IA com capacidade cyber crítica: o AI Act não elimina obrigações de segurança existentes

O sinal e os factos que mudam a decisão

A discussão pública sobre modelos capazes de automatizar partes de ataques aumenta a urgência, mas não cria uma categoria jurídica única que substitua NIS2, AI Act, proteção de dados ou responsabilidade contratual. Cada regime responde a um papel e risco distinto.

O AI Act inclui deveres para modelos de uso geral e risco sistémico; a classificação depende do texto legal e de atos aplicáveis. NIS2 cobre medidas organizacionais e técnicas em entidades no âmbito, incluindo supply chain e incidentes.

Publicações de laboratório são sinal de risco e fonte primária sobre a sua posição, não interpretação jurídica final. Chamar o tema de segurança de IA pode deixar resposta a incidentes, supply chain e gestão de vulnerabilidades sem owner regulatório.

Decisão, limites e condição de bloqueio

Mapeie primeiro o sistema, o papel, a utilização e o setor; depois sobreponha deveres e identifique o controlo comum e a evidência específica.

Chamar o tema de segurança de IA pode deixar resposta a incidentes, supply chain e gestão de vulnerabilidades sem owner regulatório.

Execução e prova de conclusão

A execução deve começar por inventariar modelos cyber, acesso, utilizadores, ferramentas e dados alcançáveis. Depois, ligar cada cenário a ai act, nis2, rgpd, contratos e política interna. O fecho exige pedir validação jurídica para classificações e manter decisões separadas por regime.

O dossier deve mostrar cenário, papel, obrigação, controlo, evidência, owner e lacuna por regime.

• inventariar modelos cyber, acesso, utilizadores, ferramentas e dados alcançáveis.
• ligar cada cenário a AI Act, NIS2, RGPD, contratos e política interna.
• pedir validação jurídica para classificações e manter decisões separadas por regime.
• O dossier deve mostrar cenário, papel, obrigação, controlo, evidência, owner e lacuna por regime.