Lei de IA da UE: Monitoramento e Relatório de Incidentes Pós-Mercado (Artigos 72–73)

Artigo 72: Monitoramento Pós-Mercado

Prestadores de sistemas de IA de alto risco devem ativamente monitorar como seus sistemas se desempenham após serem colocados no mercado ou postos em serviço:

• Estabeleça e documente um sistema de monitoramento pós-mercado proporcional à natureza da tecnologia de IA e seus riscos
• Coletar, documentar e analisar dados relevantes sobre o desempenho ao longo da vida útil do sistema, incluindo de desenvolvedores e outras fontes
• Baseie a atividade em um plano de monitoramento pós-mercado que faz parte da documentação técnica — a Comissão deve fornecer um modelo
• Use o monitoramento para avaliar a conformidade contínua e detectar problemas que precisam de ação corretiva

Artigo 73: Relatório de Incidentes Graves

Quando algo dá muito errado, o Artigo 73 impõe prazos curtos e escalonados para relatar às autoridades de vigilância do mercado. Um incidente grave inclui morte ou dano grave à saúde, interrupção grave e irreversível de infraestrutura crítica, violação de obrigações de direitos fundamentais ou dano grave à propriedade ou ao meio ambiente:

• Regra geral: relatar imediatamente após o prestador estabelecer uma ligação causal (ou probabilidade razoável) entre o sistema e o incidente, e no máximo 15 dias após tomar conhecimento
• Violação generalizada ou interrupção grave e irreversível de infraestrutura crítica: no máximo 2 dias
• Morte de uma pessoa: no máximo 10 dias
• Um relatório inicial, possivelmente incompleto, pode ser apresentado primeiro para atender ao prazo, seguido de um relatório completo; o prestador também deve investigar e tomar ação corretiva

O relógio é curto — dias, não meses. Reconstruir o que um agente fez, após o fato, sem um registro duradouro é exatamente onde as equipes são pegos.

O Loop de Feedback para o Artigo 9

Monitoramento e relatório de incidentes não são papelada isolada — eles fecham o loop de volta para a gestão de riscos:

• Descobertas do monitoramento pós-comercialização alimentam o sistema de gerenciamento de riscos do Artigo 9, que deve ser um processo contínuo e iterativo ao longo do ciclo de vida
• Incidentes graves e riscos identificados desencadeiam revisão e atualização dos controles de risco e, quando necessário, a documentação técnica
• Isso torna a conformidade uma disciplina operacional contínua, e não um exercício de conformidade pré-mercado único
• Boas evidências de produção são o que permite que você relatar com precisão e prove que agiu com base no que encontrou