A avaliação de impacto sobre os direitos fundamentais, ou FRIA (sigla em inglês), é a análise que o artigo 27.º do Regulamento de IA exige de alguns responsáveis pela implantação antes de usarem pela primeira vez um sistema de IA de risco elevado. Ela registra para que o sistema será usado, quem ele afeta, que danos pode causar aos direitos dessas pessoas e como ele é supervisionado. Será obrigatória a partir de 2 de dezembro de 2027, a data que o Omnibus Digital fixou para as obrigações de risco elevado do anexo III.
Quem faz a FRIA é a organização que usa o sistema, e não quem o desenvolve. E nem todos que usam um sistema de risco elevado são obrigados a fazê-la.
Quem precisa fazer a FRIA
O artigo 27.º, n.º 1, do Regulamento (UE) 2024/1689 exige a FRIA de três grupos de responsáveis pela implantação de sistemas de risco elevado do anexo III:
- Os organismos de direito público, como ministérios, prefeituras, universidades públicas ou o serviço público de saúde.
- As entidades privadas que prestam serviços públicos, por exemplo uma concessionária de transporte, uma empresa de saneamento ou uma escola conveniada.
- Qualquer empresa que use IA para avaliar a capacidade de crédito de pessoas ou calcular a sua pontuação de crédito (exceto para detectar fraude), ou para avaliar riscos e definir preços em seguros de vida e de saúde. São as alíneas b) e c) do ponto 5 do anexo III.
Ficam de fora os sistemas do ponto 2 do anexo III, os de infraestruturas críticas, mesmo sendo de risco elevado.
Um caso que vale a pena ter claro: uma empresa privada que usa IA para filtrar currículos tem um sistema de risco elevado (ponto 4 do anexo III), mas não é obrigada a fazer a FRIA se não presta um serviço público. Mesmo assim, nós faríamos. As perguntas do artigo 27.º são as mesmas que um candidato que reclamar ou a autoridade numa fiscalização vão fazer, e ter as respostas prontas custa pouco mais do que o inventário.
O que ela precisa incluir
O artigo 27.º, n.º 1, lista seis conteúdos. Na prática:
- Em quais processos da organização o sistema é usado e para quê, de acordo com a finalidade prevista.
- Por quanto tempo e com que frequência ele será usado.
- Quais pessoas e grupos podem ser afetados nesse uso específico.
- Quais riscos de dano ele representa para essas pessoas, considerando o que o prestador informa nas instruções de uso (artigo 13.º).
- Como a supervisão humana é aplicada.
- O que será feito se os riscos se concretizarem, com a governança interna e o canal de reclamação.
Nossa recomendação sobre o quinto ponto: não basta escrever que «uma pessoa revisa as decisões». É preciso dizer quem, com qual critério e se essa pessoa pode revertê-las. Se a supervisão humana não foi desenhada antes, a FRIA deixa isso exposto.
FRIA e RIPD: o que dá para reaproveitar
Se o sistema trata dados pessoais, é muito provável que já exista um Relatório de Impacto à Proteção de Dados (RIPD/DPIA) do artigo 35.º do GDPR (RGPD europeu). O artigo 27.º, n.º 4, na redação dada pelo Omnibus, permite que a FRIA remeta a esse RIPD ou incorpore partes dele. Não é preciso repetir o trabalho, mas o RIPD sozinho também não basta.
| RIPD/DPIA (GDPR) | FRIA (AI Act) | |
|---|---|---|
| O que protege | Os direitos das pessoas em relação aos seus dados pessoais | Todos os direitos fundamentais: igualdade, não discriminação, acesso a serviços, tutela jurisdicional, além da privacidade |
| Quem faz | O responsável pelo tratamento (controlador) | O responsável pela implantação dos grupos do artigo 27.º, n.º 1 |
| Quando | Antes de um tratamento que represente risco elevado | Antes do primeiro uso do sistema de risco elevado |
| A quem é comunicada | À autoridade de controle só se o risco continuar elevado (consulta prévia do artigo 36.º) | O resultado é sempre notificado à autoridade de fiscalização do mercado |
A diferença de fundo está na primeira linha. Um sistema de score pode cumprir o GDPR sem problemas e, ainda assim, recusar mais pessoas acima de certa idade. Um RIPD não capta isso, e é exatamente o que a FRIA procura.
Quando fazer e quando atualizar
A FRIA é feita antes do primeiro uso e atualizada quando muda algo do que ela registra: a finalidade, os grupos afetados, o modelo ou as medidas de supervisão. O artigo 27.º, n.º 2, permite se apoiar em avaliações anteriores ou nas que o prestador tenha feito para casos parecidos, desde que sejam revisadas para o uso próprio.
Depois de concluída, o resultado é notificado à autoridade de fiscalização do mercado por meio de um questionário que o Serviço para a IA deve publicar (artigo 27.º, n.º 5). Quando revisamos este artigo, esse modelo oficial ainda não estava publicado no site da Comissão. Por isso, o melhor é preparar a FRIA com os seis conteúdos do artigo e passá-la para o questionário quando ele sair.
Como nós a estruturamos
Nós tratamos a FRIA como mais uma parte da ficha de cada sistema de IA, e não como um documento à parte que se escreve uma vez e se esquece:
- Partir do inventário de sistemas de IA e marcar os que precisam dela com as três perguntas acima.
- Recuperar o RIPD do mesmo sistema e ver quais seções podem ser citadas.
- Avaliar cada direito afetado com a mesma escala de probabilidade e impacto usada para os demais riscos da empresa, para que o comitê de IA consiga compará-los.
- Dar à supervisão humana um responsável com nome e medi-la com algum indicador, como o percentual de decisões revisadas por uma pessoa.
- Programar a revisão para quando o modelo ou o seu uso mudarem.
No GlobalSuite® AI Governance, a FRIA é feita como uma pesquisa sobre cada sistema do inventário: cada direito afetado é avaliado por probabilidade e impacto, e o agente de IA compara com sistemas parecidos e sugere os que estão faltando. O relatório sai de um modelo preenchido com os dados da própria ficha.
Se você está começando com o Regulamento, na página do AI Act estão o calendário e a forma de organizar as demais obrigações de risco elevado.
