AI Act: o que muda para as empresas portuguesas que usam inteligência artificial

O que é o AI Act?

É o Regulamento (UE) 2024/1689, sobre inteligência artificial. Entrou em vigor a 1 de agosto de 2024 e aplica-se diretamente em Portugal, como o RGPD: não precisa de uma lei portuguesa para ter efeito.

Não regula a tecnologia em abstrato, regula usos. As obrigações dependem do risco de cada um: há práticas proibidas, usos de risco elevado com regras exigentes, usos que pedem transparência e, no resto, quase nada.

Quem tem obrigações: o fornecedor ou quem usa?

O regulamento distingue dois papéis. O fornecedor desenvolve um sistema de IA, ou manda desenvolvê-lo, e coloca-o no mercado ou em serviço com o seu nome. O responsável pela implantação usa um sistema de IA na sua atividade profissional.

Uma empresa que usa o ChatGPT, o Copilot ou o Claude no escritório é responsável pela implantação. Uma empresa que põe a funcionar, com o seu nome, um assistente de WhatsApp para os seus clientes pode ser também fornecedora desse sistema, mesmo que o tenha encomendado a outra empresa. O uso pessoal, fora da atividade profissional, fica de fora.

O calendário: o que já se aplica e o que vem a seguir

• 2 de fevereiro de 2025: práticas proibidas e literacia em IA.
• 2 de agosto de 2025: regras para os modelos de IA de uso geral, que recaem sobre quem os desenvolve, como a OpenAI, a Google ou a Anthropic, e regras sobre as autoridades nacionais e as coimas.
• 2 de agosto de 2026: obrigações de transparência do artigo 50.º e aplicação geral do regulamento.
• 2 de dezembro de 2026: marcação técnica dos conteúdos gerados por sistemas que já estavam no mercado antes de 2 de agosto de 2026, e duas proibições novas: gerar imagens íntimas de pessoas reais sem consentimento e gerar material de abuso sexual de menores.
• 2 de dezembro de 2027: obrigações dos sistemas de risco elevado do Anexo III, como os de recrutamento, crédito e educação.
• 2 de agosto de 2028: sistemas de risco elevado integrados em produtos regulados, como dispositivos médicos ou máquinas (Anexo I).

Os prazos de dezembro de 2027 e de agosto de 2028 vêm do Omnibus Digital sobre IA, o Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026. Até lá, as regras de risco elevado estavam marcadas para agosto de 2026 e agosto de 2027.

O que é proibido desde fevereiro de 2025?

Algumas práticas são proibidas, seja quem for que as use. Para uma PME, as que mais importam são estas:

• Reconhecer as emoções de trabalhadores ou alunos, por exemplo pela voz ou pela imagem, salvo por razões médicas ou de segurança.
• Usar técnicas manipuladoras ou enganosas que alterem o comportamento das pessoas e lhes causem prejuízo significativo.
• Explorar vulnerabilidades ligadas à idade, a uma deficiência ou à situação social ou económica de alguém.
• Classificar pessoas pelo seu comportamento social ou por traços pessoais, com consequências injustas noutros contextos.
• Deduzir por biometria a raça, as opiniões políticas, a religião ou a orientação sexual.
• Criar bases de dados de reconhecimento facial com imagens recolhidas sem critério da internet ou de videovigilância.

Um exemplo: um sistema que analisa a voz dos operadores de um call center para medir o seu estado emocional é proibido. Analisar o texto das mensagens dos clientes para dar prioridade às reclamações não usa dados biométricos e, em princípio, não cai nesta proibição.

Que obrigações tem hoje uma PME que usa IA?

• Literacia em IA: tomar medidas para que quem usa IA na empresa saiba o que está a fazer, com formação e regras de uso adequadas a cada função. O Omnibus Digital suavizou esta obrigação: deixou de ser preciso garantir um nível de conhecimento, mas continua a ser preciso agir.
• Assistentes que dizem que são IA: quem fala com um assistente de IA, no WhatsApp ou no website, tem de saber que está a falar com uma máquina, a não ser que seja óbvio.
• Imitações realistas: imagens, áudio ou vídeo que imitem pessoas, sítios ou acontecimentos reais têm de ser identificados como gerados ou manipulados por IA.
• Textos sobre assuntos de interesse público: quando são gerados por IA e publicados para informar o público, têm de ser identificados, salvo se uma pessoa os rever e assumir a responsabilidade editorial.
• Reconhecimento de emoções ou categorização biométrica fora das proibições: as pessoas expostas têm de ser informadas.

Um exemplo: o assistente do nosso website, o Redita, mostra logo no topo da conversa que se está a falar com um assistente de IA, com a ligação para a política de privacidade.

Escrever emails, resumir reuniões, traduzir ou ler faturas com IA não traz, por si, obrigações além da literacia. O RGPD continua a aplicar-se sempre que há dados pessoais.

O que é um sistema de risco elevado?

São usos em que um erro pode afetar a vida, os direitos ou a segurança das pessoas. A lista está no Anexo III do regulamento. Os mais próximos das PME são estes:

• Recrutamento e gestão de pessoas: filtrar candidaturas, ordenar candidatos, avaliar desempenho, distribuir tarefas ou apoiar decisões de promoção e despedimento.
• Crédito e seguros: avaliar a capacidade de crédito de pessoas ou fixar o preço de seguros de vida e de saúde.
• Educação e formação: decidir admissões, avaliar resultados de aprendizagem ou vigiar alunos durante exames.
• Biometria: identificação biométrica à distância e categorização biométrica.

Um sistema destas áreas pode não ser de risco elevado se fizer só uma tarefa processual limitada, melhorar um trabalho já feito por uma pessoa ou preparar uma avaliação que uma pessoa faz, desde que não defina perfis de pessoas. Essa conclusão tem de ficar documentada.

Para quem usa um destes sistemas, as obrigações começam a 2 de dezembro de 2027: usá-lo segundo as instruções do fornecedor, ter supervisão humana por pessoas com competência para isso, acompanhar o funcionamento, guardar os registos e informar os trabalhadores e os seus representantes antes de o usar no local de trabalho.

Quem fiscaliza em Portugal?

O Governo escolheu a ANACOM, em setembro de 2025, como autoridade de fiscalização do mercado e ponto único de contacto. A Comissão Europeia já a indica como tal, mas à data desta revisão a designação nacional ainda não estava publicada em diploma final, e Portugal também ainda não tinha publicado o regime nacional de coimas.

Nos setores financeiros, a fiscalização dos sistemas de risco elevado cabe ao Banco de Portugal, à ASF e à CMVM. A CNPD mantém as suas competências sempre que há dados pessoais, e entidades como a ACT, a ERS ou a ASAE podem pedir documentação sobre sistemas de risco elevado na sua área.

Que coimas estão previstas?

O regulamento fixa os limites máximos e cada país define o regime concreto. Para as práticas proibidas, os máximos ficam acima dos do RGPD. Para as outras obrigações, incluindo a transparência, são mais baixos, mas continuam elevados.

Para as PME aplica-se o mais baixo dos dois limites previstos, o valor fixo ou a percentagem da faturação anual, e não o mais alto. O Omnibus Digital estendeu esta regra às pequenas empresas de média capitalização. Ser PME reduz a coima máxima, mas não isenta.

Por onde começar?

1. Fazer a lista das ferramentas de IA que a empresa usa, quem as usa e para quê, incluindo as que cada pessoa usa por iniciativa própria.
2. Confirmar que nenhum uso cai nas práticas proibidas.
3. Marcar os usos que podem ser de risco elevado, sobretudo em recrutamento, gestão de pessoas, crédito e educação, e começar a preparar o prazo de dezembro de 2027.
4. Garantir que os assistentes dizem que são IA logo no início da conversa.
5. Definir regras de uso para a equipa: que ferramentas usar, que dados nunca lá entram e quem revê o que a IA produz.
6. Dar formação adequada a cada função e guardar registo do que foi feito.
7. Pedir aos fornecedores das ferramentas a informação de que precisa sobre transparência, marcação de conteúdos e tratamento de dados.

Este guia resume o regulamento e não substitui aconselhamento jurídico. Para um caso concreto, sobretudo de risco elevado, confirme com um jurista.