O AI Act entrou em vigor em agosto de 2024. A partir de agosto de 2026, as empresas que usam inteligência artificial terão obrigações legais concretas — independentemente da dimensão.
Pense nele como o "RGPD da inteligência artificial". Mas com diferenças importantes.
O Regulamento (UE) 2024/1689 — conhecido como AI Act — é a primeira lei do mundo que regula a inteligência artificial de forma abrangente. Foi publicada em julho de 2024 e aplica-se a todas as empresas que desenvolvem, vendem, importam ou utilizam sistemas de IA no mercado europeu.
A lógica é simples: quanto maior for o risco que um sistema de IA representa para as pessoas, mais rigorosas são as regras. Uma ferramenta de filtro de spam tem obrigações mínimas. Um sistema que decide quem é contratado ou quem recebe crédito tem obrigações muito exigentes.
Se reconhece algum destes cenários, o AI Act aplica-se a si. Mesmo que seja uma PME.
Qualquer empresa que use modelos de IA de uso geral em processos internos tem obrigações de literacia e de uso responsável.
Risco limitadoSistemas de IA em processos de RH — triagem de CVs, scoring de desempenho — são classificados como alto risco.
Alto riscoSistemas de pontuação de crédito ou classificação de clientes para fins de acesso a serviços são alto risco.
Alto riscoChatbots devem identificar-se como IA. Obrigações de transparência aplicam-se desde já.
Risco limitadoEstes setores têm os requisitos mais exigentes. Avaliações de conformidade obrigatórias antes da colocação no mercado.
Alto risco críticoEnquanto prestador, tem as obrigações mais extensas: documentação técnica, CE marking, registo na base de dados da UE.
Prestador — alto riscoSistemas de recomendação e personalização com IA têm obrigações de transparência para os utilizadores finais.
Risco limitadoAplicações de IA sem impacto significativo nas pessoas. Sujeitas apenas a boas práticas voluntárias.
Risco mínimoQuanto mais alto na pirâmide, mais obrigações — e mais severas as consequências.
Sistemas completamente proibidos na UE, por violarem direitos fundamentais.
Ex: pontuação social pelo governo; manipulação subliminar de comportamentos; reconhecimento facial em tempo real em espaços públicos; policiamento preditivo por perfis; IA para detetar emoções no local de trabalho.
Sistemas permitidos, mas sujeitos a avaliação de conformidade antes de entrar no mercado.
Ex: IA em recrutamento, crédito, saúde, educação, administração pública, infraestruturas críticas, sistemas de justiça, gestão de migração.
Obrigações de informar os utilizadores de que estão a interagir com IA.
Ex: chatbots, deepfakes, sistemas de reconhecimento de emoções, conteúdo gerado por IA.
Sem obrigações legais adicionais. Regulação pelo código de conduta voluntário.
Ex: filtros de spam, motores de pesquisa, videojogos com IA, sistemas de recomendação de playlists.
O AI Act distingue 4 tipos de intervenientes, cada um com obrigações diferentes. Muitas empresas são ao mesmo tempo mais do que um.
Desenvolve e coloca no mercado um sistema de IA com o seu nome/marca. As obrigações mais pesadas recaem aqui.
Usa um sistema de IA de outra empresa no seu contexto profissional. Tem obrigações de supervisão humana e de literacia.
Coloca no mercado da UE um sistema de IA desenvolvido fora da UE.
Disponibiliza no mercado europeu um sistema de IA de outro prestador, sem o modificar.
As obrigações dependem de dois fatores: o nível de risco do sistema e o seu papel na cadeia de IA. As tabelas abaixo separam os dois cenários mais comuns.
| Obrigação do Deployer | 🚫 Sistema Proibido | ⚠️ Alto Risco | 👁 Risco Limitado | ✅ Risco Mínimo |
|---|---|---|---|---|
| Inventariar todos os sistemas de IA em uso Primeiro passo: saber o que se usa antes de classificar o risco |
Cessar uso | Obrigatório | Recomendado | Voluntário |
| Literacia em IA para os colaboradores Formação adequada para todos os que usam ou supervisionam IA — desde fev. 2025 (Art. 4) |
— | Obrigatório | Obrigatório | Obrigatório |
| Supervisão humana dos sistemas Designar pessoa responsável pela supervisão; poder intervir e parar o sistema (Art. 26) |
— | Obrigatório | — | — |
| Seguir as instruções de uso do prestador Usar o sistema apenas para os fins previstos pelo fabricante (Art. 26) |
— | Obrigatório | — | — |
| Suspender ou reportar sistemas com risco Comunicar incidentes graves ao prestador e às autoridades (Art. 26) |
— | Obrigatório | — | — |
| Informar utilizadores que estão a interagir com IA Chatbots e IA interativa devem identificar-se como IA (Art. 50) |
— | Obrigatório | Obrigatório | — |
| Avaliação de impacto nos direitos fundamentais Para organismos públicos e alguns privados que usam IA de alto risco (Art. 27) |
— | Caso a caso | — | — |
| Política interna de uso de IA Regras internas sobre como a empresa usa e supervisiona sistemas de IA |
— | Obrigatório | Recomendado | Voluntário |
A implementação é faseada. Mas atenção: algumas obrigações já estão em vigor.
A ANACOM (Autoridade Nacional de Comunicações) foi designada, por Resolução do Conselho de Ministros de setembro de 2025, como a autoridade nacional de supervisão de mercado para o AI Act em Portugal.
A ANACOM coordena outras 14 autoridades sectoriais competentes para fiscalizar a aplicação do regulamento nos respetivos setores.
⚠️ Empresas com conformidade RGPD robusta partem com vantagem — mas os requisitos do AI Act vão além do RGPD, nomeadamente nas avaliações de conformidade e monitorização pós-mercado.
O AI Act prevê sanções substanciais. Para PMEs, aplicam-se os menores dos montantes abaixo.
Cada empresa parte de um ponto diferente. Temos um serviço adequado para cada situação — e todos começam com uma sessão de esclarecimento gratuita.
30 minutos por videochamada, sem compromisso. Analisamos a situação da sua empresa e dizemos-lhe exatamente o que precisa de fazer — e o que não precisa.
O que fica a saber na sessão: