O prazo de agosto de 2026 para os utilizadores de IA de alto risco aproxima-se rapidamente, e a maioria das organizações ainda nem sequer começou.
Um banco implementa um modelo de IA para avaliar pedidos de empréstimo. Este modelo processa milhares de decisões por semana. A produtividade aumenta. A equipa está satisfeita.
Dezoito meses depois, uma auditoria interna detecta algo que ninguém programou nem aprovou. Os candidatos de determinados códigos postais estão a ser rejeitados a uma taxa muito superior à média estatística. O padrão parece, inequivocamente, constituir uma discriminação indireta.
Eis o que torna este cenário tão perigoso: o tratamento de dados estava em conformidade. A documentação do modelo estava atualizada. Todos os requisitos da Avaliação de Impacto sobre a Proteção de Dados (DPIA) foram cumpridos. A organização acreditava ter feito tudo corretamente.
Mas isso não aconteceu, porque existe uma categoria de risco que a sua Avaliação de Impacto sobre a Proteção de Dados (DPIA) nunca foi concebida para detetar. Ao abrigo da Lei da UE sobre a IA, essa lacuna tem um nome, um prazo legal e está associada a uma sanção financeira significativa, designada por Avaliação de Impacto sobre os Direitos Fundamentais (FRIA).
O que é uma Avaliação do Impacto nos Direitos Fundamentais (FRIA)?
Uma Avaliação do Impacto nos Direitos Fundamentais (FRIA) é uma análise estruturada pré-implantação exigida pelo artigo 27.º da Lei da UE sobre a IA para determinados operadores de sistemas de IA de alto risco. Entra em vigor a 2 de agosto de 2026.
Enquanto uma Avaliação de Impacto sobre a Proteção de Dados (DPIA) se centra nos dados (o que recolhe, como os armazena e se o tratamento é lícito), uma FRIA centra-se nas pessoas: se o seu sistema as trata de forma justa, se cria desvantagens sistémicas e se as pessoas afetadas pelas suas decisões dispõem de um meio eficaz para as contestar.
Uma FRIA exige que responda a cinco perguntas que a sua DPIA não coloca:
- Que direitos fundamentais são afetados por este sistema de IA?
- De que forma poderia isso comprometer a dignidade, a igualdade, a privacidade ou o acesso a vias de recurso?
- O que acontece a pessoas concretas quando o sistema está errado?
- Quem é responsável por esses resultados e que tipo de supervisão existe?
- Como pode uma pessoa afetada contestar uma decisão tomada a seu respeito?
Estas são as perguntas que os seus clientes, as entidades reguladoras e o conselho de administração irão fazer quando algo correr mal. A FRIA é o local onde prepara as respostas antes de precisar delas.
Quem está sujeito ao artigo 27.º?
A obrigação prevista na FRIA aplica-se a:
- Entidades públicasque implementam sistemas de IA de alto risco
- Organizações privadas que prestam serviços públicos, tais como serviços de utilidade pública, transportes ou infraestruturas públicas
- Empresas que operam em domínios regulamentados de alto risco, incluindo a avaliação da solvabilidade e a fixação de preços dos seguros de vida e de saúde
Se a sua organização se enquadrar numa destas categorias e implementar um sistema de IA de alto risco, tal como definido no Anexo III da Lei da IA da UE, o artigo 27.º aplica-se à sua organização.
FRIA vs. DPIA: Compreender a diferença
A maioria das equipas de conformidade parte do princípio de que a sua DPIA atual abrange toda a situação. Na verdade, abrange apenas parte dela, e é precisamente nessa suposição que reside a lacuna.
É quase certo que o banco do nosso cenário inicial tinha um historial de tratamento de dados em conformidade. O padrão de discriminação criado pela sua IA não tinha nada a ver com o armazenamento de dados, mas sim com o objetivo para o qual o modelo estava a ser otimizado. Uma DPIA não teria detetado isso. Uma FRIA teria.
A Lei da UE sobre IA permite que os responsáveis pela implementação combinem uma FRIA com uma DPIA já existente sempre que haja sobreposição, mas a FRIA deve, ainda assim, abordar direitos que nunca foram abrangidos pelo âmbito de avaliação da DPIA: a não discriminação, a liberdade de expressão, o acesso à justiça e o direito a uma boa administração.
Um sistema pode cumprir todos os requisitos de proteção de dados e, mesmo assim, produzir resultados que prejudiquem as pessoas de formas que o seu quadro de conformidade atual nunca foi concebido para detetar.
O custo do incumprimento
As entidades reguladoras em toda a Europa estão a reforçar a sua capacidade de auditoria para acompanhar o calendário de aplicação da lei. Os números não são teóricos.
O incumprimento do artigo 27.º expõe as organizações a multas que podem ir até 30 milhões de euros ou 6 % do volume de negócios anual global, consoante o valor que for mais elevado.
Para além da sanção pecuniária, as entidades reguladoras podem ordenar a suspensão de um sistema enquanto se aguarda a correção do problema. Para qualquer organização em que esse sistema esteja na base de um processo empresarial essencial, a perturbação operacional pode ter um impacto significativamente superior ao da própria multa.
As organizações que disponham de processos FRIA documentados irão avançar rapidamente nas conversas com as entidades reguladoras. As que não os tiverem passarão a primeira semana de qualquer inquérito a explicar por que razão a documentação não existe.
Para além da conformidade: por que razão as FRIAs melhoram os sistemas de IA
A maioria das equipas de conformidade encara a FRIA como mais um item a assinalar numa lista de verificação de implementação. Essa abordagem deixa de lado um valor significativo.
Uma FRIA rigorosa obriga as funções jurídicas, de recursos humanos, de produto, de ciência de dados e de risco a reunirem-se na mesma sala e a chegarem a um consenso sobre o que o sistema faz, quem afeta e o que constitui um risco aceitável. Essa conversa traz à tona pressupostos que as equipas têm vindo a manter separadamente. Identifica casos extremos que a equipa técnica não detectou porque se estava a concentrar na avaliação do desempenho, e ninguém lhes pediu para avaliar o impacto humano.
As organizações que utilizam as FRIAs relatam sistematicamente o mesmo resultado: o processo melhora o próprio sistema de IA.São adicionadas restrições antes do lançamento. As funções-objetivo são ajustadas. Os mecanismos de supervisão são integrados logo na fase de conceção, em vez de serem implementados posteriormente sob pressão.
A Lei da IA incentiva o envolvimento das partes interessadas, incluindo os grupos afetados, peritos independentes e a sociedade civil, sempre que adequado. As organizações que extraem o máximo valor das FRIAs não encaram isto como um exercício de documentação, mas sim como uma revisão do projeto.
O que precisa de fazer antes de agosto de 2026
O artigo 27.º entra em vigor a 2 de agosto de 2026, daqui a menos de cinco meses. O Gabinete de IA publicará um modelo de FRIA para apoiar os responsáveis pela implementação, e as organizações poderão recorrer a avaliações já realizadas pelos prestadores de serviços e combinar as FRIA com as DPIA existentes, sempre que exista uma sobreposição efetiva.
O quadro estrutural para a conformidade já está estabelecido. A questão é saber se a vossa equipa desenvolve o processo agora, com tempo suficiente para o fazer de forma adequada, ou se preenche os modelos sob pressão regulamentar, semanas antes do prazo.
Um ponto de partida prático:
- Identifique quais das suas implementações de IA se enquadram nas categorias de alto risco do Anexo III
- Identificar os direitos fundamentais que possam ser afetados por cada sistema
- Estabelecer responsabilidades interfuncionais: jurídico, ciência de dados, RH, gestão de risco e produto
- Verifique se a documentação existente relativa à AVPD pode servir de base
- Documente a sua avaliação, as suas conclusões e as medidas de mitigação antes da entrada em funcionamento
As organizações que começarem agora terão algo que as outras não terão: um historial de governação que antecede a pressão regulatória. Isso é mais importante do que a maioria das equipas de conformidade reconhece atualmente.
Crie o seu processo FRIA com a Archer
A Archer ajuda as organizações a conceber processos FRIA que se integrem nas suas estruturas mais amplas de governação da IA e de gestão de riscos, transformando um requisito regulamentar numa capacidade repetível e auditável.
Saiba mais sobre a Archer AI Governance →
Fale com a nossa equipa sobre a governação da IA na sua organização →
Perguntas frequentes
O que é uma Avaliação do Impacto nos Direitos Fundamentais (FRIA) ao abrigo da Lei da IA da UE?
Uma Avaliação do Impacto nos Direitos Fundamentais (FRIA) é uma avaliação obrigatória prevista no artigo 27.º da Lei da UE sobre IA para determinados sistemas de IA de alto risco. Identifica de que forma um sistema de IA pode afetar os direitos fundamentais dos indivíduos, incluindo a privacidade, a não discriminação e o acesso à justiça. A FRIA deve ser concluída antes da implementação e inclui a avaliação dos riscos, dos grupos afetados e das medidas de mitigação, a fim de garantir uma utilização responsável da IA.
Quem é obrigado a realizar uma FRIA nos termos do artigo 27.º da Lei da UE sobre a IA?
Uma FRIA deve ser realizada pelos responsáveis pela implementação de sistemas de IA de alto risco, nomeadamente organizações do setor público e entidades privadas que prestam serviços públicos. Aplica-se igualmente a determinados casos de utilização que envolvam tomadas de decisão sensíveis, tais como a avaliação de crédito ou a avaliação de risco no setor dos seguros. Estas organizações devem concluir a FRIA antes da primeira utilização e atualizá-la caso o sistema ou a sua utilização sofram alterações.
Em que é que uma FRIA difere de uma Avaliação do Impacto na Proteção de Dados (DPIA)?
Enquanto uma Avaliação do Impacto na Proteção de Dados (DPIA) se centra nos riscos para os dados pessoais ao abrigo do RGPD, uma FRIA tem um âmbito mais alargado. Esta avalia o impacto dos sistemas de IA numa vasta gama de direitos fundamentais, tais como a equidade, a dignidade e a não discriminação. Em alguns casos, uma DPIA pode complementar uma FRIA, mas a FRIA aborda especificamente as implicações sociais e éticas da implementação da IA ao abrigo da Lei da UE sobre a IA.
