DPO WorkspaceComeçar grátis

AI Act · Regulamento europeu sobre IA

Regulamento europeu sobre IA: obrigações das empresas e documentos prontos

O Regulamento europeu sobre IA (AI Act) não diz respeito apenas às empresas que desenvolvem os seus próprios sistemas de IA. Quem utiliza ferramentas de IA -- desde assistentes simples a sistemas de apoio à decisão -- é um responsável pela implantação e, a partir de 2026, tem de cumprir um número crescente de obrigações. Um software de gestão das obrigações do AI Act regista qual o sistema, para que é usado, com que classe de risco e com que provas de conformidade.

Para os Encarregados de Proteção de Dados que já conhecem o registo de atividades de tratamento e a prática da avaliação de impacto dos seus clientes, o AI Act situa-se em terreno conhecido: também aqui se trata de avaliar risco, documentar e conseguir demonstrar conformidade perante a autoridade -- apenas com o seu próprio conjunto de normas e os seus próprios prazos.

A literacia em IA não é um extra (art. 4.º do AI Act)

Fornecedores e responsáveis pela implantação têm de assegurar que o pessoal e outras pessoas envolvidas na operação dos sistemas de IA têm literacia suficiente nesta matéria. Esta obrigação aplica-se a qualquer empresa, independentemente da sua dimensão e independentemente de o sistema utilizado ser classificado como de risco elevado.

Atualização: o pacote Digital Omnibus adiou os prazos

Durante dois anos, 2 de agosto de 2026 foi apontado como o início das obrigações para os sistemas de risco elevado. Já não é: o anexo III foi adiado para 2 de dezembro de 2027, e o anexo I para 2 de agosto de 2028. As obrigações de transparência do art. 50.º, essas, mantêm-se confirmadas para 2 de agosto de 2026. Muita informação em circulação ainda indica o calendário antigo.

Que provas um software para o AI Act deve manter

  • Inventário dos sistemas de IA de cada cliente, com a respetiva classe de risco
  • Prova de literacia em IA (art. 4.º do AI Act), com registo de formações
  • Informação de transparência para os utilizadores dos sistemas de IA
  • Avaliação de impacto sobre os direitos fundamentais (FRIA, art. 27.º) ligada à avaliação de impacto sobre a proteção de dados
  • Documentação das exceções e das decisões de classificação do sistema

AI Act e RGPD no mesmo perfil de cliente

No DPO Workspace, o inventário de sistemas de IA está ao lado do registo, da avaliação de impacto e das violações de cada cliente -- a mesma estrutura, a mesma capacidade de demonstrar conformidade. 30 dias grátis, sem cartão de crédito.

Experimentar grátis

Perguntas frequentes

O Regulamento sobre IA aplica-se a empresas que só usam o ChatGPT ou ferramentas semelhantes?

Sim: quem utiliza sistemas de IA é um responsável pela implantação (deployer) na aceção do AI Act -- quer o sistema tenha sido desenvolvido internamente, quer tenha sido adquirido a um fornecedor. As obrigações dos responsáveis pela implantação são mais leves do que as dos fornecedores, mas aplicam-se independentemente da dimensão da empresa.

O que entra em vigor a 2 de agosto de 2026?

As obrigações de transparência do art. 50.º: identificação de chatbots, de conteúdos gerados por IA e de deepfakes. NÃO entram em vigor nessa data as obrigações para sistemas de risco elevado -- o pacote Digital Omnibus adiou-as para 2 de dezembro de 2027 (anexo III, sistemas autónomos) e 2 de agosto de 2028 (anexo I, IA integrada em produtos regulados). A proibição de determinadas práticas e o dever de literacia em IA do art. 4.º já se aplicam desde 2 de fevereiro de 2025.

O pacote Digital Omnibus eliminou alguma obrigação?

Não. Adiou prazos, não conteúdo: a avaliação de conformidade, a documentação técnica, o sistema de gestão da qualidade, a marcação CE, o registo na base de dados da UE, a supervisão humana e a avaliação de impacto sobre os direitos fundamentais mantêm-se inalterados. Quem tratar o adiamento como motivo para não começar fará o mesmo trabalho em menos tempo.

O que significa, na prática, a literacia em IA (art. 4.º do AI Act)?

Fornecedores e responsáveis pela implantação têm de assegurar que o seu pessoal e outras pessoas envolvidas na operação e utilização de sistemas de IA possuam um nível suficiente de literacia em IA -- tendo em conta os seus conhecimentos técnicos, experiência, formação e o contexto em que os sistemas de IA vão ser utilizados.

Que práticas são proibidas pelo AI Act?

Entre outras: sistemas que utilizam técnicas subliminares suscetíveis de causar danos, a exploração de vulnerabilidades de grupos específicos, certas formas de avaliação social (social scoring) e certos casos de identificação biométrica remota em tempo real em espaços públicos, com as exceções previstas no regulamento.

Como se relaciona o AI Act com o RGPD?

Os dois diplomas sobrepõem-se onde os sistemas de IA tratam dados pessoais: uma avaliação de impacto RGPD já realizada fornece os factos em que se pode basear a avaliação de impacto sobre os direitos fundamentais do art. 27.º do AI Act, em vez de se prepararem as duas avaliações em separado.

Que autoridade vai fiscalizar o AI Act em Portugal?

A estrutura de fiscalização do AI Act em Portugal está ainda a ser definida no processo legislativo. Até essa definição ficar concluída, as obrigações relativas a dados pessoais tratados por sistemas de IA permanecem sob a fiscalização da CNPD, ao abrigo do RGPD.

Preparados para as obrigações a partir de 2026

Inventário de sistemas de IA, prova de literacia e FRIA, ligados à documentação RGPD de cada cliente.

Começar grátis