Regulamento da IA (AI Act): o que tem de fazer a sua empresa

Se a sua empresa escreve propostas com o Copilot ou recebeu um módulo com IA dentro do programa de recursos humanos, o Regulamento (UE) 2024/1689 já lhe diz respeito. Não como fabricante: como quem usa. E a maior parte do que lhe cabe não custa dinheiro.

O calendário mexeu em julho de 2026, com o chamado Digital Omnibus, e há muita página parada na versão anterior. Este é o estado das coisas neste mês de novembro, lido por uma PME portuguesa; para pôr a formação e as regras da casa por escrito há um modelo pensado para um gabinete de contabilidade.

Responsável pela implantação ou prestador: que papel tem a sua empresa

O regulamento separa quem coloca um sistema de IA no mercado, o prestador, de quem o utiliza sob a sua própria autoridade, o responsável pela implantação (artigo 3.º, pontos 3 e 4). Uma PME que trabalha com o ChatGPT, o Copilot ou o Gemini está quase sempre no segundo papel.

A única saída é o uso pessoal de caráter não profissional. Conta pessoal, plano gratuito ou ferramenta que ninguém aprovou não mudam nada: se o texto é de trabalho, responde a empresa. É a mesma pergunta que o cliente faz no questionário de segurança.

O salto de papel está no artigo 25.º. Quem põe a sua marca num sistema de risco elevado, o altera a fundo ou lhe dá uma finalidade do anexo III passa a responder como prestador. Este último, para mim, é o que mais apanha PME desprevenidas: um assistente genérico afinado para ordenar candidatos.

Calendário do AI Act depois do Digital Omnibus de julho de 2026

O Regulamento (UE) 2026/1744, de 8 de julho de 2026, saiu no Jornal Oficial a 24 de julho, alterou o artigo 113.º e entrou em vigor a 27 de julho. Adiou só o capítulo III, secções 1 a 3: os requisitos e as obrigações dos sistemas de risco elevado.

O resto não se moveu. Proibições e literacia contam desde fevereiro de 2025, a governação desde 2 de agosto de 2025 e a generalidade das regras, transparência incluída, desde 2 de agosto de 2026.

O omnibus juntou duas proibições novas e deu aos prestadores de IA generativa anterior a agosto de 2026, como o ChatGPT, até 2 de dezembro de 2026 para marcarem o que geram. Uma data de 2027 ou 2028 num plano interno só me serve com a fonte ao lado: este calendário já mudou uma vez.

Práticas proibidas do artigo 5.º: os módulos que uma PME não pode ligar

O artigo 5.º não regula, proíbe. Um sistema de risco elevado usa-se com documentação e supervisão; um sistema do artigo 5.º não se usa, ponto. Está em vigor há quase dois anos e tem o escalão mais alto de coimas.

Quase nada da lista cabe no dia a dia de um escritório, com uma exceção. A alínea f) proíbe inferir emoções de uma pessoa no local de trabalho e no ensino, salvo por razões médicas ou de segurança. Há plataformas de entrevista por vídeo e de formação que vendem precisamente isso.

Num relatório de entrevista, um «índice de entusiasmo» do candidato basta-me para acabar a conversa com o fornecedor: não há consentimento que o salve. A alínea g) toca nas categorias de dados sensíveis do RGPD, mas deduzidas do rosto ou da voz.

Literacia em IA no artigo 4.º: o que mudou em julho de 2026

A literacia é a obrigação mais citada e a mais mal contada. Aplica-se desde fevereiro de 2025, mas o omnibus trocou-lhe a fasquia: em vez de um nível suficiente, pede esforço para a promover, medido pela experiência de cada pessoa e pelo uso que dá à ferramenta.

Há outro pormenor que pesa numa PME. O artigo 4.º não aparece nas listas de coimas dos n.os 3 a 5 do artigo 99.º. Não fica opcional por isso; fica o castigo, se existir, entregue ao regime nacional que Portugal ainda não publicou.

A sessão que me interessa é a que fala da ferramenta que cada um tem no ecrã, e não uma aula genérica sobre IA: quem lê candidaturas precisa de outra conversa que não a de quem escreve propostas. O registo e as regras de uso cabem no modelo de política de IA.

Transparência do artigo 50.º: chatbots, deepfakes e textos com IA

Aplica-se desde 2 de agosto de 2026, sem adiamento. Reparte o trabalho: o prestador desenha o chatbot para que se perceba que é uma máquina e marca o que o sistema gera; quem implanta avisa nas falsificações profundas, no texto de interesse público e no reconhecimento de emoções.

O caso cinzento das PME é o assistente da página da empresa montado sobre a API de um modelo. Quem o pôs a funcionar com o nome da empresa fica mais perto de prestador do que imagina. Uma frase antes da primeira resposta resolve o n.º 1, e eu não a poupava.

Sistemas de alto risco do anexo III: recrutamento, trabalhadores e crédito

Alto risco (o texto oficial diz «risco elevado») é uma lista fechada. Numa empresa de serviços, os casos realistas estão no anexo III: ponto 4, recrutamento e gestão de trabalhadores, e ponto 5, alínea b), solvabilidade de particulares. Classifica a finalidade, não a sensibilidade do que se cola.

Para quem implanta, o artigo 26.º pede seguir as instruções do prestador, entregar a supervisão humana a quem tenha competência e autoridade, guardar os registos automáticos pelo menos seis meses e, sendo empregador, informar os representantes dos trabalhadores e os visados antes de ligar o sistema.

Há uma folga: um sistema já no mercado antes do arranque do anexo III só fica abrangido se mudar muito de conceção (artigo 111.º, n.º 2). Os feitos para autoridades públicas, como as autarquias, cumprem até 2 de agosto de 2030. A pergunta ao fornecedor de RH, essa, não a guardava para 2027.

Lei portuguesa da IA, ANACOM, CNPD e coimas do AI Act

A imprensa noticiou em setembro de 2025 a escolha da ANACOM pelo Governo. Na lista da Comissão, atualizada a 9 de novembro de 2026, ela é o ponto de contacto único de Portugal, com a designação ainda pendente de adoção final. A ANACOM já descreve em público o seu papel na supervisão.

Não encontrámos no Diário da República o diploma de execução. A Agenda Nacional de IA (Resolução do Conselho de Ministros n.º 2/2026) dava como início o primeiro semestre de 2026 para definir autoridades, coordenação e quadro sancionatório. A CNPD continua a ser a autoridade do RGPD.

Os tetos do artigo 99.º são europeus; o regime que os aplica cá ainda não existe. Quem lhe disser hoje quanto paga em Portugal por falhar o artigo 50.º está a adivinhar. Se o tema é o seguro, o que cobre uma apólice cibernética depende do condicionado.

RGPD e Regulamento da IA: o que o AI Act não vê no texto colado

O Regulamento da IA olha para o sistema. O que um colaborador cola lá dentro, um recibo ou uma lista de clientes, é assunto do RGPD e da lei que o executa cá, a 58/2019, e muitas vezes do sigilo. É também por aí que começa quase toda a fuga de dados com IA.

Dos 472 processos de violação de dados que a CNPD abriu em 2025, 357 vieram de entidades privadas. São notificações ao abrigo do RGPD: para haver uma, chega um documento que saiu de onde não devia. Do Word ao Excel, os guias sobre IA e dados mostram como o limpar antes.

Por isso a ordem certa, a meu ver, é RGPD primeiro e AI Act depois. Numa profissão com sigilo a fatura sobe, como mostra o caso dos contabilistas certificados, onde quem pune é o estatuto.

Inventário de IA na empresa e documentos tapados com o Nonimo

Se tivesse de escolher uma tarefa para esta semana, seria o inventário: que ferramentas de IA entram no trabalho, com que conta, para quê e com que papel. As contas contam, como se vê no guia do Copilot.

Nada disto trata do que se cola na caixa de texto. Aí entra o Nonimo: deixa no seu computador os nomes, os NIF e as moradas e manda ao assistente só etiquetas. Para aplicações da empresa sobre a API da OpenAI, a mesma troca faz-se no seu servidor com o Nonimo Gateway.

Para tapar documentos de clientes antes de os pôr num assistente, comece pela página do Nonimo. O inventário diz que ferramentas entram; o Nonimo decide o que elas nunca chegam a ver.

Isto é leitura do regulamento, não parecer sobre o seu caso: com um sistema de RH ou de crédito à porta, leve a pergunta a um advogado. E antes de assinar com o fornecedor desse módulo, compare-o com os critérios de uma IA conforme ao RGPD.

Fontes

• Regulamento (UE) 2024/1689, Regulamento da Inteligência Artificial. Definições (art. 3.º), proibições (art. 5.º), artigos 25.º a 27.º, transparência (art. 50.º), coimas (art. 99.º) e anexo III.
• Regulamento (UE) 2026/1744, Omnibus Digital em matéria de IA. Novo artigo 4.º e alterações aos artigos 5.º, 99.º (n.º 6-A), 111.º e 113.º; datas de 2 de dezembro de 2026, 2 de dezembro de 2027 e 2 de agosto de 2028.
• Comissão Europeia, autoridades de fiscalização do mercado ao abrigo do AI Act. ANACOM como ponto de contacto único de Portugal, com designação pendente de adoção final (atualização de 9 de novembro de 2026).
• ANACOM, nota de 6 de novembro de 2026 sobre a regulação da IA. Intervenção de 5 de novembro sobre o papel da ANACOM no modelo nacional de supervisão.
• Resolução do Conselho de Ministros n.º 2/2026, Agenda Nacional de IA. Iniciativa IV.4: autoridades competentes, coordenação e quadro sancionatório, com início no 1.º semestre de 2026.
• CNPD, Relatório de Atividades 2025. 472 processos de violação de dados pessoais em 2025, 357 de entidades privadas.

Consultadas em 10/11/2026.