Ato de IA da UE: Projeto de orientações para IAs de propósito geral mostra os primeiros passos para a Big AI se adequar

Um primeiro rascunho de um Código de Práticas que se aplicará aos fornecedores de modelos de IA de propósito geral sob a Lei de IA da União Europeia foi publicado, juntamente com um convite para feedback — aberto até 28 de novembro — enquanto o processo de redação continua no próximo ano, antes que os prazos formais de conformidade entrem em vigor nos próximos anos.

A lei pan-europeia, que entrou em vigor neste verão, regula as aplicações de inteligência artificial sob um quadro baseado em risco. Mas também direciona algumas medidas para modelos de IA fundacionais mais poderosos — ou de propósito geral — (GPAIs). É aqui que este Código de Práticas se torna relevante.

Entre os prováveis afetados estão OpenAI, criadora dos modelos GPT (que sustentam o chatbot de IA ChatGPT), Google com seus GPAIs Gemini, Meta com Llama, Anthropic com Claude, e outros, como a francesa Mistral. Eles deverão cumprir o Código de Práticas de IA de Propósito Geral se quiserem garantir que estão em conformidade com a Lei de IA e, assim, evitar o risco de sanções por não conformidade.

Para esclarecer, o Código tem a intenção de fornecer orientações para atender às obrigações da Lei de IA da UE. Os provedores de GPAI podem optar por se desviar das sugestões de melhores práticas se acreditarem que podem demonstrar conformidade por meio de outras medidas.

Este primeiro rascunho do Código tem 36 páginas, mas provavelmente crescerá — talvez consideravelmente — à medida que os redatores alertam que está leve em detalhes, pois é “um plano de redação de alto nível que descreve nossos princípios orientadores e objetivos para o Código.”

O rascunho está repleto de caixas que fazem “perguntas abertas” que os grupos de trabalho encarregados de produzir o Código ainda não resolveram. O feedback buscado — da indústria e da sociedade civil — terá claramente um papel crucial na formação do conteúdo de Sub-Medidas específicas e Indicadores Chave de Desempenho (KPIs) que ainda não foram incluídos.

Mas o documento fornece uma ideia do que está por vir (em termos de expectativas) para os criadores de GPAI, uma vez que os prazos de conformidade relevantes se apliquem.

Os requisitos de transparência para fabricantes de GPAIs devem entrar em vigor em 1.º de agosto de 2025.

Mas para os GPAIs mais poderosos — aqueles que a lei define como tendo “risco sistêmico” — a expectativa é de que eles devem cumprir requisitos de avaliação e mitigação de risco 36 meses após a entrada em vigor (ou seja, em 1.º de agosto de 2027).

Há ainda uma advertência de que o rascunho do Código foi elaborado sob a suposição de que haverá apenas “um pequeno número” de fabricantes de GPAI e GPAIs com risco sistêmico. “Caso essa suposição prove-se errada, futuros rascunhos poderão precisar ser alterados significativamente, por exemplo, introduzindo um sistema de medidas em níveis mais detalhado, visando principalmente aqueles modelos que oferecem os maiores riscos sistêmicos,” alertam os redatores.

Copyright

No aspecto da transparência, o Código delineará como os GPAIs devem cumprir as disposições de informação, incluindo na área de materiais protegidos por direitos autorais.

Um exemplo aqui é a “Sub-Medida 5.2”, que atualmente compromete os signatários a fornecer detalhes sobre o nome de todos os crawlers da web utilizados para desenvolver o GPAI e suas características relevantes no robots.txt “incluindo no momento da coleta.”

Os criadores de modelos de GPAI continuam enfrentando questões sobre como adquiriram dados para treinar seus modelos, com múltiplas ações judiciais movidas por detentores de direitos que alegam que as empresas de IA processaram informações protegidas por direitos autorais de forma ilegal.

Outro compromisso estabelecido no rascunho do Código exige que os provedores de GPAI tenham um ponto único de contato e um sistema de tratamento de queixas para facilitar a comunicação de queixas por parte dos detentores de direitos “de forma direta e rápida.”

Outras medidas propostas relacionadas a direitos autorais cobrem a documentação que os GPAIs deverão fornecer sobre as fontes de dados utilizadas para “treinamento, teste e validação e sobre autorizações para acessar e usar conteúdo protegido para o desenvolvimento de uma IA de propósito geral.”

Risco sistêmico

Os GPAIs mais poderosos também estão sujeitos a regras na Lei de IA da UE que visam mitigar os chamados “riscos sistêmicos.” Esses sistemas de IA são atualmente definidos como modelos que foram treinados usando uma potência computacional total superior a 10^25 FLOPs.

O Código contém uma lista de tipos de risco que os signatários serão esperados a tratar como riscos sistêmicos. Eles incluem:

• Riscos cibernéticos ofensivos (como descoberta de vulnerabilidades).
• Risco químico, biológico, radiológico e nuclear.
• “Perda de controle” (aqui significando a incapacidade de controlar uma “IA geral autônoma poderosa”) e uso automatizado de modelos para P&D em IA.
• Persuasão e manipulação, incluindo desinformação em larga escala que poderia gerar riscos aos processos democráticos ou levar à perda de confiança na mídia.
• Discriminação em larga escala.

Esta versão do Código também sugere que os criadores de GPAI poderiam identificar outros tipos de riscos sistêmicos que não estão explicitamente listados, como “invasões de privacidade” em larga escala e vigilância, ou usos que possam representar riscos à saúde pública. E uma das perguntas abertas que o documento apresenta aqui questiona quais riscos devem ser priorizados para adição à taxonomia principal. Outra pergunta é como a taxonomia de riscos sistêmicos deve abordar os riscos de deepfake (relacionados a material de abuso sexual infantil gerado por IA e imagens íntimas não consensuais).

O Código também busca fornecer orientações sobre como identificar atributos-chave que poderiam levar modelos a criar riscos sistêmicos, como “capacidades perigosas do modelo” (por exemplo, capacidades ofensivas cibernéticas ou “aquisição ou proliferação de armas”) e “propensões perigosas do modelo” (por exemplo, estar desalinhado com a intenção e/ou valores humanos; ter tendência a enganar; viés; confabulação; falta de confiabilidade e segurança; e resistência à modificação de objetivos).

Embora muitos detalhes ainda precisem ser preenchidos, à medida que o processo de redação continua, os autores do Código escrevem que suas medidas, submedidas e KPIs devem ser “proporcionais,” com um foco particular em “ajustar-se ao tamanho e à capacidade de cada fornecedor, particularmente PMEs e startups com menos recursos financeiros do que aqueles na vanguarda do desenvolvimento de IA.” Também deve ser dada atenção a “diferentes estratégias de distribuição (por exemplo, open-source), quando apropriado, refletindo o princípio da proporcionalidade e levando em conta tanto os benefícios quanto os riscos,” acrescentam.

Muitas das perguntas abertas que o rascunho coloca dizem respeito a como medidas específicas devem ser aplicadas a modelos de código aberto.

Segurança e proteção em foco

Outra medida no código diz respeito a uma “Estrutura de Segurança e Proteção” (SSF). Espera-se que os criadores de GPAI detalhem suas políticas de gestão de riscos e “identifiquem continuamente e de forma abrangente” os riscos sistêmicos que possam surgir de seus GPAIs.

Aqui há uma sub-medida interessante sobre “Previsão de riscos.” Isso comprometeria os signatários a incluir em seu SSF “estimativas de melhor esforço” de cronogramas para quando esperam desenvolver um modelo que acione indicadores de risco sistêmico — tais como as mencionadas capacidades e propensões perigosas do modelo. Isso poderia significar que, a partir de 2027, veremos desenvolvedores de IA de ponta divulgando cronogramas para quando esperam que o desenvolvimento do modelo ultrapasse certos limites de risco.

Em outro lugar, o rascunho do Código foca nos GPAIs com risco sistêmico utilizando “avaliações de classe mundial” das capacidades e limitações de seus modelos e aplicando “uma gama de metodologias adequadas” para fazê-lo. Exemplos listados incluem: conjuntos de perguntas e respostas, benchmarks, testes adversariais (red-teaming) e outros métodos, estudos de elevação humana, organismos modelo, simulações e avaliações proxy para materiais classificados.

Outra sub-medida sobre “notificação de risco sistêmico substancial” comprometeria os signatários a notificar o Escritório de IA, um órgão de supervisão e orientação estabelecido sob a Lei, “caso tenham fortes razões para acreditar que um risco sistêmico substancial pode se materializar.”

O Código também estabelece medidas sobre “relato de incidentes graves.”

“Os signatários se comprometem a identificar e acompanhar incidentes graves, na medida em que se originem de seus modelos de IA de propósito geral com risco sistêmico, documentar e relatar, sem demora indevida, qualquer informação relevante e possíveis medidas corretivas ao Escritório de IA e, conforme apropriado, às autoridades competentes nacionais,” diz o texto — embora uma pergunta associada busque contribuições sobre “o que constitui um incidente grave.” Portanto, parece que há mais trabalho a ser feito aqui para definir claramente as definições.

O rascunho do Código inclui outras perguntas sobre “medidas corretivas possíveis” que poderiam ser tomadas em resposta a incidentes graves. Também questiona “quais processos de resposta a incidentes graves são apropriados para provedores de pesos abertos ou de código aberto?”, entre outras formulações voltadas à obtenção de feedback.

“Este primeiro rascunho do Código é o resultado de uma revisão preliminar das melhores práticas existentes pelos quatro Grupos de Trabalho especializados, do input de consulta de partes interessadas de quase 430 submissões, respostas do workshop de provedores, abordagens internacionais (incluindo o Código de Conduta do G7, os Compromissos de Segurança de IA na Fronteira, a Declaração de Bletchley e saídas de órgãos governamentais e de normalização relevantes), e, mais importante, a própria Lei de IA,” acrescentam os redatores em conclusão.

“Ressaltamos que este é apenas um primeiro rascunho e, consequentemente, as sugestões do rascunho do Código são provisórias e estão sujeitas a mudanças,” acrescentam. “Portanto, convidamos sua contribuição construtiva enquanto continuamos a desenvolver e atualizar o conteúdo do Código e trabalhamos em direção a uma forma final mais granular para 1.º de maio de 2025.”

O TechCrunch tem um boletim informativo focado em IA! Inscreva-se aqui para recebê-lo em sua caixa de entrada toda quarta-feira.