Se andaste a ouvir que "em agosto de 2026 entra em vigor o AI Act e a tua empresa tem de estar em conformidade", tenho duas notícias para ti. A primeira é que esse prazo, na prática, mexeu. A segunda, mais importante, é que há obrigações do AI Act que já se aplicam à tua empresa desde 2025, e quase ninguém em Portugal as conhece.
Vamos pôr ordem nisto. Sem juridiquês, sem alarmismo, mas com os factos certos, porque nesta matéria a desinformação é tanta como o hype da própria IA.
O que é o AI Act, em duas linhas
O AI Act é o regulamento europeu que estabelece regras para o uso de inteligência artificial na União Europeia. Entrou em vigor em agosto de 2024, mas as obrigações não chegaram todas de uma vez, foram, e continuam a ser, faseadas ao longo de vários anos.
A lógica central é simples: nem toda a IA é igual, por isso nem toda é regulada da mesma forma. O AI Act classifica os sistemas por nível de risco e exige mais a quem usa IA mais perigosa.
A pirâmide de risco (e onde a tua empresa provavelmente está)
São quatro patamares:
Risco inaceitável, proibido. Sistemas considerados uma ameaça clara a direitos fundamentais. Por exemplo, sistemas de "social scoring" ao estilo de classificação de cidadãos, manipulação comportamental que explora vulnerabilidades de pessoas, ou certos usos de identificação biométrica. Estão pura e simplesmente banidos.
Alto risco. IA usada em áreas sensíveis: recrutamento e seleção de pessoas, avaliação de crédito, biometria, educação, infraestruturas críticas. Não está proibida, mas tem as obrigações mais pesadas, documentação técnica, supervisão humana, gestão de risco, registos.
Risco limitado, obrigações de transparência. Aqui entram coisas como chatbots e conteúdos gerados por IA. A regra essencial: as pessoas têm de saber que estão a interagir com uma IA, ou que um conteúdo foi gerado por IA.
Risco mínimo. A esmagadora maioria dos usos do dia a dia, filtros de spam, sugestões, automações internas simples. Sem obrigações específicas.
A boa notícia para a maioria das PMEs
Se usas IA para tarefas internas, escrever textos, analisar folhas de cálculo, automatizar processos, atender clientes com um chatbot identificado como tal, estás quase de certeza nos patamares de risco mínimo ou limitado. As obrigações pesadas de "alto risco" são para casos específicos, como usar IA para decidir quem contratas ou a quem dás crédito.
O que já se aplica à tua empresa HOJE (e tu não sabias)
Esta é a parte que toda a gente ignora porque andou fixada no prazo de 2026. Há duas obrigações em vigor desde 2 de fevereiro de 2025:
1. As práticas proibidas. Os sistemas de risco inaceitável já não podem ser usados. Para a maioria das empresas isto não é problema, porque não andam a fazer "social scoring". Mas convém saber que a linha existe.
2. A obrigação de literacia em IA (Artigo 4). Esta é a verdadeiramente surpreendente. O AI Act obriga qualquer organização que use IA, independentemente do nível de risco, a garantir que as pessoas que a utilizam têm um nível suficiente de literacia em IA. Por outras palavras: se a tua equipa usa ChatGPT, Copilot ou qualquer ferramenta de IA no trabalho, tens a obrigação legal de garantir que essas pessoas sabem o que estão a fazer, os limites e os riscos da ferramenta.
Não é preciso um curso universitário. "Literacia suficiente" é proporcional ao uso e ao contexto. Mas é uma obrigação real, já em vigor, e que se aplica a praticamente todas as empresas em Portugal que tocaram em IA.
O passo mais barato e mais ignorado
A obrigação de literacia em IA não exige tecnologia nem investimento. Exige formação. Uma sessão interna onde se explica à equipa o que as ferramentas de IA fazem, o que não devem lá meter (dados de clientes, informação sensível) e como rever o que a IA produz já é um grande passo, e deixa registo de que cumpriste o Artigo 4.
O prazo de agosto de 2026 que afinal mudou
Aqui está a parte que exige rigor, porque está a mudar enquanto escrevo.
O prazo mais badalado era 2 de agosto de 2026, a data em que as obrigações pesadas dos sistemas de alto risco (Anexo III, como IA no recrutamento ou no crédito) iam passar a aplicar-se. Foi à volta desta data que se construiu grande parte do alarmismo.
Só que, através de um pacote conhecido como Digital Omnibus, a União Europeia decidiu adiar este prazo. O acordo provisório foi alcançado a 7 de maio de 2026 e o Parlamento Europeu endossou-o formalmente a 16 de junho de 2026. O resultado: as obrigações dos sistemas de alto risco do Anexo III passam de agosto de 2026 para 2 de dezembro de 2027, cerca de 16 meses depois.
Atenção ao estado deste adiamento
À data deste artigo (junho de 2026), este adiamento ainda aguarda a adoção formal pelo Conselho da UE e a publicação no Jornal Oficial, esperadas para julho de 2026. Enquanto isso não for oficial e definitivo, o prazo original de 2 de agosto de 2026 continua tecnicamente em cima da mesa. Se a tua empresa opera sistemas de alto risco, confirma o estado atual antes de tomar decisões, não tomes este adiamento como garantido só porque o leste num blog.
O que isto significa na prática: a maioria das empresas ganhou tempo. Mas ganhar tempo não é o mesmo que não ter de fazer nada. É o intervalo para fazer as coisas bem, em vez de à pressa.
E se a minha empresa só usa ferramentas de IA de terceiros?
Boa pergunta, e é a situação da maioria. Se usas ChatGPT, Gemini, Copilot ou outra ferramenta, és tipicamente um "deployer" (utilizador profissional), não o "provider" (quem cria o modelo). Grande parte das obrigações mais técnicas recai sobre quem desenvolve os modelos, não sobre quem os usa.
As regras dos modelos de uso geral (os GPAI, como os que estão por trás do ChatGPT) já se aplicam aos seus fornecedores desde 2 de agosto de 2025. Isso é problema deles. A tua responsabilidade enquanto utilizador é mais leve, mas não é nula: literacia da equipa, transparência quando expões IA a clientes, e não usar a ferramenta para fins proibidos ou de alto risco sem cumprir o que toca.
As coimas são para levar a sério
O AI Act não brinca em serviço nas penalizações. Há três escalões:
- Práticas proibidas: até 35 milhões de euros ou 7% do volume de negócios mundial anual, o que for mais alto.
- Outras obrigações (alto risco e transparência): até 15 milhões de euros ou 3%.
- Informação enganosa às autoridades: até 7,5 milhões de euros ou 1%.
Antes de entrares em pânico: para PMEs e startups, o regulamento prevê proporcionalidade, a coima aplicada é o valor mais baixo entre a percentagem e o montante fixo, não o mais alto. Mesmo assim, são valores que justificam tratar o tema a sério, não ignorá-lo.
O que fazer agora, sem pânico e sem consultores caríssimos
O adiamento deu-te margem. Usa-a com cabeça. Eis um plano realista:
1. Faz o inventário da IA que usas. Lista as ferramentas de IA que a tua empresa usa e para quê. Não podes cumprir regras sobre algo que nem sabes que existe. Metade das empresas descobre, nesta fase, ferramentas a serem usadas por colaboradores sem ninguém saber.
2. Trata da literacia, já. É a obrigação em vigor, é barata e é a que dá resultado imediato. Forma a equipa no básico: o que a IA faz, os limites, o que nunca lá meter.
3. Verifica se tens algum uso de "alto risco". Usas IA para filtrar candidatos a emprego? Para decidir crédito ou seguros? Para biometria? Se sim, é aqui que estão as obrigações pesadas, e é aqui que precisas de planear a sério até dezembro de 2027.
4. Garante a transparência. Se tens um chatbot ou geras conteúdo com IA virado para clientes, assegura-te de que é claro que estão a falar com (ou a ver) algo gerado por IA.
5. Cruza com o que já fazes no RGPD. Boa parte da disciplina que o AI Act exige, saber que dados tocas, documentar, ter supervisão, já devias ter por causa do RGPD. Quem tem a casa arrumada na proteção de dados tem meio caminho andado.
Onde isto deixa de ser leitura e passa a precisar de mãos
Para a maioria das PMEs, a conformidade com o AI Act é mais uma questão de organização e formação do que de tecnologia. Mas há situações em que precisas de ajuda a sério: quando operas, ou queres construir, um sistema de alto risco; quando integras IA nos teus produtos e tens de garantir transparência e registos; quando a IA processa dados pessoais e o AI Act se cruza com o RGPD e, dependendo do setor, com a NIS2.
É aqui que um parceiro como a Sparksoft faz a diferença. Não te vendemos medo nem um "pacote de conformidade" genérico. Olhamos para o que a tua empresa faz com IA, vemos onde estás exposto de verdade e onde não estás, e ajudamos a pôr as peças no sítio, do inventário à implementação técnica, com a conformidade desenhada desde o início e não remendada no fim.
A regra de ouro: informação certa, não pânico
O AI Act gerou uma onda de medo, muito dele alimentado por quem vende soluções de conformidade. A realidade é mais calma: para a esmagadora maioria das empresas portuguesas, cumprir o AI Act é viável, faseado e, em boa parte, sobreposto com práticas que já deviam ter.
O perigo real não é o regulamento. É agir com base em informação errada, seja entrar em pânico por um prazo que afinal foi adiado, seja ignorar obrigações que já estão em vigor desde 2025. O caminho certo está no meio: saber exatamente o que se aplica a ti, e tratar disso com calma.
Considera este artigo o teu ponto de partida com os factos certos.
Não sabes onde a tua empresa está em relação ao AI Act?
Ajudamos empresas a perceber, sem alarmismo, que obrigações do AI Act se aplicam de verdade ao seu caso, a tratar da literacia e da transparência, e a implementar IA em conformidade com o RGPD e a NIS2. Uma conversa chega para saber por onde começar.
Falar com a Sparksoft
