Presunção de conformidade por norma técnica, o caminho europeu e as portas do PL 2338

O que segue é apreciação do autor, e pode ser dispensada por quem queira citar apenas os fatos acima.

O mecanismo europeu é antigo e simples. A lei fixa o requisito, um organismo de normalização escreve como cumpri-lo, e a publicação da referência no Jornal Oficial liga as duas pontas e dá ao documento técnico um efeito jurídico definido. A EN 18286 não obriga ninguém. Quem a adota ganha a presunção, e quem não a adota continua livre para demonstrar conformidade por outro caminho, com mais custo e mais risco de ser questionado. A escolha do regulado passa a ter preço conhecido antes de o dever começar a valer.

O PL 2338 conhece a norma técnica e a menciona em três funções. Como parâmetro de acreditação, quando manda fixar a validade da acreditação dos organismos de avaliação de conformidade em conformidade com normas técnicas nacionais e internacionais (art. 34, § 1º) e os critérios de acreditação em consonância com as normas técnicas internacionais (art. 34, § 3º) e quando admite organismos acreditados que classifiquem o risco de sistemas nos mesmos termos (art. 16, § 4º). Como objeto de fomento, quando manda a autoridade competente e as autoridades setoriais incentivar a adoção de padrões, melhores práticas e certificações reconhecidos internacionalmente (arts. 46, VI, e 48, IV) e quando inclui essa adoção entre as funções da autorregulação (art. 41, § 1º, VI). E como conteúdo possível de código de boas práticas, que pode estabelecer normas de segurança e padrões técnicos (art. 40, caput). Em nenhum desses dispositivos o texto declara o que cumprir a norma técnica vale para o agente.

O silêncio chama atenção porque o projeto sabe atribuir esse efeito quando quer. O resultado da avaliação preliminar de risco poderá ser utilizado pelo agente para demonstrar conformidade com os requisitos de segurança, transparência e ética da lei (art. 12, § 5º). Os desenvolvedores de sistemas de propósito geral e generativos podem formular códigos de boas práticas, ou aderir a eles, para demonstrar conformidade com as obrigações do art. 30 (§ 2º). A adesão voluntária a código e a elaboração de medidas de governança podem ser consideradas indicativo de boa-fé para fins de sanção (art. 40, § 3º), e a política de boas práticas é critério de dosimetria (art. 50, § 1º, IX). A avaliação feita pelo próprio agente e o código escrito por associação de agentes recebem efeito declarado. A norma técnica, escrita por organismo de normalização e cuja adoção o próprio projeto manda incentivar, não recebe.

Isso não quer dizer que a norma técnica fique sem porta de entrada. Há pelo menos quatro, e o texto atual não escolhe entre elas.

A primeira é o estado da arte. As medidas de governança do alto risco devem ser adotadas de acordo com o estado da arte do desenvolvimento tecnológico e com esforços razoáveis (art. 18, caput), e o art. 4º, XIX, define o estado da arte como meios técnicos razoáveis e disponíveis, baseados em evidências científicas, tecnológicas e boas práticas consolidadas. Uma norma técnica publicada é candidata natural a boa prática consolidada. O projeto, porém, não diz quem declara a consolidação, e a leitura ficaria caso a caso, com a autoridade setorial ou com o juiz.

A segunda é o código de boas práticas. O agente, ou a associação de agentes, incorpora a norma a um código do art. 40, e ela passa a valer o que o código vale. Isso é indício de boa-fé na hora da sanção, não presunção de cumprimento do dever.

A terceira é o regulamento. As autoridades setoriais dispõem, em caráter prevalente, sobre os aspectos técnicos e específicos das aplicações de IA no mercado regulado (art. 16, II), e poderiam adotar uma norma como referência no seu setor. Nesse caso a régua mudaria de setor para setor, e o mesmo sistema de gestão da qualidade poderia valer como prova num mercado e como simples argumento no vizinho.

A quarta é a via externa. Os acordos de cooperação e de reconhecimento mútuo com organismos de acreditação internacionais do art. 34, § 7º, alcançam avaliações de conformidade realizadas em outros países. Uma certificação feita na Europa contra a EN 18286 poderia entrar por aí, como avaliação reconhecida, e não como norma adotada pelo direito brasileiro.

Para quem vende nos dois mercados, a diferença tem endereço. A empresa que fornece sistema de alto risco na União e monta seu sistema de gestão da qualidade sobre a EN 18286 terá documentação de ciclo de vida, registro de testes e acompanhamento pós-comercialização que conversam com o art. 18 do projeto, que exige documentação das etapas do ciclo de vida, documentação dos testes e registro das medidas de governança adotadas (incisos I, alíneas a e c, e II, alíneas a a c). O mesmo arquivo que na Europa dispensa a demonstração requisito por requisito chega ao Brasil sem valor declarado e terá de ser apresentado como argumento.

A leitura honesta registra o que o modelo europeu tem de compatível com uma lei de princípios. É justamente a norma técnica com efeito declarado que permite à lei não descer ao detalhe, porque o detalhe passa a morar num documento que se revisa sem processo legislativo e acompanha a tecnologia no ritmo dela. O projeto brasileiro escolheu dizer pouco sobre o como e deixar muito para regulamento, e essa escolha é defensável. O que ele ainda não disse é o que acontece com quem segue o documento técnico. Até que diga, a norma técnica no PL 2338 é incentivada, referida e possível, mas é a norma técnica sem efeito declarado.