AI Act: o que as empresas portuguesas devem fazer com o Regulamento europeu de IA

Um regulamento, aplicação direta em Portugal

Ao contrário de uma diretiva, o AI Act é um regulamento e aplica-se diretamente em todos os Estados-Membros, sem necessidade de transposição. Entrou em vigor a 1 de agosto de 2024. Cabe a cada Estado designar as autoridades nacionais de fiscalização do mercado e definir aspetos como o regime sancionatório concreto. Para saber que entidade fiscaliza a sua atividade em Portugal, consulte as comunicações oficiais do Governo e das autoridades setoriais, porque esta organização tem sido definida de forma gradual.

O regulamento abrange quem coloca sistemas de IA no mercado da União, quem os utiliza no exercício de uma atividade profissional e também importadores e distribuidores. Uma empresa em Lisboa que compra uma ferramenta de triagem de currículos a um fornecedor norte-americano é, para efeitos do AI Act, responsável pela implantação desse sistema e tem obrigações próprias.

Os papéis: fornecedor ou responsável pela implantação

O primeiro passo é perceber em que papel está a sua empresa para cada sistema. O fornecedor é quem desenvolve um sistema de IA, ou o manda desenvolver, e o coloca no mercado ou em serviço com o seu nome ou marca. O responsável pela implantação, por vezes chamado utilizador profissional, é quem usa o sistema sob a sua autoridade. As obrigações mais pesadas recaem sobre os fornecedores de sistemas de risco elevado, mas os responsáveis pela implantação também têm deveres claros.

Atenção a uma armadilha frequente: se a empresa modificar substancialmente um sistema de risco elevado, alterar a sua finalidade prevista ou o comercializar com a sua própria marca, pode passar a ser considerada fornecedora, com todas as obrigações associadas.

Os quatro níveis de risco

O AI Act organiza as obrigações em função do risco. Em termos práticos, é útil pensar em quatro níveis, a que se juntam regras específicas para modelos de IA de finalidade geral:

• Práticas proibidas (artigo 5.º): por exemplo, manipulação que explora vulnerabilidades, classificação social, reconhecimento de emoções no local de trabalho e em instituições de ensino, com exceções limitadas, e recolha indiscriminada de imagens faciais para criar bases de dados de reconhecimento.
• Risco elevado: sistemas usados como componentes de segurança de produtos regulados e sistemas nas áreas do Anexo III, como recrutamento e gestão de trabalhadores, acesso a educação, avaliação de crédito de pessoas singulares, determinados seguros de vida e saúde, serviços públicos essenciais e infraestruturas críticas.
• Risco limitado com obrigações de transparência (artigo 50.º): chatbots que devem informar que a pessoa interage com uma IA, conteúdos sintéticos que devem ser identificáveis e deepfakes que devem ser divulgados como tal.
• Risco mínimo: a grande maioria das aplicações, como filtros de spam ou recomendações simples, sem obrigações específicas além da literacia em IA.

Calendário: o que já se aplica e o que vem a seguir

As práticas proibidas e a obrigação de literacia em IA do artigo 4.º aplicam-se desde 2 de fevereiro de 2025. As obrigações para fornecedores de modelos de IA de finalidade geral aplicam-se desde 2 de agosto de 2025, data a partir da qual também se aplicam as regras sobre governação e sanções. A 2 de agosto de 2026 passou a aplicar-se a maior parte das restantes disposições, incluindo as obrigações de transparência do artigo 50.º e, em princípio, as obrigações para sistemas de risco elevado do Anexo III.

Há, no entanto, um ponto a acompanhar de perto. A Comissão Europeia apresentou em 2025 uma proposta de simplificação digital, o chamado pacote omnibus digital, que prevê adiar algumas datas relativas aos sistemas de risco elevado. Antes de planear prazos internos, confirme nas fontes oficiais da União se essa alteração já foi aprovada e que datas estão efetivamente em vigor. Os sistemas de risco elevado ligados a produtos regulados pelo Anexo I têm, de qualquer forma, um prazo mais longo, até agosto de 2027.

Obrigações concretas para quem usa IA na empresa

Para a maioria das PME portuguesas, o papel relevante é o de responsável pela implantação. As obrigações principais são as seguintes:

• Literacia em IA (artigo 4.º): garantir que o pessoal que opera ou usa sistemas de IA tem conhecimentos suficientes, adaptados à sua função. Guarde registos de formação.
• Usar sistemas de risco elevado de acordo com as instruções do fornecedor e atribuir supervisão humana a pessoas competentes e com autoridade (artigo 26.º).
• Garantir que os dados de entrada sob o seu controlo são pertinentes e suficientemente representativos.
• Monitorizar o funcionamento, conservar os registos gerados automaticamente durante pelo menos seis meses, salvo outra disposição legal, e comunicar riscos ou incidentes graves ao fornecedor e às autoridades.
• Informar os trabalhadores e os seus representantes antes de usar um sistema de risco elevado no local de trabalho.
• Em certos casos, como entidades públicas ou avaliação de crédito e de seguros de vida e saúde, realizar uma avaliação de impacto sobre os direitos fundamentais (artigo 27.º).
• Cumprir as regras de transparência quando usa chatbots ou gera conteúdos sintéticos dirigidos ao público.

Sanções e relação com o RGPD

O artigo 99.º prevê coimas até 35 milhões de euros ou 7 % do volume de negócios anual mundial para práticas proibidas, até 15 milhões ou 3 % para o incumprimento de outras obrigações e até 7,5 milhões ou 1 % para informações incorretas prestadas às autoridades. Para PME e startups aplica-se o menor dos dois valores. A forma concreta de aplicação em Portugal depende da legislação nacional, pelo que convém acompanhar as orientações das autoridades designadas.

O AI Act não substitui o RGPD. Se um sistema trata dados pessoais, continuam a aplicar-se a base jurídica, a informação aos titulares, as regras sobre decisões automatizadas do artigo 22.º do RGPD e, muitas vezes, uma avaliação de impacto sobre a proteção de dados. Em Portugal, a Comissão Nacional de Proteção de Dados (CNPD) mantém a sua competência sobre essa vertente.

Plano de ação em cinco passos

Primeiro, faça um inventário de todos os sistemas de IA em uso, incluindo funcionalidades de IA embutidas em software comum, como CRM, ferramentas de recrutamento ou assistentes de escrita. Segundo, classifique cada sistema por nível de risco e identifique o seu papel. Terceiro, lance um programa de literacia em IA proporcional, com registos. Quarto, para sistemas de risco elevado, peça ao fornecedor a documentação, as instruções de utilização e a declaração de conformidade, e defina a supervisão humana. Quinto, crie uma política interna de utilização de IA que inclua regras para ferramentas de IA generativa.

Para dar estrutura a este trabalho, muitas organizações recorrem à ISO/IEC 42001:2023, a norma de sistemas de gestão de IA. Não garante por si só a conformidade com o AI Act, mas oferece um quadro de governação, avaliação de riscos e de impacto e controlo do ciclo de vida que facilita demonstrar diligência. Uma autoavaliação gratuita no baltum.ai mostra o seu grau de preparação face à ISO 42001 e ajuda a identificar lacunas relevantes para o AI Act.

Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.