partir de 2 de agosto de 2027.

A Proposta prevê que as regras sobre sistemas de IA de risco elevado passem a aplicar-se 6 ou 12 meses após a decisão da Comissão que confirme a disponibilidade de medidas adequadas de apoio à conformidade com o Capítulo III, mas o mais tardar em 2 de dezembro de 2027 para os sistemas de risco elevado do Anexo III e em 2 de agosto de 2028 para os sistemas de risco elevado do Anexo I. A Comissão justifica o adiamento proposto com desafios de implementação, como atrasos na designação de autoridades nacionais competentes e organismos de avaliação da conformidade, bem como a falta de normas harmonizadas, orientações e ferramentas de conformidade. A Proposta alarga igualmente o âmbito temporal da cláusula de salvaguarda (grandfathering clause) do art. 111.º, n.º 2, do Regulamento da IA, nos termos da qual os sistemas de IA de risco elevado já colocados no mercado da UE ficariam em grande medida excluídos do âmbito de aplicação do Regulamento, salvo se forem objeto de alterações significativas no seu design, alterando a data-limite de 2 de agosto de 2026 para 2 de dezembro de 2027.

Quanto aos prestadores de sistemas de IA, incluindo de finalidade geral, que geram conteúdos sintéticos e tenham sido colocados no mercado antes de 2 de agosto de 2026, a Proposta mantém que devem tomar as medidas necessárias para cumprir o disposto no artigo 50.º, n.º 2, até 2 de fevereiro de 2027.

O EDPB e a EDPS reconhecem os fundamentos apresentados para o adiamento, manifestando, porém, preocupação quanto ao potencial impacto na proteção dos direitos fundamentais face à rápida evolução e transformação da tecnologia. Ademais, alertam que a introdução de um prazo variável poderá prejudicar a segurança jurídica. Recomenda-se, por isso, a reponderação da medida, alinhada com ações concertadas das entidades para minimizar o atraso tanto quanto possível.

2. Tratamento de categorias especiais de dados para deteção e correção de enviesamento

A Proposta da Comissão introduzir um novo art. 4.º-A, com o objetivo de alargar o âmbito material e subjetivo da exceção à proibição do tratamento de categorias especiais de dados (atualmente prevista no art. 10.º do Regulamento da IA). Em particular, os prestadores e responsáveis pela implantação de sistemas e modelos de IA que não sejam de risco elevado passariam a beneficiar do fundamento jurídico para o tratamento de categorias especiais de dados, na medida do necessário para a deteção e correção de enviesamentos, desde que sujeitos a garantias adequadas.

O EDPB e a EDPS apoiam, em princípio, a extensão proposta, recordando, porém, que o tratamento de categorias especiais de dados pessoais é, em princípio, proibido pelo direito da União em matéria de proteção de dados, pelo que as exceções a esta proibição devem ser estritamente delimitadas. Para evitar potenciais abusos, os casos em que prestadores e responsáveis pela implantação possam invocar este fundamento jurídico no contexto de sistemas e modelos de IA que não sejam de risco elevado devem ser claramente circunscritos e limitados às situações em que o risco de efeitos adversos causados por enviesamento seja suficientemente grave.

O EDPB e a EDPS recomendam, por isso, uma reformulação da proposta no sentido de, por um lado, repor o critério do “estritamente necessário” e, por outro, esclarecer a extensão do escopo da exceção num considerando da Proposta. Neste âmbito, propõe-se uma revisão integral do art. 4.º, reforçando a segurança jurídica no que respeita à aplicação dos arts. 6.º e 9.º do RGPD.

3. Registo e documentação

A Comissão propõe eliminar a obrigação de registo para os prestadores de sistemas de IA que, apesar de estarem abrangidos pelas categorias de risco elevado constantes do Anexo III do Regulamento, não representam um risco significativo de danos para a saúde, segurança ou direitos fundamentais das pessoas singulares.

Em sentido distinto, as entidades propugnam pela manutenção da obrigação de registo dos sistemas de IA na base de dados da UE para sistemas de risco elevado, mesmo nos casos em que o prestador tenha concluído que o sistema não é de risco elevado, nos termos do artigo 6.º, n.º 3, do Regulamento da IA. A recomendação é sustentada nos objetivos da obrigação de registo, que pretende assegurar a transparência e rastreabilidade destes sistemas perante o público e as autoridades competentes.

O EDPB e a EDPS expressam igualmente preocupação quanto à abordagem de simplificar as obrigações relativas à segurança dos sistemas de IA com base na dimensão da empresa, designadamente no número de trabalhadores, considerando as características de escalabilidade e autonomia da IA.

4. Ambientes de testagem (regulatory sandboxes)

Do Parecer resulta o acolhimento favorável da introdução de ambientes de testagem regulamentar ao nível da UE para apoiar a inovação e as PME em todo o EEE. As recomendações focam-se, por isso, na necessidade de garantir maior segurança jurídica. Em especial, deverá clarificar-se a intervenção das autoridades nacionais de proteção de dados no que respeita aos ambientes de testagem da regulamentação na União, à semelhança do que sucede com os ambientes de testagem nacionais.

5. Supervisão pelo Serviço Europeu de IA

A Proposta prevê que o Serviço de IA seja exclusivamente competente para a supervisão e aplicação das regras a sistemas de IA baseados num modelo de IA de finalidade geral, quando o modelo e o sistema sejam desenvolvidos pelo mesmo prestador, bem como a sistemas de IA que constituam ou estejam integrados em plataformas em linha de muito grande dimensão ou motores de pesquisa em linha de muito grande dimensão.

O EDPB e a EDPS alertam que esta disposição pode não ser suficiente para garantir a capacidade de açã das autoridades nacionais competentes caso o Serviço de IA não o tenha feito ou não pretenda fazê-lo, dada a exclusividade da competência atribuída ao Serviço de IA. Assim, e para além da necessidade de delimitar de forma clara os tipos de modelos de IA que acionam a competência exclusiva, é recomendada a cooperação estreita entre o Serviço de IA e as autoridades nacionais de proteção de dados.

6. Cooperação com Autoridades de Direitos Fundamentais

A cooperação proposta entre as autoridades de fiscalização do mercado e as autoridades de direitos fundamentais, designadamente através do intercâmbio de informações, é acolhida pelo EDPB/EDPS. As recomendações do Parecer dirigem-se, por isso, à otimização da coordenação, compreendendo, por exemplo, a clarificação de que o papel das autoridades de fiscalização do mercado deve ser estritamente o de um ponto de contacto administrativo para a execução e transmissão de pedidos de informação ou documentação a prestadores e responsáveis pela implantação, não devendo apreciar a necessidade ou proporcionalidade do pedido; salvaguarda da independência e dos poderes existentes das autoridades de proteção de dados; clarificação da articulação entre a nova obrigação de cooperação e assistência mútua e a assistência mútua transfronteiriça para a fiscalização do mercado e a conformidade dos produtos; ou, ainda, especificação de que as autoridades de fiscalização do mercado devem fornecer as informações solicitadas pelas autoridades de direitos fundamentais sem demora injustificada, tanto a nível nacional como em casos transfronteiriços.

7. Literacia em IA

A Comissão propõe eliminar a obrigação geral de assegurar a literacia em IA para os prestadores e responsáveis pela implantação de sistemas de IA, substituindo-a por uma obrigação da Comissão Europeia e dos Estados-Membros de incentivar os operadores a adotar as medidas necessárias.

O EDPB/EDPS entendem que a literacia em IA exerce uma função determinante no conhecimento dos desafios éticos e sociais, riscos e benefícios associados à IA. Neste sentido, relegar esta obrigação para a Comissão e os Estados-Membros poderá prejudicar este objetivo geral.