Anexo III: a lista do risco elevado.

O anexo III é a lista que decide se as obrigações mais pesadas do Regulamento da IA se aplicam a ti. Oito categorias, cada uma a nomear utilizações específicas. Se o teu sistema faz uma das coisas que estão nesta lista, é presumivelmente de risco elevado - e, a partir daí, o artigo 6(3) é a única saída.

Estar dentro de uma área do anexo III não encerra a análise. O artigo 6(3) pode retirar um sistema do risco elevado mesmo dentro de uma área listada - a não ser que ele defina perfis de pessoas singulares, caso em que a saída fica fechada em absoluto. Como funciona a isenção.

As oito categorias

As categorias 1, 6 e 7 só se aplicam na medida em que a utilização seja permitida pelo direito da União ou nacional aplicável. Várias das utilizações que lhes ficam ao lado não são sequer de risco elevado, são pura e simplesmente proibidas ao abrigo do artigo 5 - recolha não direcionada de imagens faciais, classificação social, inferência de emoções em locais de trabalho e escolas. Proibido é uma categoria diferente e pior do que risco elevado.

As duas perguntas que decidem a maioria dos casos

É uma pessoa singular o objeto da avaliação? Isto atravessa o anexo inteiro. Avaliar o crédito de uma empresa não é avaliar uma pessoa. Extrair dados de um currículo não é avaliar o candidato. Analisar transações não é pontuar o cliente. No momento em que a pessoa passa a ser aquilo que está a ser avaliado, estás dentro do anexo e a saída do artigo 6(3) fecha-se.

O sistema decide, ou influencia materialmente a decisão? "O modelo apenas recomenda, uma pessoa aprova" não é a defesa que as equipas julgam ser. Quando a pessoa segue a recomendação quase todas as vezes, é o sistema que está a decidir para efeitos do anexo III.

O que se te cola se estás dentro

O capítulo III: um sistema de gestão de riscos, governação de dados, documentação técnica, registo, transparência para os responsáveis pela implantação, conceção da supervisão humana, exatidão e cibersegurança, gestão da qualidade, avaliação da conformidade, marcação CE e registo na base de dados da UE. Realisticamente, 12 a 18 meses de trabalho.

O prazo é 2 de dezembro de 2027 para os sistemas do anexo III, depois do adiamento do Omnibus de junho de 2026 - agosto de 2028 para os produtos do anexo I. O que o Omnibus mexeu e o que não mexeu.

O anexo III pode ser alterado pela Comissão por ato delegado. A lista com que vais ter de cumprir em 2027 pode não ser idêntica à de hoje. O nosso registo de alterações regista todas as mudanças que afetam a classificação.

Perguntas frequentes

Quais são as oito categorias do anexo III?

Biometria; infraestruturas críticas; educação e formação profissional; emprego e gestão de trabalhadores; acesso a serviços privados e públicos essenciais; aplicação da lei; migração, asilo e controlo de fronteiras; e administração da justiça e processos democráticos.

Estar no anexo III torna automaticamente o meu sistema de risco elevado?

Torna-o presumivelmente de risco elevado. O artigo 6(3) ainda pode retirar um sistema da categoria se este executa uma tarefa processual restrita, melhora o resultado de uma atividade humana previamente concluída, deteta padrões de decisão sem substituir a apreciação humana, ou faz trabalho preparatório - mas não se definir perfis de pessoas singulares.

A notação de crédito está no anexo III?

Está, no ponto 5, que abrange a IA que avalia a solvabilidade ou estabelece uma notação de crédito. A IA usada para detetar fraude financeira está expressamente excluída desse ponto.

A lista do anexo III pode mudar?

Pode. A Comissão pode alterar o anexo III por ato delegado, pelo que a lista com que vais ter de cumprir em 2027 pode ser diferente da de hoje.

Quando é que as obrigações do anexo III se aplicam?

A 2 de dezembro de 2027, depois de o Omnibus de junho de 2026 as ter adiado de agosto de 2026. Os sistemas do anexo I - IA como componente de segurança em produtos regulados - passam para agosto de 2028.