A legislação sobre IA no Colorado mudou. Se a sua organização elaborou o plano de conformidade com base na Lei de IA original do Colorado, talvez seja necessário revisar parte desse trabalho.
A questão não é essa. Governança de IA De repente, isso importa menos. A questão é que o Colorado mudou a forma como define a tecnologia, atribui responsabilidades e protege as pessoas afetadas por decisões automatizadas.
Em maio de 2026, o Colorado promulgou Projeto de Lei do Senado 26-189, substituindo a estrutura original estabelecida por SB 24-205. A nova Lei de Tecnologia de Tomada de Decisões Automatizadas está prevista para entrar em vigor em 1º de janeiro de 2027.
Para organizações que utilizam IA em recrutamento, empréstimos, saúde, seguros, habitação, educação ou serviços públicos, isso levanta uma questão importante:
Você pode explicar como a tecnologia automatizada influencia as decisões sobre as pessoas, quais dados pessoais ela utiliza e quem pode revisar o resultado?
É essa lacuna que este artigo explora. Analisaremos o que mudou, quais requisitos são importantes e onde as organizações podem fortalecer seus programas de governança antes que a nova estrutura entre em vigor.
Perfil Executivo
Lei de Inteligência Artificial do Colorado: O que mudou e o que importa
- O Colorado substituiu sua Lei de Influência Artificial original. O projeto de lei SB 26-189 revoga e reinstaura a estrutura do SB 24-205 com novos requisitos de tecnologia de tomada de decisão automatizada, previstos para 1º de janeiro de 2027.
- O foco está nas decisões com consequências. A tecnologia abrangida pode influenciar decisões relacionadas a emprego, educação, moradia, serviços financeiros, seguros, saúde e serviços governamentais essenciais.
- Os desenvolvedores e os responsáveis pela implantação têm responsabilidades diferentes. Os desenvolvedores fornecem a documentação técnica e as atualizações. Os responsáveis pela implementação gerenciam os avisos, explicações e solicitações de revisão aplicáveis aos consumidores.
- A revisão humana exige mais do que uma política. As organizações precisam de informações suficientes sobre decisões automatizadas, dados pessoais relevantes e processos decisórios para possibilitar uma reavaliação significativa.
- A maior lacuna de governança reside no contexto da tomada de decisão. Um inventário de IA por si só pode não revelar quais sistemas influenciam materialmente decisões importantes ou se as organizações conseguem explicar esses resultados.
O que é a Lei de Inteligência Artificial do Colorado?
A Lei de Inteligência Artificial do Colorado geralmente se refere a Projeto de Lei do Senado 24-205, promulgada em 2024 para combater a discriminação algorítmica envolvendo sistemas de inteligência artificial de alto risco.
A lei original estabelecia requisitos envolvendo cuidado razoável, gestão de riscos, avaliações de impacto, documentação do desenvolvedor, divulgação ao consumidor e outras proteções relacionadas a decisões com consequências.
No entanto, o Colorado posteriormente alterou esse quadro.
Em maio de 2026, os legisladores promulgaram SB 26-189, que revoga e reedita as disposições originais com uma estrutura regulatória diferente.
A legislação substitutiva é conhecida como Lei de Tecnologia de Tomada de Decisões Automatizadas. Os requisitos substanciais estão programados para entrar em vigor em 1º de janeiro de 2027.
Essa distinção é importante porque as organizações que pesquisam a Lei de IA do Colorado ainda podem encontrar guias de conformidade que descrevem os requisitos da SB 24-205 como se eles ainda fossem o padrão futuro.
Para um planejamento de conformidade com visão de futuro, as organizações devem avaliar a SB 26-189 em vez de se basearem exclusivamente na estrutura original da SB 24-205.
BigID's Monitoramento da regulamentação global de IA Oferece uma visão mais abrangente da legislação sobre IA em diferentes jurisdições.
O que mudou com a promulgação da lei SB 26-189 no Colorado?
A nova lei altera o foco regulatório da estrutura original de IA de alto risco para a tecnologia de tomada de decisão automatizada usada para influenciar materialmente decisões importantes.
Isso altera a forma como as organizações devem avaliar o escopo, a documentação técnica, as proteções ao consumidor e a prontidão operacional.
Comparação regulatória
Lei de IA do Colorado: Estrutura Original vs. Estrutura de Substituição
A comparação a seguir destaca as principais diferenças relevantes para a governança empresarial.
Estrutura original
SB 24-205
Foco regulatório: Sistemas de IA de alto risco e discriminação algorítmica.
Gestão de riscos: Programas específicos de gestão de riscos e avaliações de impacto para os operadores abrangidos.
Responsabilidades do desenvolvedor: Documentação, divulgações e informações que apoiam as avaliações do responsável pela implantação.
Proteção do consumidor: Avisos e outras proteções relacionadas à IA de alto risco e a decisões consequentes.
Estrutura de Substituição
SB 26-189
Foco regulatório: Tecnologia de tomada de decisão automatizada que influencia materialmente decisões importantes.
Abordagem de governança: Definição das funções do desenvolvedor e do responsável pela implementação, documentação, notificações, direitos do consumidor e manutenção de registros.
Responsabilidades do desenvolvedor: Documentação técnica que descreve os usos pretendidos, as categorias de dados de treinamento, as limitações e o uso apropriado.
Proteção do consumidor: Notificações, explicações sobre resultados adversos, solicitações de correção de dados pessoais e revisão humana significativa.
As implicações para a conformidade: As organizações devem rever os programas concebidos especificamente para a legislação original e adaptar os seus controlos aos requisitos reais da legislação substituta.
Quando entra em vigor a Lei de Inteligência Artificial do Colorado?
A nova lei sobre tecnologia de tomada de decisões automatizada está prevista para entrar em vigor. 1º de janeiro de 2027.
A proposta original do Colorado, SB 24-205, já havia sido adiada anteriormente, inclusive pela SB 25B-004, antes que os legisladores adotassem a legislação substituta em 2026.
A partir de outubro de 2026, o Procurador-Geral do Colorado também estará trabalhando na regulamentação relacionada à tecnologia de tomada de decisões automatizada.
As organizações devem acompanhar as regras finais, pois elas podem esclarecer como certos requisitos de divulgação e outros requisitos legais devem ser implementados.
A prioridade prática é identificar os fluxos de trabalho de tomada de decisão abrangidos e determinar quais evidências, documentação e processos voltados para o consumidor serão necessários.
Quais sistemas de IA estão sujeitos à nova lei do Colorado?
O projeto de lei SB 26-189 define tecnologia de tomada de decisão automatizada (ADMT, na sigla em inglês) de forma suficientemente ampla para incluir tecnologia que processa dados pessoais e usa computação para gerar previsões, recomendações, classificações, rankings, pontuações ou outras informações usadas para tomar, orientar ou auxiliar decisões relativas a indivíduos.
No entanto, as principais obrigações da lei para desenvolvedores e implementadores se concentram em ADMT abrangido foi usado para influenciar materialmente decisões importantes..
Decisões consequentes incluem decisões relacionadas ao acesso, à elegibilidade ou à compensação referentes a:
- Emprego
- Educação
- Habitação
- Serviços financeiros e de empréstimo
- Seguro
- Serviços de saúde
- Serviços governamentais essenciais e benefícios públicos
Nem todas as funcionalidades de IA ou fluxos de trabalho automatizados se enquadram necessariamente nos mesmos requisitos. As organizações precisam examinar o papel da tecnologia, a decisão envolvida e as definições e isenções legais aplicáveis.
Por exemplo, um sistema que ajuda a resumir as atas de reuniões internas apresenta uma questão regulatória diferente de um sistema que classifica candidatos a emprego ou influencia materialmente a elegibilidade para empréstimos.
A questão importante não é simplesmente se uma organização usa IA. É se a tecnologia automatizada influencia materialmente uma decisão abrangida por lei sobre um indivíduo.
O que os desenvolvedores e responsáveis pela implantação devem fazer?
O Colorado faz distinção entre organizações que desenvolvem tecnologia de tomada de decisão automatizada abrangida pela legislação e organizações que a implementam.
Uma empresa pode desempenhar um ou ambos os papéis, dependendo de como desenvolve, modifica, fornece ou utiliza a tecnologia.
Mapeamento de Responsabilidades
Desenvolvedor vs. Implementador: Onde reside a responsabilidade?
Funções diferentes exigem evidências e processos operacionais diferentes.
Desenvolvedor
Explique a tecnologia
Fornecer a documentação técnica necessária aos responsáveis pela implementação.
Descreva os usos pretendidos e as categorias de dados de treinamento relevantes.
Documente as limitações conhecidas, os riscos e o uso apropriado.
Notificar os responsáveis pela implantação sobre atualizações ou modificações de materiais.
Implantador
Explique a decisão
Forneça os avisos aplicáveis quando o ADMT coberto for utilizado.
Explique o papel da ADMT (terapia de modificação de antígenos) coberta após determinados eventos adversos.
Apoiar os pedidos aplicáveis de acesso e correção de dados pessoais.
Providenciar processos para revisão humana significativa e reconsideração, quando necessário.
Requisito comum: Os desenvolvedores e responsáveis pela implementação devem manter os registros necessários para demonstrar a conformidade com a Lei por pelo menos três anos, sujeitos às disposições aplicáveis da lei.
Cinco lacunas de conformidade que as organizações frequentemente ignoram.
A maioria das organizações já possui alguma combinação de políticas de IA, avaliações de fornecedores, inventários de dados e controles de segurança.
O problema é que esses processos nem sempre se conectam às decisões que a IA ajuda a tomar.
Essa desconexão pode se tornar particularmente importante sob a nova estrutura do Colorado.
A lacuna na governança da tomada de decisões
O que as equipes monitoram versus o que elas podem perder
Esses são pontos cegos comuns na governança, e não constatações automáticas de não conformidade.
Lacuna 01 / Inventário
Aplicações de IA versus fluxos de trabalho de tomada de decisão
O que as equipes acompanham: Aplicações, fornecedores e modelos de IA aprovados.
O que eles podem perder: Quais tecnologias influenciam materialmente decisões importantes como contratações, empréstimos, seguros, assistência médica ou outras?.
Reduzir a diferença: Mapeie as tecnologias automatizadas para as decisões e processos de negócios que elas suportam.
Lacuna 02 / Dados
Classificação de dados versus entradas de decisão
O que as equipes acompanham: Categorias de dados sensíveis e políticas de dados corporativos.
O que eles podem perder: Quais informações pessoais influenciam as pontuações, classificações, recomendações ou decisões automatizadas?.
Reduzir a diferença: Conecte as fontes de dados pessoais e sua linhagem aos fluxos de trabalho de tomada de decisão abrangidos.
Lacuna 03 / Revisão Humana
Políticas de revisão versus resultados passíveis de revisão
O que as equipes acompanham: Políticas de supervisão humana e procedimentos de escalonamento.
O que eles podem perder: Se os revisores têm acesso a informações suficientes para compreender e reconsiderar uma decisão.
Reduzir a diferença: Conectar decisões, dados de suporte, documentação do sistema e processos de revisão humana.
Lacuna 04 / Alteração
Aprovação de fornecedores versus mudanças tecnológicas
O que as equipes acompanham: Avaliações iniciais de fornecedores e aprovações de compras.
O que eles podem perder: Alterações substanciais no comportamento do modelo, na utilização pretendida, nas entradas de dados ou nas limitações do sistema.
Reduzir a diferença: Estabelecer processos de revisão e documentação de mudanças ao longo de todo o ciclo de vida da tecnologia.
Lacuna 05 / Evidência
Políticas escritas versus evidências de decisão
O que as equipes acompanham: Políticas de governança, procedimentos e documentação de conformidade.
O que eles podem perder: Registros que relacionam a tecnologia relevante, os dados pessoais, as decisões, as notificações e as ações de revisão.
Reduzir a diferença: Manter registros e evidências rastreáveis ao longo de todo o ciclo de tomada de decisão.
O panorama geral
Governe a decisão, não apenas o modelo.
Um inventário de IA informa quais tecnologias existem. O contexto da decisão ajuda a explicar como essa tecnologia afeta as pessoas.
Próximo passo: Conecte a descoberta por IA, dados pessoais, finalidade comercial, responsabilidade pela tomada de decisão e evidências.
Como um algoritmo de contratação expõe a lacuna
Considere um empregador que utiliza um sistema automatizado para classificar candidatos a vagas de emprego.
O fornecedor concluiu as revisões de segurança. O aplicativo consta no inventário de IA da organização. Os gerentes de contratação entendem que o sistema gera pontuações para os candidatos.
Mas um candidato recebe uma decisão desfavorável e solicita informações sobre como a tecnologia automatizada influenciou o resultado.
Agora, várias questões se tornam urgentes:
- A tecnologia influenciou materialmente a decisão de contratação?
- Quais dados pessoais contribuíram para a recomendação ou pontuação?
- O requerente recebeu a notificação adequada?
- A organização pode explicar o papel da tecnologia na decisão?
- É possível identificar e corrigir dados pessoais incorretos?
- Quem pode realizar uma revisão humana significativa?
- Que documentação sustenta a resposta da organização?
A organização pode ter aprovado a tecnologia sem estabelecer um processo completo para responder a essas perguntas.
Isso não significa automaticamente que a organização violou a lei. Mas revela a diferença entre gerenciar uma aplicação de IA e governar as decisões que ela influencia.
A aprovação estabelece que um sistema pode ser usado. A governança precisa explicar como ele é usado e o que acontece quando alguém contesta o resultado.
A governança da IA começa com o contexto dos dados.
Você pode explicar os dados que embasam suas decisões de IA?
Descubra como a BigID ajuda as organizações a conectar sistemas de IA com dados sensíveis, identidades, acesso, linhagem e riscos, para que as equipes de governança possam investigar a exposição e fortalecer a supervisão.
Quais são os direitos do consumidor estabelecidos pelo Colorado?
O projeto de lei SB 26-189 introduz proteções ao consumidor relacionadas à tecnologia de tomada de decisão automatizada abrangida.
Para os responsáveis pela implementação, essas proteções incluem os avisos aplicáveis quando a tecnologia abrangida é usada para influenciar materialmente decisões importantes.
Quando uma decisão automatizada abrangida pela lei resulta em um desfecho adverso, a legislação também exige uma descrição em linguagem simples do papel da tecnologia no prazo de 30 dias, sujeita à legislação e às normas de implementação.
Os consumidores também têm direitos relacionados a solicitações de dados pessoais, correção de informações factualmente incorretas e revisão humana significativa e reconsideração após determinados resultados adversos.
Esses requisitos levantam questões práticas sobre como as organizações gerenciam informações pessoais em processos automatizados de tomada de decisão.
Por exemplo, corrigir dados imprecisos é mais difícil quando as equipes não conseguem identificar a origem da informação, quais sistemas a processaram ou como ela influenciou um determinado fluxo de trabalho.
Da mesma forma, uma revisão humana significativa torna-se mais difícil quando os responsáveis pela tomada de decisão não têm acesso à documentação relevante e ao contexto dos dados.
Os direitos do consumidor são requisitos operacionais. As organizações precisam de processos que os suportem, e não apenas de políticas que reconheçam sua existência.
Quais são os riscos de fiscalização?
O Procurador-Geral do Colorado é responsável por fazer cumprir a Lei de Tecnologia de Tomada de Decisões Automatizadas por meio da Lei de Proteção ao Consumidor do Colorado.
As violações são tratadas como práticas comerciais enganosas, de acordo com a legislação aplicável.
Antes de iniciar uma ação de fiscalização antes de 1º de janeiro de 2030, o Procurador-Geral deve fornecer um aviso prévio de 60 dias e uma oportunidade para sanar uma suposta violação, quando a correção for considerada possível.
A lei não estabelece um novo direito de ação privado. No entanto, ela também aborda como a responsabilidade pode ser atribuída entre desenvolvedores e implementadores em ações cíveis que alegam discriminação ilegal sob a legislação vigente.
Para as organizações, isso reforça a importância de manter registros que demonstrem quais sistemas foram utilizados, quais controles foram aplicados e como as preocupações relevantes foram abordadas.
Como as organizações devem se preparar para janeiro de 2027?
Em vez de reconstruir um programa de governança de IA com base em mais uma lista de verificação independente, as organizações podem começar conectando a tecnologia, os dados e os processos de conformidade existentes a decisões importantes.
Prontidão Operacional
Sete ações para fortalecer a conformidade com a IA no Colorado
01
Identificar decisões importantes. Mapeie os fluxos de trabalho de tomada de decisão relacionados a emprego, empréstimos, seguros, saúde, habitação, educação e outras áreas abrangidas.
02
Descubra a tecnologia conectada. Identificar sistemas automatizados que influenciam materialmente essas decisões, incluindo ferramentas integradas e serviços de terceiros.
03
Mapear dados pessoais. Identificar as informações utilizadas pelos sistemas abrangidos, sua origem, sensibilidade e relações de dados relevantes.
04
Esclarecer a titularidade. Defina as funções de desenvolvedor e de implantação, os proprietários do sistema, os responsáveis pelas decisões e a responsabilidade pela documentação necessária.
05
Preparar processos para o consumidor. Estabelecer fluxos de trabalho para notificações, esclarecimentos, pedidos de dados, correções e revisão humana aplicáveis.
06
Conservar as provas. Conecte a documentação, as limitações técnicas, as alterações materiais, as decisões de governança e os registros necessários.
07
Acompanhe as atualizações regulatórias. Revisar as normas finais do Procurador-Geral e ajustar os processos à medida que se aproxima a data de implementação, em janeiro de 2027.
Ponto principal: Este é um guia de preparação recomendado, não um requisito legal de sete etapas. As obrigações específicas dependem da função da organização, das atividades abrangidas, das isenções e das normas aplicáveis.
Como a BigID ajuda a operacionalizar a governança de IA
As necessidades em constante evolução do Colorado destacam um desafio empresarial mais amplo: as equipes de governança precisam entender a tecnologia automatizada no contexto dos dados que ela utiliza e das decisões de negócios que ela apoia.
A BigID ajuda as organizações a construir essa base, conectando descoberta por IA, inteligência de dados sensíveis, contexto de identidade e acesso, linhagem e risco.
- Descoberta por IA: Identificar ativos, modelos, aplicações, agentes e IA sombra em ambientes empresariais.
- Descoberta de dados sensíveis: Identificar e classificar informações pessoais e regulamentadas que possam ser utilizadas por sistemas automatizados.
- Linhagem de dados: Compreenda a origem da informação relevante e como ela se move através de ambientes conectados.
- Governança de acesso à IA: Investigar as relações de acesso envolvendo pessoas, contas de serviço, aplicativos e identidades de IA.
- Gestão de riscos em IA: Combine sensibilidade, acesso, contexto de negócios e políticas para identificar e priorizar possíveis exposições.
- Evidências de governança: Apoiar avaliações, responsabilidades, supervisão e documentação necessárias para a conformidade regulatória.
Essas funcionalidades podem ajudar as equipes de segurança, privacidade, dados e governança de IA a investigar riscos de dados relevantes e a dar suporte aos controles relacionados à tomada de decisões automatizada.
A BigID não determina de forma independente se uma decisão está em conformidade com a lei do Colorado, nem substitui os processos de revisão humana exigidos das organizações abrangidas pela legislação. Seu valor reside em ajudar as equipes a compreender e governar os dados corporativos e as relações de acesso subjacentes aos seus programas de IA.
Por que a conformidade com IA no Colorado não deve ser um processo isolado
O Colorado faz parte de uma mudança regulatória mais ampla em direção a uma maior responsabilização pela IA e pela tomada de decisões automatizada.
Organizações que operam em múltiplas jurisdições podem enfrentar diferentes requisitos relacionados a divulgações, decisões consequentes, gestão de riscos, supervisão humana, proteção de dados e evidências regulatórias.
Manter inventários e processos de governança separados para cada lei pode gerar duplicação e visibilidade inconsistente.
Uma abordagem mais sustentável consiste em estabelecer um entendimento comum sobre sistemas de IA, dados pessoais, identidades, objetivos comerciais, fluxos de trabalho de decisão e riscos, e então mapear as obrigações específicas de cada jurisdição com base nesse fundamento.
BigID's Monitoramento da regulamentação global de IA Ajuda as organizações a explorar o cenário regulatório em constante mudança da IA nos estados dos EUA e em jurisdições internacionais.
Lei de Inteligência Artificial do Colorado: Perguntas Frequentes
A Lei de IA original do Colorado ainda é a estrutura de conformidade atual?
Em maio de 2026, o Colorado promulgou a SB 26-189, revogando e promulgando novamente as disposições originais da SB 24-205, substituindo-as pela Lei de Tecnologia de Tomada de Decisões Automatizadas. Organizações que se preparam para futuras obrigações devem revisar a nova legislação e as normas de implementação, em vez de se basearem apenas nas diretrizes da antiga SB 24-205.
Quando entra em vigor a nova lei de IA do Colorado?
Os requisitos substanciais da Lei de Tecnologia de Tomada de Decisões Automatizadas do Colorado devem entrar em vigor em 1º de janeiro de 2027. O Procurador-Geral do Colorado é responsável pela implementação da regulamentação sob a estrutura de substituição.
O que é tecnologia de tomada de decisão automatizada segundo a lei do Colorado?
O projeto de lei SB 26-189 define tecnologia de tomada de decisão automatizada como a tecnologia que processa dados pessoais e utiliza computação para gerar informações como previsões, recomendações, rankings, classificações ou pontuações usadas para tomar, orientar ou auxiliar decisões relativas a indivíduos. As principais obrigações se concentram na tecnologia abrangida que influencia materialmente decisões importantes.
Quais decisões são consideradas consequenciais?
Decisões com consequências incluem decisões que envolvem o acesso, a elegibilidade ou a compensação relacionadas a emprego, educação, moradia, serviços financeiros e de empréstimo, seguros, serviços de saúde e serviços governamentais essenciais ou benefícios públicos.
O Colorado exige que todas as empresas que utilizam IA realizem uma avaliação de impacto?
A lei substitutiva não se limita a simplesmente dar continuidade à estrutura original de avaliação de impacto da SB 24-205 como um requisito universal para todas as organizações que utilizam IA. As organizações devem avaliar as obrigações específicas da SB 26-189, seu papel como desenvolvedoras ou implementadoras, as isenções aplicáveis e as regras de implementação. As avaliações de risco podem continuar sendo práticas de governança valiosas, mesmo quando não expressamente exigidas para um uso específico.
Quais são os direitos dos consumidores sob a nova lei do Colorado?
Para tecnologias de tomada de decisão automatizada abrangidas pela lei, são estabelecidos os requisitos aplicáveis de notificação e explicação, os direitos relativos a pedidos de dados pessoais e correção de dados factualmente incorretos, bem como a revisão e reconsideração humana significativas após determinadas decisões adversas com consequências significativas.
Que registros os desenvolvedores e responsáveis pela implantação devem manter?
A SB 26-189 exige que desenvolvedores e implementadores mantenham os registros necessários para demonstrar a conformidade com os requisitos aplicáveis por pelo menos três anos. As organizações devem determinar quais documentos técnicos, notificações, solicitações, decisões e outras evidências são relevantes para suas obrigações.
Como a BigID apoia a preparação do Colorado para a conformidade com as normas de IA?
A BigID ajuda as organizações a descobrir ativos de IA, identificar e classificar dados sensíveis, compreender a linhagem e as relações de acesso, avaliar os riscos de IA relacionados a dados e dar suporte à documentação de governança. Essas funcionalidades ajudam as equipes a operacionalizar a segurança e a governança de IA, mas não garantem, por si só, a conformidade legal.
Segurança e Governança de IA
Saiba o que sua IA utiliza.
Governe aquilo que influencia.
Veja como a BigID conecta a IA empresarial com dados sensíveis, identidades, acesso, linhagem e risco, para que as organizações possam fortalecer a governança e se preparar para as crescentes exigências regulatórias.
Fontes e Leitura Complementar
- Assembleia Geral do Colorado: Projeto de Lei 26-189 - Tecnologia de Tomada de Decisões Automatizada
- Assembleia Geral do Colorado: Projeto de Lei 24-205 - Proteção ao Consumidor para Inteligência Artificial
- Procuradoria-Geral do Colorado: Regulamentação da Tecnologia de Tomada de Decisões Automatizadas
- Rastreador de regulamentação global de IA BigID
Este artigo fornece informações educacionais gerais e não constitui aconselhamento jurídico. As organizações devem consultar um advogado qualificado sobre a aplicabilidade da lei do Colorado às suas atividades. Os requisitos regulamentares e as normas de implementação podem sofrer alterações.
Autor
