1.   Os responsáveis pela implantação de sistemas de IA de risco elevado devem tomar medidas técnicas e organizativas adequadas para garantir que utilizam esses sistemas de acordo com as instruções de utilização que os acompanham, nos termos dos n.os 3 e 6.

2.   Os responsáveis pela implantação devem atribuir a supervisão humana a pessoas singulares que possuam as competências, a formação e a autoridade necessárias, bem como o apoio necessário.

3.   As obrigações estabelecidas nos n.os 1 e 2 não excluem outras obrigações do responsável pela implantação previstas no direito da União ou no direito nacional nem prejudicam a liberdade do responsável pela implantação para organizar os seus próprios recursos e atividades para efeitos de aplicação das medidas de supervisão humana indicadas pelo prestador.

4.   Sem prejuízo do disposto nos n.os 1 e 2, na medida em que o responsável pela implantação exercer controlo sobre os dados de entrada, deve assegurar que os dados de entrada sejam pertinentes e suficientemente representativos tendo em vista a finalidade prevista do sistema de IA de risco elevado.

5.   Os responsáveis pela implantação devem controlar o funcionamento do sistema de IA de risco elevado com base nas instruções de utilização e, se for caso disso, informam os prestadores em conformidade com o artigo 72.o. Se os responsáveis pela implantação tiverem motivos para considerar que a utilização do sistema de IA de risco elevado de acordo com as instruções pode conduzir a que aquele sistema de IA represente um risco na aceção do artigo 79.o, n.o 1, devem informar, sem demora injustificada, o prestador ou distribuidor e a autoridade de fiscalização do mercado competente e suspender a utilização do sistema. Sempre que os responsáveis pela implantação tenham identificado um incidente grave, devem também informar imediatamente desse incidente, em primeiro lugar, o prestador e, em seguida, o importador ou distribuidor e as autoridades de fiscalização do mercado competentes. Se o responsável pela implantação não conseguir entrar em contacto com o prestador, aplica-se, mutatis mutandis, o artigo 73.o. Esta obrigação não abrange os dados operacionais sensíveis dos responsáveis pela implantação de sistemas de IA que sejam autoridades responsáveis pela aplicação da lei.

Para os responsáveis pela implantação que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros, considera-se que a obrigação de controlo estabelecida no primeiro parágrafo é satisfeita mediante o cumprimento das regras em matéria de governação, mecanismos ou processos internos nos termos da legislação aplicável no domínio dos serviços financeiros.

6.   Os responsáveis pela implantação de sistemas de IA de risco elevado devem manter os registos gerados automaticamente por esse sistema de IA de risco elevado, desde que esses registos estejam sob o seu controlo, por um período adequado à finalidade prevista do sistema de IA de risco elevado, de pelo menos seis meses, salvo disposição em contrário no direito da União ou no direito nacional aplicável, em especial no direito da União em matéria de proteção de dados pessoais.

Os responsáveis pela implantação que sejam instituições financeiras sujeitas a requisitos em matéria de governação, mecanismos ou processos internos nos termos do direito da União no domínio dos serviços financeiros devem manter os registos como parte da documentação conservada nos termos do direito da União aplicável no domínio dos serviços financeiros.

7.   Antes da colocação em serviço ou da utilização de um sistema de IA de risco elevado no local de trabalho, os responsáveis pela implantação que sejam empregadores devem informar os representantes dos trabalhadores e os trabalhadores afetados de que estarão sujeitos à utilização do sistema de IA de risco elevado. Essas informações devem ser prestadas, se for o caso, em conformidade com as regras e os procedimentos estabelecidos na legislação e nas práticas da União e nacionais em matéria de informação dos trabalhadores e dos seus representantes.

8.   Os responsáveis pela implantação de sistemas de IA de risco elevado que sejam autoridades públicas ou instituições, órgãos ou organismos da União devem cumprir as obrigações de registo referidas no artigo 49.o. Se esses responsáveis pela implantação verificarem que o sistema de IA de risco elevado que tencionam utilizar não foi registado na base de dados da UE a que se refere o artigo 71.o, não podem utilizar esse sistema e devem informar o prestador ou o distribuidor.

9.   Se for o caso, os responsáveis pela implantação de sistemas de IA de risco elevado devem usar as informações recebidas nos termos do artigo 13.o do presente regulamento para cumprirem a sua obrigação de realizar uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.o do Regulamento (UE) 2016/679 ou do artigo 27.o da Diretiva (UE) 2016/680.

10.   Sem prejuízo da Diretiva (UE) 2016/680, no âmbito de uma investigação seletiva de uma pessoa suspeita ou condenada por ter cometido uma infração penal, o responsável pela implantação de um sistema de IA de risco elevado destinado à identificação biométrica à distância em diferido deve solicitar uma autorização, prévia ou sem demora injustificada e no prazo máximo de 48 horas, a uma autoridade judiciária ou uma autoridade administrativa cuja decisão seja vinculativa e esteja sujeita a controlo jurisdicional, para a utilização desse sistema, exceto quando este seja utilizado para a identificação inicial de um potencial suspeito com base em factos objetivos e verificáveis diretamente relacionados com a infração. Cada utilização deve limitar-se ao estritamente necessário para a investigação de uma infração penal específica.

Se a autorização solicitada nos termos do primeiro parágrafo for rejeitada, a utilização do sistema de identificação biométrica à distância em diferido associado a essa autorização solicitada deve ser interrompida com efeitos imediatos e os dados pessoais relacionados com a utilização do sistema de IA de risco elevado para o qual a autorização foi solicitada devem ser apagados.

Em nenhuma circunstância esse sistema de IA de risco elevado destinado à identificação biométrica à distância em diferido pode ser utilizado para fins de aplicação da lei de forma não seletiva, sem qualquer ligação a uma infração penal, a um processo penal, a uma ameaça real e presente ou real e previsível de uma infração penal ou à busca de uma determinada pessoa desaparecida. Deve garantir-se que nenhuma decisão que produza efeitos jurídicos prejudiciais a uma pessoa possa ser tomada pelas autoridades responsáveis pela aplicação da lei exclusivamente com base nos resultados destes sistemas de identificação biométrica à distância em diferido.

O presente número não prejudica o artigo 9.o do Regulamento (UE) 2016/679 nem o artigo 10.o da Diretiva (UE) 2016/680 no que diz respeito ao tratamento de dados biométricos.

Independentemente da finalidade ou do responsável pela implantação, cada utilização destes sistemas de IA de risco elevado deve ser registada na documentação policial pertinente e disponibilizada à autoridade de fiscalização do mercado competente e à autoridade nacional de proteção de dados, mediante pedido, excluindo a divulgação de dados operacionais sensíveis relacionados com a aplicação da lei. O presente parágrafo não prejudica os poderes conferidos pela Diretiva (UE) 2016/680 às autoridades de controlo.

Os responsáveis pela implantação devem apresentar relatórios anuais às autoridades nacionais de fiscalização do mercado e às autoridades nacionais de proteção de dados competentes sobre a utilização que dão dos sistemas de identificação biométrica à distância em diferido, excluindo a divulgação de dados operacionais sensíveis relacionados com a aplicação da lei. Os relatórios podem ser agregados para abranger mais do que uma implantação.

Os Estados-Membros podem introduzir, em conformidade com o direito da União, legislação mais restritiva sobre a utilização de sistemas de identificação biométrica à distância em diferido.

11.   Sem prejuízo do artigo 50.o do presente regulamento, os responsáveis pela implantação de sistemas de IA de risco elevado referidos no anexo III, que tomam decisões ou ajudam a tomar decisões relacionadas com pessoas singulares, devem informar as pessoas singulares de que estão sujeitas à utilização do sistema de IA de risco elevado. Para os sistemas de IA de risco elevado utilizados para fins de aplicação da lei, aplica-se o artigo 13.o da Diretiva (UE) 2016/680.

12.   Os responsáveis pela implantação devem cooperar com as autoridades competentes em todas as medidas que essas autoridades tomarem em relação a um sistema de IA de risco elevado, a fim de aplicar o presente regulamento.