AI Act para PME: o que a lei europeia de IA exige à vossa empresa

O AI Act — o Regulamento (UE) 2024/1689, o regulamento europeu de inteligência artificial — não se aplica só a quem desenvolve IA: aplica-se à PME cuja equipa usa o ChatGPT ou o Copilot, que tem um chatbot no site, ou que manda construir um agente de IA à medida. Para quem gere uma empresa, a pergunta útil não é "o que diz o regulamento?". É esta: o que temos de fazer já, o que pode esperar, e o que muda se mandarmos desenvolver um sistema em vez de o comprar? Este guia responde a isso com o texto em vigor — incluindo o Omnibus Digital publicado em julho de 2026, que adiou as regras de alto risco e reescreveu a obrigação de literacia em IA.

Verificado a 14/10/2026 no texto publicado no Jornal Oficial da UE: Regulamento (UE) 2024/1689 e Regulamento (UE) 2026/1744. É informação geral, escrita por engenheiros que constroem sistemas de IA, não aconselhamento jurídico — para um caso concreto, confirmem com um advogado.

TL;DR — o AI Act numa PME, em 30 segundos:

• Já se aplicam as práticas proibidas e a obrigação de literacia em IA (desde 2 de fevereiro de 2025) e as obrigações de transparência para chatbots e conteúdo gerado por IA (desde 2 de agosto de 2026).
• As regras de alto risco foram adiadas pelo Regulamento (UE) 2026/1744: 2 de dezembro de 2027 para recrutamento, avaliação de trabalhadores, crédito a particulares e os restantes usos do Anexo III; 2 de agosto de 2028 para IA em produtos regulados.
• Usar IA de terceiros faz da empresa «responsável pela implantação». Mandar desenvolver um sistema e pô-lo em serviço com o vosso nome faz de vocês «prestador» — o papel com mais obrigações.
• Para a maioria das PME, cumprir hoje é pouco e concreto: um inventário dos usos de IA, uma política de uso, formação registada por perfil e um aviso de IA no chatbot. Nas coimas, uma PME fica sujeita ao mais baixo de dois tetos, não ao mais alto.

O que é o AI Act e a quem se aplica?

O AI Act é o Regulamento (UE) 2024/1689, que estabelece regras harmonizadas para a inteligência artificial na União Europeia: entrou em vigor a 1 de agosto de 2024, é diretamente aplicável em Portugal e regula a IA pelo nível de risco de cada uso. Quanto maior o risco para a saúde, a segurança ou os direitos fundamentais das pessoas, mais obrigações. A maior parte do que uma PME faz com IA fica nos níveis baixos.

"Diretamente aplicável" quer dizer que não precisa de uma lei portuguesa de transposição para valer — o texto europeu é a lei. O que fica para cada Estado-Membro é designar as autoridades de fiscalização e definir o regime de sanções (arts. 70.º e 99.º).

O regulamento distingue dois papéis principais, definidos no art. 3.º:

• Prestador (em muitos textos, «fornecedor»; em inglês, provider): quem «desenvolva, ou mande desenvolver, um sistema de IA […] e o coloque no mercado, ou coloque o sistema de IA em serviço sob o seu próprio nome ou a sua própria marca».
• Responsável pela implantação (em inglês, deployer): quem «utilize um sistema de IA sob a sua própria autoridade», salvo uso pessoal de caráter não profissional.

A partir do momento em que a equipa usa uma ferramenta de IA no trabalho, a empresa está dentro do âmbito do AI Act. A boa notícia é que, para a maioria desses usos, as obrigações são leves — o trabalho está em saber em que casos deixam de o ser.

Quando se aplica o AI Act? O calendário depois do Omnibus Digital

O AI Act aplica-se por fases: proibições e literacia em IA desde 2 de fevereiro de 2025, transparência desde 2 de agosto de 2026, e regras de alto risco a partir de 2 de dezembro de 2027 (Anexo III) ou de 2 de agosto de 2028 (Anexo I). As duas últimas datas vêm do Regulamento (UE) 2026/1744 — o «Regulamento Omnibus Digital em matéria de IA» —, publicado a 24 de julho de 2026 e em vigor desde 27 de julho. Os guias que ainda dizem "alto risco a partir de agosto de 2026" estão desatualizados.

Fontes: art. 113.º do AI Act, com a redação dada pelo Regulamento 2026/1744, e arts. 57.º e 111.º, n.º 4. A ANACOM resume as mesmas datas na nota que publicou quando a transparência começou a aplicar-se.

Uma nota sobre a linha de agosto de 2025: se usam a API de um destes modelos para construir um chatbot, não são «prestador de um modelo de finalidade geral». Podem, isso sim, ser prestador do sistema que construíram em cima dele — é o tema da secção seguinte.

Prestador ou responsável pela implantação: que papel tem a vossa empresa?

Uma PME que usa IA de terceiros é «responsável pela implantação»; uma PME que desenvolve — ou manda desenvolver — um sistema de IA e o põe em serviço com o seu nome ou marca é «prestador» (art. 3.º, pontos 3 e 4). O papel decide as obrigações, e é o ponto que os resumos mais saltam.

Mandar construir não passa a responsabilidade para quem constrói. Se encomendam um agente de IA a uma software house — a nós ou a outra — e o põem em serviço com o nome da vossa empresa, a definição de prestador apanha-vos pelo «mande desenvolver». Para um sistema de risco mínimo, isso pesa pouco: literacia e, se o sistema falar com pessoas, o aviso de IA. Para um sistema de alto risco, quer dizer que são vocês que têm de demonstrar a conformidade — e para isso precisam da documentação técnica, dos registos e do acesso ao código.

O mesmo vale para montagens caseiras. Uma automação que envia currículos para um modelo de linguagem e devolve um ranking de candidatos é, na nossa leitura, um sistema de alto risco do Anexo III — e quem a monta e usa com o próprio nome arrisca-se a ser tratado como prestador por ter mudado a finalidade de um sistema de finalidade geral (art. 25.º, n.º 1, alínea c)). Antes de pôr algo assim em produção, confirmem com um advogado.

Quais são as categorias de risco do AI Act? Exemplos numa PME

O AI Act separa os usos de IA em quatro níveis: risco inaceitável (proibido), risco elevado, risco limitado (obrigações de transparência) e risco mínimo (sem obrigações específicas além da literacia em IA). O que conta é o uso, não a tecnologia: o mesmo modelo de linguagem pode estar num uso de risco mínimo — resumir emails — e num de risco elevado — ordenar candidatos a uma vaga.

Três pormenores que mudam a classificação na prática:

• Nem tudo o que toca numa área do Anexo III é de alto risco. O art. 6.º, n.º 3, tira desse nível os sistemas que não influenciam de forma significativa uma decisão — por exemplo, os que fazem uma «tarefa processual restrita» ou uma «tarefa preparatória». O considerando 53 dá como exemplos transformar dados não estruturados em estruturados, classificar documentos recebidos ou detetar duplicados. Mas há uma regra que não admite exceção: se o sistema faz definição de perfis de pessoas, é sempre de alto risco. E quem invoca a exceção tem de documentar a avaliação antes de pôr o sistema em serviço e registá-lo (art. 6.º, n.º 4).
• «Reconhecimento de emoções», na lei, assenta em dados biométricos — voz, rosto (art. 3.º, ponto 39). Analisar o tom de um email de cliente não é a mesma coisa que analisar a cara de um trabalhador.
• A deteção de fraude financeira está expressamente excluída do ponto do Anexo III que torna de alto risco a notação de crédito a particulares (ponto 5, alínea b)). Tratamos esta fronteira em detalhe nas ideias de projetos de IA para contabilidade.

O que é a literacia em IA (art. 4.º) e como se cumpre numa PME?

A literacia em IA é a obrigação de todas as empresas que fornecem ou usam sistemas de IA adotarem medidas para que o pessoal que os opera tenha as competências e o conhecimento adequados ao seu contexto — aplica-se desde 2 de fevereiro de 2025 e continua em vigor depois do Omnibus, com uma redação mais leve. É a obrigação que apanha praticamente todas as PME, porque basta a equipa usar o ChatGPT no trabalho.

O que mudou com o Omnibus

O texto original pedia medidas para garantir, «na medida do possível», que o pessoal dispunha de «um nível suficiente de literacia no domínio da IA». A nova redação, em vigor desde 27 de julho de 2026, pede que prestadores e responsáveis pela implantação adotem «medidas para promover a literacia no domínio da IA do seu pessoal e de outras pessoas envolvidas na operação e utilização de sistemas de IA em seu nome» — e acrescenta que a obrigação «não exige que os prestadores ou responsáveis pela implantação garantam que as pessoas atinjam qualquer nível específico». Saiu a fasquia do «nível suficiente»; ficou a obrigação de agir. O mesmo artigo põe a Comissão e os Estados-Membros a apoiar as empresas, «mormente as PME», incluindo com exemplos práticos de cumprimento.

O que a Comissão Europeia diz que basta

As perguntas e respostas da Comissão sobre literacia em IA (atualizadas a 27/07/2026) respondem às dúvidas que ouvimos mais vezes:

• Uma equipa que usa o ChatGPT para escrever anúncios ou traduzir textos está abrangida? Sim — no mínimo, as pessoas devem ser informadas dos riscos específicos da ferramenta, como as alucinações.
• É preciso certificado? Não. Basta um registo interno das formações e de outras iniciativas de orientação.
• Há um formato obrigatório? Não. O ponto de partida é uma compreensão geral de IA na organização, o papel da empresa (prestador ou responsável pela implantação), os riscos dos sistemas que usa, e ações adaptadas ao conhecimento das pessoas e ao contexto de uso.
• Quem fiscaliza, e desde quando? As autoridades nacionais de fiscalização do mercado, que começaram a supervisionar em agosto de 2026. O art. 4.º não está na lista de coimas do art. 99.º, n.º 4 — as sanções dependem do regime de cada país e têm de ser proporcionais. A Comissão nota que uma sanção é mais provável quando há prova de um incidente causado pela falta de formação e orientação adequadas das pessoas.

Como cumprir em cinco passos

A ANACOM pôs em consulta pública (contributos até 1 de junho de 2026) um projeto de orientações para implementar a literacia em IA, datado de abril de 2026, com um programa de 11 passos. É um documento de boas práticas, não vinculativo — e para uma PME cabe em cinco:

1. Inventário. Que ferramentas de IA a empresa usa, incluindo as que vêm embebidas no software que já paga (CRM, ERP, suite de escritório) e os usos "por conta própria" — o que a ANACOM chama shadow AI.
2. Perfis. Quem só usa (o comercial que redige emails com IA), quem decide com base em resultados de IA (quem aprova um orçamento sugerido) e quem configura ou administra (quem monta automações e agentes).
3. Regras de uso numa página. Contas de empresa e não pessoais, o que nunca entra numa ferramenta pública, onde a revisão humana é obrigatória, e quem pode ligar a IA a sistemas internos. Para agentes que executam ações, o projeto da ANACOM recomenda regras próprias: limites de ação, aprovações humanas obrigatórias, registo do que o agente fez e um "kill switch".
4. Formação por perfil, sobre as ferramentas e os casos reais da empresa — incluindo os limites: alucinações, dados pessoais, enviesamentos, quando não confiar no resultado.
5. Registo e revisão. Quem foi formado, quando, em quê e com que materiais; revisão anual ou sempre que entra uma ferramenta nova.

O passo 4 é onde a maioria das empresas fica a meio: uma sessão genérica sobre "o que é a IA" não ensina a equipa a reconhecer uma resposta inventada no seu próprio trabalho. É o formato da nossa formação de IA para empresas: um workshop prático nos casos da vossa equipa, que inclui onde a IA não deve decidir e o que nunca entra numa ferramenta pública. Registada, conta como uma das medidas de literacia que o art. 4.º pede. Quando acompanha um projeto de adoção de IA, a formação pode também ser despesa elegível em apoios públicos — o estado de cada um está em financiamento de IA para empresas. Para decidir quem formar primeiro, vejam como formar a equipa em IA.

Chatbots, agentes e conteúdo gerado: que obrigações de transparência se aplicam?

Desde 2 de agosto de 2026, um chatbot ou agente que fala diretamente com pessoas tem de as informar de que estão a interagir com uma IA, salvo se for óbvio, e quem publica deepfakes tem de dizer que são artificiais (art. 50.º). São quatro obrigações distintas, com destinatários diferentes:

• Sistemas que interagem com pessoas (n.º 1) — obrigação do prestador: o sistema tem de ser concebido para que as pessoas saibam que falam com uma IA, de forma clara, «o mais tardar aquando da primeira interação» (n.º 5). Se compraram o chatbot a um SaaS, confirmem que o aviso está ligado e visível. Se o mandaram construir e o usam com o vosso nome, a obrigação é vossa — tem de vir no desenho do sistema.
• Conteúdo sintético (n.º 2) — os prestadores de sistemas que geram áudio, imagem, vídeo ou texto têm de o marcar num formato legível por máquina. Recai sobretudo sobre quem fornece os geradores; sistemas que já estavam no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 (art. 111.º, n.º 4).
• Falsificações profundas (n.º 4) — quem usa IA para gerar imagem, áudio ou vídeo semelhante a pessoas, objetos, locais ou acontecimentos reais, que possa passar por autêntico, tem de o revelar (art. 3.º, ponto 60). Uma ilustração abstrata para uma campanha não é um deepfake; uma "fotografia" de um cliente que não existe é.
• Texto sobre questões de interesse público (n.º 4) — tem de ser identificado como gerado por IA, exceto se houve revisão humana ou controlo editorial e alguém assume a responsabilidade editorial pela publicação.

Um detalhe de engenharia que faz diferença: o aviso de IA deve viver no sistema — na primeira mensagem do widget, na assinatura do email que o agente envia — e não depender de o modelo "se lembrar" de o dizer. É assim que desenhamos os agentes de IA que falam com clientes. A Comissão publicou orientações sobre estas obrigações de transparência, com exemplos de exceções como a correção ortográfica.

Sistemas de alto risco: o que implica usar ou mandar construir um?

Se um sistema decide ou ajuda a decidir sobre pessoas numa área do Anexo III — contratar, avaliar trabalhadores, conceder crédito a particulares, fixar preços de seguros de vida ou saúde — é de alto risco, e a partir de 2 de dezembro de 2027 quem o fornece tem de cumprir um conjunto pesado de requisitos e quem o usa tem obrigações próprias. Para uma PME, a decisão importante é tomada antes: comprar, construir, ou desenhar o sistema para ficar fora do alto risco.

O que tem de fazer quem usa um sistema de alto risco

As obrigações do responsável pela implantação estão no art. 26.º:

• Usar o sistema de acordo com as instruções de utilização do prestador.
• Atribuir a supervisão humana a pessoas com «as competências, a formação e a autoridade necessárias».
• Garantir que os dados de entrada são pertinentes e representativos, na medida em que os controla.
• Monitorizar o funcionamento, suspender o uso e avisar o prestador e a autoridade se identificar um risco ou um incidente grave.
• Conservar os registos gerados automaticamente durante pelo menos seis meses.
• Antes de usar um sistema de alto risco no local de trabalho, informar os representantes dos trabalhadores e os trabalhadores afetados.
• Informar as pessoas sujeitas a decisões tomadas ou apoiadas pelo sistema.

A avaliação de impacto sobre os direitos fundamentais (art. 27.º) só é obrigatória para organismos públicos, entidades privadas que prestam serviços públicos e quem usa sistemas de crédito a particulares ou de seguros de vida e saúde — a maioria das PME não está nesse grupo.

O que tem de fazer quem o fornece (ou manda construir)

O prestador de um sistema de alto risco tem de cumprir os requisitos dos arts. 9.º a 15.º e as obrigações do art. 16.º: sistema de gestão de riscos; dados de treino, validação e teste com critérios de qualidade; documentação técnica; registos automáticos de eventos; instruções de utilização; supervisão humana; exatidão, solidez e cibersegurança; sistema de gestão da qualidade; avaliação da conformidade, declaração UE de conformidade e marcação CE; registo na base de dados da UE; e medidas corretivas quando algo falha.

O Omnibus aliviou parte disto para empresas pequenas. As PME — menos de 250 pessoas e volume de negócios até 50 milhões de euros ou balanço até 43 milhões, segundo a Recomendação 2003/361/CE — e as novas «pequenas empresas de média capitalização» podem apresentar a documentação técnica num formulário simplificado que a Comissão vai criar (art. 11.º). Todas as PME sem empresas parceiras ou associadas podem cumprir partes do sistema de gestão da qualidade de forma simplificada (art. 63.º). As taxas de avaliação da conformidade são reduzidas em proporção à dimensão, e as PME têm acesso prioritário aos ambientes de testagem da regulamentação (art. 62.º).

Exemplo: triagem de candidatos — comprar, construir ou redesenhar?

Uma PME de 80 pessoas recebe centenas de candidaturas por mês e quer IA para as triar. Três caminhos, e o que cada um implica a partir de 2 de dezembro de 2027:

O caminho C é o que mais vezes recomendamos a PME, porque resolve a parte que custa horas — ler e organizar — sem pôr um modelo a decidir sobre pessoas. A fronteira entre "estruturar" e "avaliar" tem de ficar escrita na especificação e respeitada no código; é aí que um projeto bem desenhado e um projeto arriscado se separam. Confirmem a classificação final com um advogado antes de lançar.

O que pedir a quem vos desenvolve o sistema

Se vão ser prestador, o contrato e a arquitetura têm de vos dar o que precisam para demonstrar conformidade. Para sistemas de alto risco, o art. 25.º, n.º 4, exige mesmo um acordo escrito entre o prestador e quem fornece ferramentas, componentes ou serviços integrados no sistema, sobre a informação, o acesso técnico e a assistência necessários. Na prática, peçam:

• A finalidade prevista escrita na especificação — é ela que decide a classificação de risco (art. 3.º, ponto 12).
• Registos automáticos do que o sistema recebeu, decidiu e fez, com retenção definida.
• Supervisão humana desenhada na interface: quem aprova, quem pode corrigir, quem pode parar o sistema.
• Conjuntos de teste e métricas documentados, incluindo verificações de enviesamento quando o sistema trata pessoas.
• Código, documentação técnica e histórico de versões vossos — uma alteração substancial depois de o sistema estar em serviço pode mudar o enquadramento (art. 3.º, ponto 23).

Nos projetos que construímos, o código e a documentação ficam convosco; num sistema de alto risco, isso deixa de ser uma preferência e passa a ser condição para conseguirem cumprir. É também a diferença entre uma demo e um sistema em produção — avaliações, limites e registos são o que separa um protótipo de algo em que se pode confiar, como explicamos em porque é que o vosso agente de IA não é fiável para escalar. Se a dúvida é construir ou comprar, o raciocínio está em agentes de IA: construir ou comprar, e o nosso trabalho de desenvolvimento de IA à medida parte destes requisitos.

Que coimas prevê o AI Act para uma PME?

As coimas máximas são de 35 milhões de euros ou 7% do volume de negócios anual mundial para práticas proibidas, 15 milhões ou 3% para a maioria das outras obrigações — incluindo a transparência e as obrigações de quem usa sistemas de alto risco — e 7,5 milhões ou 1% por prestar informação incorreta às autoridades; para uma PME aplica-se o valor mais baixo dos dois, não o mais alto (art. 99.º, n.º 6). Para uma grande empresa, o teto é o mais elevado dos dois.

Exemplo para uma PME com 2 milhões de euros de volume de negócios no exercício anterior:

São tetos, não valores esperados. O art. 99.º, n.º 7, manda pesar a gravidade, a duração, a cooperação com as autoridades, a negligência ou dolo e as medidas que a empresa tomou; o n.º 1 manda ter em conta os interesses das PME e a sua viabilidade económica. Desde o Omnibus, a regra do "mais baixo dos dois" aplica-se também às pequenas empresas de média capitalização, mas só às coimas dos n.os 4 e 5 — não às de práticas proibidas (art. 99.º, n.º 6-A). A literacia em IA, como vimos, fica para o regime nacional.

Quem fiscaliza o AI Act em Portugal?

O Governo indicou a ANACOM como autoridade de supervisão do AI Act em Portugal — anunciado pelo Ministro das Infraestruturas e Habitação a 19 de setembro de 2025, segundo as conclusões da conferência da ANACOM sobre IA —, e é a ANACOM que tem publicado as orientações nacionais para empresas. O resto do quadro, a 14/10/2026:

• ANACOM: pôs em consulta pública o projeto de orientações sobre literacia em IA (contributos até 1 de junho de 2026) e um projeto de recomendações sobre as práticas proibidas do art. 5.º (contributos até 16 de julho de 2026). À data, não encontrámos as versões finais.
• CNPD: continua a ser a autoridade de proteção de dados. Tudo o que o RGPD exige mantém-se, com ou sem AI Act.
• Serviço para a IA da Comissão Europeia (AI Office): fiscaliza os modelos de finalidade geral e, depois do Omnibus, os sistemas construídos sobre um modelo de finalidade geral do mesmo prestador e os integrados em plataformas e motores de pesquisa de muito grande dimensão (art. 75.º).
• Diploma nacional: não encontrámos publicado em Diário da República o diploma que formaliza a designação das autoridades e fixa o regime de sanções que o art. 99.º deixa a cada Estado-Membro. Se uma decisão vossa depende disto, confirmem o estado à data.

Como se relaciona o AI Act com o RGPD?

Aplicam-se os dois ao mesmo tempo: o AI Act regula o sistema de IA, o RGPD regula os dados pessoais que ele trata — e o AI Act diz expressamente que não afeta o RGPD (art. 2.º, n.º 7). Na prática:

• Base legal, informação aos titulares e minimização de dados continuam a vir do RGPD, seja qual for o nível de risco no AI Act. Um sistema de risco mínimo no AI Act pode ser um tratamento de risco elevado no RGPD — basta tratar dados de saúde, como explicamos em IA na saúde em Portugal.
• Decisões exclusivamente automatizadas com efeitos jurídicos ou significativos para as pessoas já estão limitadas pelo art. 22.º do RGPD — hoje, não em 2027.
• A avaliação de impacto sobre a proteção de dados (art. 35.º do RGPD) é feita por quem usa um sistema de alto risco com a informação que o prestador lhe tem de dar (AI Act, art. 26.º, n.º 9). Depois do Omnibus, a avaliação de impacto sobre direitos fundamentais pode remeter para a de proteção de dados em vez de a repetir (art. 27.º, n.º 4).
• Enviesamentos: o Omnibus criou uma base legal (art. 4.º-A) para tratar, excecionalmente e com salvaguardas apertadas, categorias especiais de dados pessoais quando é estritamente necessário para detetar e corrigir enviesamentos.

Conselho prático: façam um só inventário. A lista de usos de IA da literacia e o registo de atividades de tratamento do RGPD descrevem, em boa parte, as mesmas coisas — dados, finalidade, fornecedor, quem tem acesso. Para os dados que nunca devem entrar numa ferramenta pública, a política de uma página que descrevemos nas ferramentas de IA para empresas serve aos dois regimes.

Checklist AI Act para PME: 10 passos

1. Façam o inventário dos usos de IA — ferramentas oficiais, IA embebida em software que já usam, e usos por conta própria. (Literacia, art. 4.º — já em vigor.)
2. Classifiquem cada uso em proibido, alto risco, transparência ou mínimo, e anotem o vosso papel: prestador ou responsável pela implantação.
3. Confirmem que nada cai no art. 5.º — sobretudo inferência de emoções de trabalhadores e qualquer técnica que explore vulnerabilidades de clientes. (Em vigor desde 2 de fevereiro de 2025.)
4. Escrevam uma política de uso de uma página: contas de empresa, o que nunca entra numa ferramenta pública, onde a revisão humana é obrigatória, quem pode ligar IA a sistemas internos.
5. Formem por perfil e guardem o registo — quem, quando, em quê. Sem certificado obrigatório.
6. Ponham o aviso de IA nos chatbots e agentes que falam com clientes, no desenho do sistema e não no prompt. (Art. 50.º — em vigor desde 2 de agosto de 2026.)
7. Identifiquem o conteúdo gerado que publicam quando imita pessoas, locais ou acontecimentos reais.
8. Para RH, crédito ou seguros, decidam já entre comprar, construir ou redesenhar fora do alto risco — 2 de dezembro de 2027 está a um ciclo de projeto de distância.
9. Revejam os contratos com fornecedores de IA e com quem vos desenvolve sistemas: documentação, registos, acesso técnico, propriedade do código.
10. Alinhem com o RGPD e revejam a cada 6 a 12 meses — as orientações nacionais e da Comissão ainda estão a sair.

Os passos 1, 2 e 8 são, na prática, um diagnóstico. No nosso trabalho de estratégia de IA, cada caso de uso sai classificado numa nota de risco AI Act e RGPD, com indicação clara do que tem de passar pelo vosso advogado.

Perguntas frequentes

O AI Act aplica-se a uma PME que só usa o ChatGPT?

Sim, mas as obrigações são leves. Uma empresa cuja equipa usa o ChatGPT no trabalho é «responsável pela implantação» e tem de cumprir a obrigação de literacia em IA (art. 4.º): informar e formar as pessoas sobre os riscos da ferramenta, como respostas inventadas e dados pessoais. Se o uso não for de alto risco nem falar com clientes, não há mais obrigações específicas do AI Act — o RGPD continua a aplicar-se.

A literacia em IA obriga a dar formação certificada aos trabalhadores?

Não. A Comissão Europeia diz expressamente que não é preciso certificado: basta um registo interno das formações e outras iniciativas. Desde o Omnibus Digital (julho de 2026), o art. 4.º pede medidas para promover a literacia em IA, adaptadas ao contexto de cada pessoa, e deixa claro que não exige garantir um nível específico de conhecimento a cada trabalhador.

Usar IA para triar currículos é proibido?

Não é proibido, é de alto risco. O Anexo III do AI Act inclui os sistemas usados para analisar e filtrar candidaturas e avaliar candidatos. As regras aplicam-se a partir de 2 de dezembro de 2027: supervisão humana, registos, informação aos candidatos e, para quem fornece o sistema, avaliação da conformidade. Um sistema que só extrai e organiza dados dos currículos, sem pontuar pessoas, pode ficar fora desse nível.

O AI Act foi adiado?

Em parte. O Regulamento (UE) 2026/1744 (Omnibus Digital), em vigor desde 27 de julho de 2026, adiou as regras de alto risco para 2 de dezembro de 2027 (Anexo III) e 2 de agosto de 2028 (Anexo I). O resto não mudou de data: as proibições e a literacia em IA aplicam-se desde fevereiro de 2025 e a transparência desde 2 de agosto de 2026.

O que é que o AI Act proíbe?

Desde 2 de fevereiro de 2025, o art. 5.º proíbe IA que manipule pessoas ou explore vulnerabilidades causando danos significativos, classificação social, previsão de crimes só com base em perfis, recolha indiscriminada de imagens faciais, inferência de emoções no trabalho e no ensino, categorização biométrica sensível e, salvo exceções, identificação biométrica em tempo real pela polícia. A partir de 2 de dezembro de 2026, junta-se a geração de imagens íntimas não consentidas e de abuso sexual de crianças.

Quais são as principais críticas ao AI Act?

O custo de cumprir e a incerteza — e o próprio legislador europeu reconheceu-as. No Omnibus Digital, a UE justificou o adiamento das regras de alto risco com normas técnicas atrasadas e autoridades nacionais por montar, que resultaram em «encargos relacionados com a conformidade superiores ao previsto», e reescreveu a literacia em IA porque a obrigação original criava «encargos de conformidade adicionais, em especial para as empresas de menor dimensão».