Lei nº 243-FZ sobre IA divide empresas em três papéis: o que verificar com antecedência

A lei nº 243-FZ introduz na regulação russa de IA uma lógica baseada em papéis: as obrigações da empresa dependem do que exatamente ela faz com a rede neural. O RB.RU, em conjunto com especialistas, destaca três cenários básicos. No primeiro, a empresa desenvolve um modelo próprio. No segundo, ela oferece aos clientes acesso a um modelo pronto. No terceiro, os funcionários simplesmente usam redes neurais no trabalho diário. O anúncio publicado não traz artigos específicos, prazos nem sanções. Por isso, o que se segue é uma análise da estrutura da questão e da ordem de verificação, e não um resumo das normas.

Três papéis, três conjuntos de exigências

A divisão por papéis é familiar a quem já trabalhou com regulação de dados pessoais ou de segurança da informação. A lei não avalia a "IA em geral". Ela pergunta quem está na cadeia: o criador da tecnologia, o intermediário ou o usuário final. A resposta determina o volume de obrigações.

• Desenvolvedor do modelo. Treina ou faz o ajuste fino do sistema e define sua arquitetura, seus dados e suas limitações. Em geral, é ele quem arca com a carga mais pesada: documentação, fontes de dados e avaliação de riscos.
• Fornecedor de acesso. Integra um modelo de terceiros ou próprio a um produto e vende o acesso aos clientes: chatbot de suporte, API, assistente dentro de um aplicativo. Responde perante o cliente pelo funcionamento do serviço.
• Usuário. Aplica redes neurais dentro da empresa para textos, análises, código e tratamento de solicitações. As exigências para ele costumam ser menores, mas não são nulas.

Os limites entre os papéis são difusos. Uma empresa que fez o ajuste fino de um modelo aberto com seus próprios dados e o colocou em um serviço para clientes pode se enquadrar em duas categorias ao mesmo tempo.

O tipo de modelo também importa

Os especialistas do RB.RU destacam um segundo fator: além do papel, conta o modelo utilizado. Na prática, isso significa que a pergunta "qual rede neural você usa" deixa de ser técnica. Um desenvolvimento próprio, um modelo comercial russo, um serviço estrangeiro e um modelo aberto com implantação local produzem cenários diferentes quanto à origem dos dados, ao controle sobre o processamento e à responsabilidade.

Para os advogados, trata-se de um problema de classificação. Para os desenvolvedores, a questão é quais artefatos terão de ser armazenados e apresentados: descrição dos dados, versões dos modelos, logs de operação. Para o negócio, a questão está nos contratos: quem responde se o modelo gerar um resultado errado.

O que ainda falta saber

O anúncio não deixa claro quais obrigações a lei atribui a cada papel, como será estruturada a responsabilização e quando as normas passarão a valer. Esses detalhes vão definir o custo real de compliance. Não convém confiar em resumos de terceiros: é preciso consultar o próprio texto da lei e os atos infralegais, caso estejam previstos.

O que verificar com antecedência

O ponto de partida pode ser um inventário interno, que não exige conhecer todos os detalhes da lei.

1. Montar um registro das ferramentas de IA. Quais redes neurais são usadas, em quais departamentos e em quais contas.

O uso paralelo, sem conhecimento da gestão, costuma ser maior do que a diretoria imagina. 2. **Definir o papel em cada cenário.

** Desenvolvimento, fornecimento de acesso ou uso interno. O papel pode ser diferente de um produto para outro. 3.

Esclarecer a origem dos modelos. Próprios, licenciados, abertos, serviços estrangeiros. Registrar os termos das licenças e as condições de tratamento de dados.

4. Revisar os contratos com clientes e prestadores. Se há uma seção sobre IA e se a responsabilidade pelos resultados do modelo está distribuída.

5. Designar um responsável. Uma pessoa ou um pequeno grupo com representantes das áreas jurídica, de TI e de segurança, que acompanhe os atos infralegais e os esclarecimentos oficiais.

6. Começar a manter documentação. Versões de modelos, conjuntos de dados, prompts e políticas de uso são mais fáceis de reunir agora do que de reconstruir depois.

Para empresas que estão construindo produtos de IA, vale incorporar essas práticas ao processo de desenvolvimento desde o início. Para quem usa redes neurais como ferramenta de escritório, bastam uma política interna e regras claras para os funcionários. As exigências exatas ficarão claras depois da leitura do texto da lei nº 243-FZ, mas ter ordem nos próprios processos de IA será útil em qualquer cenário.