{"id":49700,"date":"2026-05-29T17:12:56","date_gmt":"2026-05-29T17:12:56","guid":{"rendered":"https:\/\/obegef.pt\/wordpress\/?p=49700"},"modified":"2026-05-30T17:16:04","modified_gmt":"2026-05-30T17:16:04","slug":"a-anormalidade-da-fraude-3-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-3-2-2-2-2-2-3-2-2-3-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-2-3-2-2-2-2-2-3-2-2-2-2-2-2-2-2-2-2-2-2-2-2-3-2-2-2-4-2-2-2-2-2-2-425","status":"publish","type":"post","link":"https:\/\/obegef.pt\/wordpress\/?p=49700","title":{"rendered":"Preven\u00e7\u00e3o da fraude e corrup\u00e7\u00e3o: AI Act e o risco de conformidade formal \u00a0\u00a0"},"content":{"rendered":"\n

M\u00e1rio Tavares da Silva, Jornal SOL<\/span><\/span><\/p>\n\n\n

\n
\"\"<\/a><\/figure><\/div>\n\n\n

Na realidade, a entidade que cumpre o RGPC na \u00edntegra porque, entre outras coisas, disp\u00f5e formalmente de um Plano de Preven\u00e7\u00e3o de Riscos aprovado, de um c\u00f3digo de conduta publicado, de um Respons\u00e1vel pelo Cumprimento Normativo nomeado e de um sistema de controlo interno documentado em manuais de procedimentos, est\u00e1 em total conformidade (formal). No entanto, e apesar da conformidade, pode, simultaneamente, estar a utilizar sistemas de IA que reproduzem favorecimentos hist\u00f3ricos, que tomam decis\u00f5es sobre direitos de terceiros sem registo audit\u00e1vel e que, pasme-se, ningu\u00e9m na organiza\u00e7\u00e3o tem condi\u00e7\u00f5es t\u00e9cnicas de escrutinar<\/em><\/p>\n\n\n\n\n\n\n\n

Imagine que um munic\u00edpio implementa um sistema de IA para avaliar a elegibilidade de fam\u00edlias a programas de habita\u00e7\u00e3o social. O sistema cruza rendimentos declarados, composi\u00e7\u00e3o do agregado, hist\u00f3rico associado ao incumprimento de pagamento de rendas anteriores, e pontua\u00e7\u00e3o de risco social produzida com base em dados residentes em sistemas de informa\u00e7\u00e3o de outros servi\u00e7os p\u00fablicos. Como resultado dessa an\u00e1lise, gera uma lista ordenada de candidatos e uma recomenda\u00e7\u00e3o de deferimento ou indeferimento.<\/p>\n\n\n\n

O t\u00e9cnico respons\u00e1vel faz a sua avalia\u00e7\u00e3o e apresenta a sua proposta de decis\u00e3o.<\/p>\n\n\n\n

O sistema foi, sobretudo, treinado com o hist\u00f3rico associado \u00e0s decis\u00f5es de atribui\u00e7\u00e3o de habita\u00e7\u00e3o social. Ora esse hist\u00f3rico de decis\u00f5es assenta, em muitos munic\u00edpios, no facto de durante muitos anos, essas mesmas decis\u00f5es terem sido influenciadas por crit\u00e9rios informais de proximidade pol\u00edtica, de rela\u00e7\u00f5es com juntas de freguesia ou, simplesmente, de simples conhecimento pessoal entre candidatos e funcion\u00e1rios. O modelo aprendeu que determinados perfis, tais como, por exemplo, por zona de resid\u00eancia, por servi\u00e7os sociais de refer\u00eancia, por tipo de agregado t\u00eam, historicamente, maior taxa de aprova\u00e7\u00e3o e, nessa exata medida, reproduz esse padr\u00e3o como neutralidade t\u00e9cnica. O resultado \u00e9 o de que o favorecimento que antes era exercido por um funcion\u00e1rio identific\u00e1vel, num dado e espec\u00edfico momento, sobre um processo identific\u00e1vel e que o sistema de controlo interno poderia, em teoria, detetar e sancionar, passar a ser produzido automaticamente pelo sistema, sem autor, sem momento e sem a exist\u00eancia de um concreto processo individual audit\u00e1vel.<\/p>\n\n\n\n

Pensemos agora numa dire\u00e7\u00e3o-geral que decide implementar um sistema de IA para apoiar as avalia\u00e7\u00f5es de desempenho dos seus trabalhadores, cruzando dados de produtividade, assiduidade, avalia\u00e7\u00f5es de chefias e indicadores de qualidade associadas a cada unidade org\u00e2nica. O sistema \u00e9 apresentado como uma forma de tornar o processo mais eficiente e objetivo.<\/p>\n\n\n\n

Os dados hist\u00f3ricos com que foi treinado refletem, no entanto, os enviesamentos das chefias anteriores, pelo que, por exemplo, e apenas para tornar a reflex\u00e3o mais desafiante, as mulheres em determinadas categorias, apresentam sistematicamente avalia\u00e7\u00f5es mais baixas ao passo que os trabalhadores sindicalizados tem associado um hist\u00f3rico de conflito registado como de \"baixa produtividade\". O modelo reproduz estes padr\u00f5es como se fossem factos objetivos e \u00e9 da\u00ed que parte para as suas avalia\u00e7\u00f5es. As chefias atuais assinam as avalia\u00e7\u00f5es geradas pelo sistema. A progress\u00e3o na carreira que se assume, como todos bem sabemos, em muitos casos, como uma decis\u00e3o com impacto direto sobre direitos de acesso a posi\u00e7\u00f5es de maior responsabilidade e influ\u00eancia nas diferentes entidades p\u00fablicas e privadas \u00e9, no final do dia, determinada por um algoritmo que, em certa medida refira-se, institucionalizou uma discrimina\u00e7\u00e3o infundada.<\/p>\n\n\n\n

Um \u00faltimo exemplo que poder\u00edamos dar seria o de uma entidade reguladora que usa um sistema de IA para priorizar as suas inspe\u00e7\u00f5es e outras a\u00e7\u00f5es de controlo, decidindo quais as empresas a fiscalizar, com que ordem e periodicidade.<\/p>\n\n\n\n

O sistema foi otimizado para tornar mais eficiente e eficaz a dete\u00e7\u00e3o de irregularidades. Deste modo, o sistema aprende quais os perfis de empresa onde a inspe\u00e7\u00e3o tem maior probabilidade de identificar inconformidades e exce\u00e7\u00f5es, pelo que com o tempo, concentra a atividade inspetiva em empresas de menor dimens\u00e3o, com menos recursos humanos, e sobretudo jur\u00eddicos, para contestar, e nas quais a dete\u00e7\u00e3o \u00e9, como tal, mais f\u00e1cil.<\/p>\n\n\n\n

Tudo isto sucede, enquanto as grandes empresas, operando em ambiente regulat\u00f3rios mais robustos e de menor risco, tornam a dete\u00e7\u00e3o de irregularidades pela entidade reguladora mais dif\u00edcil, pelo que saem sistematicamente sub inspecionadas. Tamb\u00e9m aqui, o sistema n\u00e3o foi manipulado por ningu\u00e9m. Otimizou exatamente o que lhe foi pedido, sendo que o resultado se traduz numa fiscaliza\u00e7\u00e3o estruturalmente desigual que protege os operadores econ\u00f3micos com mais capacidade de influ\u00eancia, enquanto exp\u00f5e os mais vulner\u00e1veis a sistem\u00e1ticos e cont\u00ednuos processos de inspe\u00e7\u00e3o.  <\/p>\n\n\n\n

Neste ecossistema de elevada complexidade, assistimos, em agosto de 2024, \u00e0 entrada em vigor do Regulamento Europeu da Intelig\u00eancia Artificial \u2014 o AI Act<\/u><\/a> que, em nosso entender, constitui o diploma regulat\u00f3rio mais ambicioso que alguma vez se produziu na UE sobre tecnologia, prevendo, entre outras, um conjunto de obriga\u00e7\u00f5es densas para quem desenvolve ou utiliza sistemas de IA classificados como de risco elevado.<\/p>\n\n\n\n

Ora \u00e9 precisamente face ao AI Act que me parece que temos agora de parar um pouco e respirar, sobretudo se pretendermos, como seria desej\u00e1vel, harmonizar, de forma articulada e com real valor acrescentado, o que nele se prev\u00ea, com o que se disp\u00f5e no \u00e2mbito do Regime Geral de Preven\u00e7\u00e3o da Corrup\u00e7\u00e3o<\/u><\/a> (RGPC)em particular quanto \u00e0s obriga\u00e7\u00f5es que decorrem para as entidades sujeitas \u00e0 sua aplica\u00e7\u00e3o em mat\u00e9ria de elabora\u00e7\u00e3o de programas de cumprimento normativo e de implementa\u00e7\u00e3o de adequados sistemas de controlo interno.<\/p>\n\n\n\n

Em primeiro, lugar, \u00e9 importante termos presente que o AI Act n\u00e3o \u00e9 uma carta de boas inten\u00e7\u00f5es. Trata-se, efetivamente, de um conjunto de obriga\u00e7\u00f5es concretas, com prazos exigentes, com respons\u00e1veis identificados e com um quadro de san\u00e7\u00f5es associado que n\u00e3o \u00e9, de todo, recomend\u00e1vel negligenciar, mesmo se tivermos presente que caber\u00e1 a cada Estado-Membro definir regras que permitam determinar em que medida podem ser aplicadas coimas \u00e0s autoridades e organismos p\u00fablicos estabelecidos nesse Estado-Membro.<\/p>\n\n\n\n

Existem, assim, quatro relevantes dimens\u00f5es do AI Act que me parece deverem merecer a nossa aten\u00e7\u00e3o, sobretudo porque tornam vis\u00edveis algumas insufici\u00eancias do quadro obrigacional imposto \u00e0s entidades p\u00fablicas abrangidas pelo RGPC e, muito em particular, no que respeita \u00e0 exist\u00eancia de um adequado e eficaz sistema de controlo interno (SCI) e de um Programa de Cumprimento Normativo (PCN).<\/p>\n\n\n\n

A primeira \u00e9 a que tem a ver com a exig\u00eancia de rastreabilidade. O AI Act exige que os sistemas de IA de risco elevado permitam tecnicamente o registo autom\u00e1tico de eventos ao longo de toda a sua vida \u00fatil, em particular permitindo identificar quem acedeu ao sistema, quando, com que dados de entrada e que resultado produziu. Estes registos devem ser conservados no m\u00ednimo seis meses. Ora o sistema de controlo interno previsto pelo RGPC n\u00e3o prev\u00ea nada de equivalente.<\/p>\n\n\n\n

Os manuais de procedimentos que a lei exige foram concebidos para documentar decis\u00f5es humanas e n\u00e3o para captar o comportamento de um algoritmo. Nos exemplos que tivemos oportunidade de partilhar antes, o que fica registado \u00e9 a assinatura do t\u00e9cnico ou da chefia.<\/p>\n\n\n\n

O que o algoritmo fez, com que dados, e por que raz\u00e3o produziu aquele resultado espec\u00edfico, n\u00e3o ficou registado em lado algum. E, naturalmente, sem registo, n\u00e3o h\u00e1 auditoria ou escrut\u00ednio poss\u00edveis.<\/p>\n\n\n\n

E sem auditoria ou quaisquer outros controlos, o controlo interno ser\u00e1 apenas e t\u00e3o s\u00f3 uma bem-intencionada vontade, n\u00e3o eficazmente concretizada.<\/p>\n\n\n\n

A segunda dimens\u00e3o \u00e9 a relativa \u00e0 necessidade de exist\u00eancia de uma efetiva supervis\u00e3o humana. O AI Act \u00e9, aqui, particularmente exigente, dado que n\u00e3o basta que exista uma pessoa que formalmente aprove a decis\u00e3o produzida pelo sistema. \u00c9 expet\u00e1vel que essa pessoa compreenda, de forma muito clara, as limita\u00e7\u00f5es do sistema, sendo capaz de detetar anomalias e, sobretudo, revelando a capacidade t\u00e9cnica e a autoridade para anular o resultado e, se necess\u00e1rio, interromper mesmo o funcionamento do sistema.<\/p>\n\n\n\n

\u00c9, como tal, uma supervis\u00e3o substantiva e n\u00e3o apenas no papel.<\/p>\n\n\n\n

Perante esta op\u00e7\u00e3o do AI Act, o que prev\u00ea ent\u00e3o o RGPC?<\/p>\n\n\n\n

Responsabiliza o \u00f3rg\u00e3o da administra\u00e7\u00e3o e o dirigente pela implementa\u00e7\u00e3o do PCN, sem que distinga entre uma decis\u00e3o tomada por um humano e uma decis\u00e3o produzida por um algoritmo e homologada ou verificada por um humano.<\/p>\n\n\n\n

S\u00e3o, como se compreender\u00e1, coisas materialmente distintas e n\u00e3o perceber isto, \u00e9 n\u00e3o entender, de todo, a natureza e o modo de funcionamento de um sistema de controlo interno.     <\/p>\n\n\n\n

Nos exemplos anteriores, o t\u00e9cnico que assina a proposta de decis\u00e3o sobre habita\u00e7\u00e3o social ou a chefia que subscreve a avalia\u00e7\u00e3o de desempenho, cumprem, ainda que de modo meramente formal, as exig\u00eancias preconizadas pelo RGPC, sendo que nenhum deles estar\u00e1 em condi\u00e7\u00f5es de exercer a supervis\u00e3o que o AI Act exige, pelo que a responsabilidade existe apenas no papel e o controlo efetivo sobre a decis\u00e3o pode mesmo nem existir.<\/p>\n\n\n\n

A terceira dimens\u00e3o para a qual devemos prestar aten\u00e7\u00e3o \u00e9 a que se relaciona com a necessidade de existir uma revis\u00e3o din\u00e2mica de riscos. O RGPC exige que o Plano de Preven\u00e7\u00e3o de Riscos seja revisto a cada tr\u00eas anos ou quando ocorram altera\u00e7\u00f5es estruturais na organiza\u00e7\u00e3o. Este ciclo de revis\u00e3o foi desenhado para um ecossistema de riscos relativamente est\u00e1veis, ou seja, riscos que s\u00e3o suscet\u00edveis de serem identificados, classificados e que se mant\u00eam, em boa verdade, relativamente reconhec\u00edveis ao longo do tempo.<\/p>\n\n\n\n

Ora o AI Act parte de um pressuposto radicalmente diferente, assentando num sistema de gest\u00e3o de riscos como um processo iterativo e cont\u00ednuo ao longo de todo o ciclo de vida do sistema de IA e exigindo, nessa medida, a realiza\u00e7\u00e3o regular de revis\u00f5es sistem\u00e1ticas. A raz\u00e3o \u00e9 simples e resulta diretamente dos exemplos que analis\u00e1mos.<\/p>\n\n\n\n

Na realidade, um sistema de IA com capacidade de aprendizagem n\u00e3o \u00e9 o mesmo sistema em junho que era em janeiro deste ano. Deriva, evolui, alucina e, por regra, desenvolve comportamentos que ningu\u00e9m previu e que nenhuma revis\u00e3o trienal vai ser capaz de detetar a tempo.<\/p>\n\n\n\n

E isto porqu\u00ea?<\/p>\n\n\n\n

Porque o risco algor\u00edtmico n\u00e3o respeita os calend\u00e1rios regulat\u00f3rios a que o RGPC obriga as entidades por si abrangidas.  <\/p>\n\n\n\n

A quarta e \u00faltima dimens\u00e3o para a qual valer\u00e1 a pena olhar \u00e9 a que se relaciona com a necessidade de uma pr\u00e9via avalia\u00e7\u00e3o de impacto.<\/p>\n\n\n\n

O AI Act obriga organismos p\u00fablicos que implementem sistemas de IA de risco elevado a realizar, previamente, uma avalia\u00e7\u00e3o do impacto que o sistema pode ter sobre os direitos fundamentais das pessoas afetadas, identificando quem s\u00e3o, que riscos correm, e que mecanismos de supervis\u00e3o e remedia\u00e7\u00e3o existem. J\u00e1 o RGPC n\u00e3o prev\u00ea nada de equivalente. Na pr\u00e1tica, e simplificando, o Plano de Preven\u00e7\u00e3o de Riscos avalia os riscos de corrup\u00e7\u00e3o e de fraude para a organiza\u00e7\u00e3o e n\u00e3o os riscos que as ferramentas que a organiza\u00e7\u00e3o utiliza, aportam e representam para os direitos de terceiros.<\/p>\n\n\n\n

Esta diferen\u00e7a de perspetiva n\u00e3o \u00e9 menor, dado que nos exemplos de habita\u00e7\u00e3o social e da avalia\u00e7\u00e3o de desempenho, a v\u00edtima do risco algor\u00edtmico n\u00e3o \u00e9 a organiza\u00e7\u00e3o, mas sim a fam\u00edlia exclu\u00edda ou o trabalhador infundadamente avaliado.<\/p>\n\n\n\n

Sejamos claros.<\/p>\n\n\n\n

O RGPC n\u00e3o v\u00ea essas pessoas ao passo que o AI Act obriga as entidades a v\u00ea-las antes de ativar o sistema.<\/p>\n\n\n\n

O resultado deste confronto \u00e9, como j\u00e1 se antecipara, um vazio regulat\u00f3rio particularmente desafiante para o legislador.<\/p>\n\n\n\n

Na realidade, a entidade que cumpre o RGPC na \u00edntegra porque, entre outras coisas, disp\u00f5e formalmente de um Plano de Preven\u00e7\u00e3o de Riscos aprovado, de um c\u00f3digo de conduta publicado, de um Respons\u00e1vel pelo Cumprimento Normativo nomeado e de um sistema de controlo interno documentado em manuais de procedimentos, est\u00e1 em total conformidade (formal).  <\/p>\n\n\n\n

No entanto, e apesar da conformidade, pode, simultaneamente, estar a utilizar sistemas de IA que reproduzem favorecimentos hist\u00f3ricos, que tomam decis\u00f5es sobre direitos de terceiros sem registo audit\u00e1vel e que, pasme-se, ningu\u00e9m na organiza\u00e7\u00e3o tem condi\u00e7\u00f5es t\u00e9cnicas de escrutinar.<\/p>\n\n\n\n

N\u00e3o tenhamos d\u00favidas sobre o que isto representa.<\/p>\n\n\n\n

No quadro da entrada em vigor do AI Act, a conformidade formal tornou-se, surpreendentemente, o maior risco que as entidades p\u00fablicas e privadas enfrentam.<\/p>\n\n\n\n

N\u00e3o o querer ver ter\u00e1, certamente, um elevado custo organizacional que a todos nos cumpre evitar.     <\/p>\n","protected":false},"excerpt":{"rendered":"

M\u00e1rio Tavares da Silva, Jornal SOL Na realidade, a entidade que cumpre o RGPC na \u00edntegra porque, entre outras coisas, disp\u00f5e formalmente de um Plano de Preven\u00e7\u00e3o de Riscos aprovado, de um c\u00f3digo de conduta publicado, de um Respons\u00e1vel pelo Cumprimento Normativo nomeado e de um sistema de controlo interno documentado em manuais de procedimentos,… Ler mais…<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_bbp_topic_count":0,"_bbp_reply_count":0,"_bbp_total_topic_count":0,"_bbp_total_reply_count":0,"_bbp_voice_count":0,"_bbp_anonymous_reply_count":0,"_bbp_topic_count_hidden":0,"_bbp_reply_count_hidden":0,"_bbp_forum_subforum_count":0,"_exactmetrics_skip_tracking":false,"footnotes":"","_members_access_role":[],"_members_access_error":""},"categories":[72,303],"tags":[],"class_list":["post-49700","post","type-post","status-publish","format-standard","hentry","category-cronicas","category-sol"],"_links":{"self":[{"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/posts\/49700","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=49700"}],"version-history":[{"count":1,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/posts\/49700\/revisions"}],"predecessor-version":[{"id":49701,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=\/wp\/v2\/posts\/49700\/revisions\/49701"}],"wp:attachment":[{"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=49700"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=49700"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/obegef.pt\/wordpress\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=49700"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}