EU AI Act 2026: O Que a Tua Empresa Precisa de Saber para Cumprir a Regulamentação

O Regulamento Europeu de Inteligência Artificial já está em vigor. Desde fevereiro de 2025, as primeiras obrigações são exigíveis, e em agosto de 2026 entrará em aplicação plena para os sistemas de alto risco. Se a tua empresa desenvolve, implementa ou utiliza sistemas de IA, este artigo é o teu roteiro imprescindível para evitar sanções de até 35 milhões de euros ou 7% da tua faturação global.

Não estamos a falar de regulamentação futura: o EU AI Act é lei vigente. As empresas que não agirem agora enfrentam multas exemplares e, o que é pior, a proibição de operar os seus sistemas de IA no mercado europeu.

Neste guia exaustivo, detalhamos tudo o que precisas de saber: desde as datas críticas até às obrigações específicas conforme o teu papel e setor, passando por um checklist prático de compliance que podes implementar desde hoje.

O que é o EU AI Act e por que te deve importar em 2026?

O Regulamento (UE) 2024/1689, conhecido como EU AI Act ou Lei de Inteligência Artificial, é o primeiro quadro regulatório integral do mundo para a inteligência artificial. Aprovado a 13 de junho de 2024 e publicado no Jornal Oficial da UE a 12 de julho de 2024, entrou em vigor a 1 de agosto de 2024.

Mas aqui está o crucial: a sua aplicação é escalonada, e os prazos mais importantes estão a ocorrer agora mesmo ou chegarão nos próximos meses.

Por que 2026 é o ano decisivo

O EU AI Act não é como o RGPD, que concedeu um período de graça amplo. A implementação por fases significa que:

• Fevereiro 2025: Já estão proibidos certos sistemas de IA considerados de "risco inaceitável"
• Agosto 2025: As obrigações para modelos de IA de propósito geral (GPAI) são exigíveis
• Agosto 2026: Entra em vigor a regulamentação completa para sistemas de alto risco
• Agosto 2027: Aplicação total, incluindo sistemas integrados em produtos regulados

Se a tua empresa utiliza ChatGPT, ferramentas de análise preditiva, sistemas de reconhecimento facial, chatbots de atendimento ao cliente, ou qualquer outra tecnologia baseada em IA, estás dentro do âmbito de aplicação.

Âmbito territorial: A quem afeta?

O EU AI Act tem aplicação extraterritorial, semelhante ao RGPD:

• Fornecedores de sistemas de IA que comercializem ou coloquem em serviço sistemas na UE, independentemente de onde estejam estabelecidos
• Implementadores (utilizadores empresariais) de sistemas de IA localizados na UE
• Fornecedores e implementadores fora da UE cujo output de IA seja utilizado dentro do território europeu
• Importadores e distribuidores de sistemas de IA no mercado europeu
• Representantes autorizados de fornecedores não estabelecidos na UE

Em resumo: se a tua IA toca a Europa de qualquer forma, precisas de cumprir.

Quais são as datas-chave do EU AI Act que não podes ignorar?

O calendário de implementação do EU AI Act é complexo mas crítico. Aqui tens o timeline completo com o que cada data implica para o teu negócio:

Datas já vencidas (cumprimento obrigatório)

1 de agosto de 2024 – Entrada em vigor O regulamento converteu-se em lei. Começa o período de transição.

2 de fevereiro de 2025 – Primeira vaga de obrigações

• ✅ Proibição de sistemas de IA de risco inaceitável (scoring social, manipulação subliminar, exploração de vulneráveis, vigilância biométrica massiva em espaços públicos)
• ✅ Obrigação de literacia em IA (Art. 4): As empresas devem garantir que o seu pessoal tem competências suficientes para operar e supervisionar sistemas de IA
• ✅ Notificação a autoridades de sistemas de IA proibidos que estivessem em utilização

2 de agosto de 2025 – Modelos de propósito geral (GPAI)

• Obrigações de transparência para fornecedores de modelos fundacionais
• Documentação técnica obrigatória
• Cumprimento de normas de direitos de autor
• Requisitos adicionais para modelos com "risco sistémico" (aqueles treinados com mais de 10²⁵ FLOPs)

Datas iminentes (preparação urgente)

2 de agosto de 2026 – Aplicação geral Esta é a data mais importante para a maioria das empresas:

• 🔴 Sistemas de IA de alto risco: Obrigações completas de conformidade
• 🔴 Obrigações de transparência do Artigo 50: divulgação de interações com IA, rotulagem de conteúdo sintético, identificação de deepfakes
• 🔴 Registo obrigatório na base de dados da UE para sistemas de alto risco
• 🔴 Ativação plena do regime sancionatório

Data final

2 de agosto de 2027 – Aplicação total

• Sistemas de IA de alto risco integrados em produtos já regulados por legislação setorial (dispositivos médicos, maquinaria, brinquedos, etc.)
• Encerramento de todos os períodos transitórios

Como classifica o EU AI Act os sistemas de IA conforme o seu risco?

A abordagem do EU AI Act baseia-se numa pirâmide de risco com quatro níveis. Cada nível acarreta obrigações diferentes, desde a proibição total até à ausência de requisitos específicos.

Nível 1: Risco Inaceitável (PROIBIDO)

Estes sistemas estão completamente proibidos desde fevereiro de 2025:

Manipulação cognitiva

• Sistemas que utilizam técnicas subliminares ou manipuladoras para distorcer o comportamento das pessoas
• IA que explora vulnerabilidades de grupos específicos (idade, deficiência, situação económica)

Scoring social

• Sistemas de pontuação social por parte de autoridades públicas
• Classificação de cidadãos baseada em comportamento social ou características pessoais com consequências prejudiciais

Vigilância biométrica massiva

• Identificação biométrica remota em tempo real em espaços públicos (com exceções muito limitadas para segurança)
• Sistemas de categorização biométrica que infiram dados sensíveis (raça, orientação sexual, filiação política, crenças religiosas)

Outras proibições

• Scraping não seletivo de imagens faciais da internet ou CCTV para bases de dados de reconhecimento facial
• Reconhecimento de emoções em locais de trabalho ou instituições educativas (exceto razões médicas ou de segurança)
• IA preditiva de comportamento criminal baseada unicamente em perfis ou traços de personalidade

Nível 2: Alto Risco (REGULAMENTAÇÃO ESTRITA)

Os sistemas de alto risco estão sujeitos a obrigações exaustivas. Dividem-se em duas categorias:

Sistemas de IA como componentes de segurança em produtos regulados:

• Dispositivos médicos
• Veículos e maquinaria
• Brinquedos
• Equipamentos de proteção individual
• Elevadores e equipamentos de pressão
• Aviação e ferrovia

Sistemas de IA independentes em setores críticos (Anexo III):

Nível 3: Risco Limitado (TRANSPARÊNCIA)

Sistemas com obrigações específicas de transparência:

• Chatbots e assistentes virtuais: Devem informar claramente que o utilizador está a interagir com uma IA
• Geração de conteúdo sintético: Textos, imagens, áudio e vídeo gerados por IA devem ser rotulados como tal
• Deepfakes: Obrigação de revelar que o conteúdo foi gerado ou manipulado artificialmente
• Sistemas de reconhecimento de emoções: Informar as pessoas quando estão a ser analisadas

Nível 4: Risco Mínimo ou Nulo

A maioria dos sistemas de IA enquadra-se nesta categoria e não tem obrigações específicas ao abrigo do EU AI Act:

• Filtros de spam
• Videojogos com IA
• Sistemas de recomendação de conteúdos
• Ferramentas de produtividade pessoal

No entanto, encoraja-se os programadores a adotar códigos de conduta voluntários e princípios de IA responsável.

Que obrigações tem a tua empresa conforme o seu papel na cadeia de valor?

O EU AI Act define diferentes atores com responsabilidades específicas. Identifica o teu papel para conhecer as tuas obrigações exatas.

Se és FORNECEDOR de sistemas de IA de alto risco

Os fornecedores são quem desenvolve ou manda desenvolver sistemas de IA e os comercializa sob o seu nome ou marca. As tuas obrigações incluem:

Antes da comercialização:

1. Sistema de gestão de riscos (Art. 9): Processo iterativo durante todo o ciclo de vida para identificar, analisar, avaliar e mitigar riscos
2. Governação de dados (Art. 10): Garantir qualidade, representatividade e ausência de enviesamentos nos conjuntos de dados de treino
3. Documentação técnica (Art. 11): Descrição completa do sistema, sua finalidade, funcionamento, capacidades e limitações
4. Registo de eventos (Art. 12): Capacidade de rastreabilidade automática durante o funcionamento
5. Transparência (Art. 13): Instruções de utilização claras para implementadores
6. Supervisão humana (Art. 14): Desenho que permita supervisão efetiva por pessoas
7. Exatidão, robustez e cibersegurança (Art. 15): Níveis apropriados durante todo o ciclo de vida

Procedimentos de conformidade:

• Avaliação de conformidade (interna ou por terceiros conforme o tipo de sistema)
• Marcação CE antes da comercialização
• Declaração UE de conformidade
• Registo na base de dados da UE

Obrigações pós-comercialização:

• Vigilância contínua do mercado
• Notificação de incidentes graves em 15 dias
• Retirada ou recuperação se forem detetadas não conformidades
• Cooperação com autoridades de vigilância

Se és IMPLEMENTADOR (utilizador empresarial) de sistemas de IA de alto risco

Os implementadores são empresas que utilizam sistemas de IA de alto risco sob a sua autoridade. Embora o fornecedor cumpra, tu também tens obrigações:

Obrigações principais:

1. Utilização conforme as instruções: Utilizar o sistema segundo as instruções do fornecedor
2. Supervisão humana: Designar pessoas físicas competentes para supervisionar o sistema
3. Dados de entrada: Garantir que os dados introduzidos são pertinentes e suficientemente representativos
4. Monitorização: Vigiar o funcionamento e notificar o fornecedor de qualquer risco ou incidente
5. Conservação de registos: Manter os logs gerados durante pelo menos 6 meses
6. Informação aos trabalhadores: Informar os funcionários e os seus representantes antes de utilizar sistemas que os afetem
7. Avaliação de impacto: Para organismos públicos e entidades privadas em serviços públicos essenciais

Obrigações específicas de transparência:

• Informar pessoas singulares que estão a ser submetidas a sistemas de reconhecimento de emoções ou categorização biométrica
• Em decisões que afetem direitos (crédito, seguros, emprego): informar da utilização de IA e dar explicações significativas

Se és IMPORTADOR ou DISTRIBUIDOR

Importadores (introduzem no mercado da UE produtos de países terceiros):

• Verificar que o fornecedor realizou a avaliação de conformidade
• Assegurar marcação CE e documentação
• Não introduzir produtos que não cumpram

Distribuidores (disponibilizam sistemas de IA já no mercado):

• Verificar marcação CE e documentação de acompanhamento
• Não disponibilizar produtos não conformes
• Armazenamento e transporte adequados

Obrigações transversais: Literacia em IA

Todas as empresas, independentemente do seu papel, devem cumprir o Artigo 4 de literacia em IA desde fevereiro de 2025:

"Os fornecedores e implementadores de sistemas de IA adotarão medidas para garantir que o seu pessoal e outras pessoas que se ocupem do funcionamento e utilização de sistemas de IA em seu nome tenham um nível suficiente de literacia em matéria de IA."

Isto implica:

• Formação adaptada a conhecimentos técnicos, experiência e contexto de utilização
• Atualização contínua conforme a tecnologia evolui
• Documentação das ações formativas realizadas

Qual é o regime sancionatório e as multas do EU AI Act?

O EU AI Act estabelece um regime sancionatório severo e dissuasor, com multas que superam inclusive as do RGPD em termos proporcionais.

Estrutura de sanções por tipo de infração

Infrações muito graves (sistemas proibidos):

• Até 35 milhões de euros
• Ou até 7% da faturação anual mundial do exercício anterior
• Aplica-se o montante maior

Infrações graves (incumprimento de obrigações de alto risco):

• Até 15 milhões de euros
• Ou até 3% da faturação anual mundial
• Aplica-se o montante maior

Infrações leves (informação incorreta a autoridades):

• Até 7,5 milhões de euros
• Ou até 1,5% da faturação anual mundial
• Aplica-se o montante maior

Sanções reduzidas para PME e startups

O EU AI Act reconhece a necessidade de proteger a inovação e estabelece limites proporcionais para pequenas empresas:

• As multas são calculadas aplicando percentagens mais baixas ou montantes fixos menores
• São tidos em conta os recursos e viabilidade económica
• Existe uma abordagem mais orientada à correção do que à sanção para primeiras infrações menores

Calendário de aplicação do regime sancionatório

Fatores agravantes e atenuantes

As autoridades considerarão:

Agravantes:

• Reincidência
• Incumprimento intencional
• Falta de cooperação com autoridades
• Duração da infração
• Danos causados a pessoas afetadas

Atenuantes:

• Primeiras infrações
• Adoção imediata de medidas corretivas
• Cooperação ativa com autoridades
• Implementação de códigos de conduta
• Pequena dimensão da empresa

Como preparar a tua empresa para cumprir o EU AI Act? Checklist completo

Este checklist guiar-te-á passo a passo rumo ao compliance. Prioriza conforme os teus prazos mais imediatos.

Fase 1: Diagnóstico (Completar urgentemente)

• [ ] Inventário de sistemas de IA: Documenta TODOS os sistemas de IA que utilizas, desenvolves ou comercializas
• [ ] Classificação por risco: Atribui cada sistema a uma categoria (proibido, alto, limitado, mínimo)
• [ ] Mapeamento de papéis: Identifica se atuas como fornecedor, implementador, importador ou distribuidor para cada sistema
• [ ] Análise de lacunas: Compara a tua situação atual com as obrigações aplicáveis
• [ ] Identificação de sistemas proibidos: Verifica que não utilizas IA de risco inaceitável

Fase 2: Governação (T1 2026)

• [ ] Designar responsável de IA: Nomeia um AI Officer ou atribui responsabilidades claras
• [ ] Estabelecer comité de IA: Grupo multidisciplinar (jurídico, técnico, negócio, RH)
• [ ] Definir política de IA: Princípios, procedimentos e controlos internos
• [ ] Integrar com compliance existente: Coordenação com DPO, compliance officer, segurança
• [ ] Orçamento de cumprimento: Atribui recursos para implementação

Fase 3: Literacia (Já obrigatório)

• [ ] Avaliar competências atuais: Nível de conhecimento de IA do pessoal
• [ ] Plano de formação: Programas adaptados por função e nível de interação com IA
• [ ] Formação de dirigentes: Sensibilização específica para tomada de decisões
• [ ] Formação técnica: Para programadores e integradores
• [ ] Documentar formações: Registos de assistência e conteúdos ministrados

Fase 4: Sistemas de alto risco (Antes de agosto 2026)

Para fornecedores:

• [ ] Sistema de gestão de riscos: Implementar processo documentado
• [ ] Auditoria de dados de treino: Verificar qualidade, representatividade, ausência de enviesamentos
• [ ] Documentação técnica completa: Segundo requisitos do Anexo IV
• [ ] Implementar logging: Capacidade de registo automático de eventos
• [ ] Desenhar supervisão humana: Mecanismos de intervenção e override
• [ ] Testes de robustez: Verificar exatidão e resistência a ataques
• [ ] Avaliação de conformidade: Preparar para certificação
• [ ] Registo na base de dados da UE: Completar antes da comercialização

Para implementadores:

• [ ] Rever instruções de fornecedores: Assegurar utilização conforme
• [ ] Designar supervisores humanos: Pessoal competente com autoridade real
• [ ] Processo de monitorização: Sistema para detetar anomalias
• [ ] Protocolo de notificação: Procedimento para reportar incidentes
• [ ] Avaliação de impacto nos direitos fundamentais: Se aplicável
• [ ] Comunicação aos funcionários: Informação prévia sobre utilização de IA em RH

Fase 5: Transparência (Antes de agosto 2026)

• [ ] Avisos de interação com IA: Implementar em chatbots e assistentes
• [ ] Rotulagem de conteúdo sintético: Marcas visíveis em conteúdo gerado por IA
• [ ] Política de deepfakes: Procedimento para conteúdo audiovisual sintético
• [ ] Informação a afetados: Comunicações quando a IA afete decisões sobre pessoas

Fase 6: Documentação e registos

• [ ] Políticas documentadas: Todas as políticas de IA por escrito
• [ ] Registos de avaliações de risco: Conservar conforme prazos legais
• [ ] Logs de sistemas de alto risco: Mínimo 6 meses, recomendável mais
• [ ] Evidências de conformidade: Declarações, certificados, auditorias
• [ ] Registos de incidentes: Sistema de gestão de incidentes de IA

Fase 7: Preparação para auditorias

• [ ] Simular inspeção: Exercício interno de preparação
• [ ] Designar interlocutor: Pessoa de contacto para autoridades
• [ ] Acesso a documentação: Sistema organizado e acessível
• [ ] Plano de resposta: Procedimento perante requerimentos de autoridade

Que setores serão mais afetados pelo EU AI Act?

Embora o EU AI Act afete todas as empresas que usam IA, alguns setores enfrentam obrigações especialmente exigentes:

Setor financeiro e seguros

• Scoring creditício classificado como alto risco
• Avaliação de solvabilidade para empréstimos
• Pricing de seguros de vida e saúde baseado em IA
• Deteção de fraude com implicações para clientes

Ação recomendada: Auditar todos os modelos de decisão automatizada, documentar critérios de scoring, implementar explicabilidade.

Recursos humanos e seleção de pessoal

• Filtragem automática de CVs = alto risco
• Sistemas de avaliação de candidatos
• Monitorização do desempenho de funcionários
• Ferramentas de gestão de talento com IA

Ação recomendada: Rever todos os software de RH com componentes de IA, informar candidatos e funcionários, garantir supervisão humana em decisões de contratação.

Setor saúde

• Dispositivos médicos com IA (regulamentação dual)
• Sistemas de diagnóstico assistido
• Triagem automatizada
• Análise de imagens médicas

Ação recomendada: Verificar conformidade com regulamentação de produtos sanitários e EU AI Act simultaneamente.

Educação

• Sistemas de admissão automatizados
• Avaliação automática de estudantes
• Deteção de plágio com IA
• Proctoring em exames online

Ação recomendada: Rever software educativo, informar estudantes e famílias, manter supervisão docente.

Administração pública

• Avaliação de pedidos de prestações
• Sistemas de priorização de serviços
• IA em forças de segurança
• Gestão de fronteiras e asilo

Ação recomendada: Avaliações de impacto nos direitos fundamentais obrigatórias, máxima transparência para com os cidadãos.

A tua empresa precisa de assessoria especializada no EU AI Act?

A complexidade do EU AI Act, com os seus múltiplos prazos, categorias de risco e obrigações diferenciadas, faz com que a assessoria especializada não seja um luxo mas sim uma necessidade para a maioria das empresas.

Sinais de que precisas de ajuda profissional

• ✅ Utilizas IA em processos que afetam pessoas (RH, crédito, serviços)
• ✅ Desenvolves ou comercializas produtos com componentes de IA
• ✅ Não tens claro em que categoria de risco estão os teus sistemas
• ✅ Operas em setores especialmente regulados
• ✅ Não tens experiência prévia em compliance regulatório tecnológico

Como pode a Kiwop ajudar-te

Na Kiwop acompanhamos há anos empresas na sua transformação digital e adoção responsável da inteligência artificial. Os nossos serviços de consultoria em IA incluem:

• Diagnóstico de cumprimento EU AI Act: Auditoria completa dos teus sistemas de IA
• Classificação de risco: Análise especializada para determinar as tuas obrigações exatas
• Roadmap de implementação: Plano personalizado com marcos e recursos
• Documentação técnica: Preparação de documentação exigida pela regulamentação
• Formação em literacia de IA: Programas adaptados para cumprir o Art. 4
• Acompanhamento contínuo: Suporte durante todo o processo de adaptação

O momento de agir é agora. Com agosto de 2026 ao virar da esquina, as empresas que iniciarem a sua adaptação hoje terão vantagem competitiva face a quem espere até ao último momento.

Contacta a nossa equipa para uma avaliação inicial sem compromisso da tua situação face ao EU AI Act.

Conclusão: O EU AI Act como oportunidade, não apenas como obrigação

O EU AI Act representa o quadro regulatório mais ambicioso do mundo para a inteligência artificial. Embora implique obrigações significativas, também oferece oportunidades:

• Diferenciação competitiva: As empresas que certifiquem o seu cumprimento gerarão confiança adicional
• Acesso ao mercado europeu: Cumprir permite operar sem restrições junto de 450 milhões de consumidores
• Melhoria de processos: As obrigações de documentação e gestão de riscos melhoram a qualidade dos sistemas
• Antecipação à regulamentação global: Outros mercados seguirão o modelo europeu

As datas-chave são inamovíveis: fevereiro de 2025 já passou, agosto de 2025 é iminente, e agosto de 2026 chegará antes do que parece. A preparação começa hoje.

Perguntas frequentes sobre o EU AI Act

O EU AI Act afeta empresas fora da UE?

Sim, o EU AI Act tem aplicação extraterritorial. Afeta qualquer empresa que comercialize sistemas de IA na UE ou cujos outputs de IA sejam utilizados dentro do território europeu, independentemente de onde esteja estabelecida a empresa.

Quando entra em vigor completamente o EU AI Act?

O EU AI Act entrou em vigor a 1 de agosto de 2024, mas a sua aplicação é escalonada. As proibições aplicam-se desde fevereiro de 2025, as obrigações de GPAI desde agosto de 2025, e a regulamentação completa para sistemas de alto risco desde agosto de 2026. A aplicação total, incluindo produtos regulados, será em agosto de 2027.

O que acontece se a minha empresa usa ChatGPT ou outros modelos de IA generativa?

Se utilizas modelos de propósito geral (GPAI) como ChatGPT, as obrigações principais recaem sobre o fornecedor do modelo (OpenAI). No entanto, como implementador tens obrigações de transparência (informar que os utilizadores interagem com IA) e de utilização responsável. Se utilizas estes modelos para decisões de alto risco (RH, crédito), entras na categoria de alto risco.

Quanto custam as multas por incumprimento do EU AI Act?

As multas podem alcançar 35 milhões de euros ou 7% da faturação global para infrações muito graves (utilização de sistemas proibidos). Para incumprimentos de obrigações de alto risco, até 15 milhões ou 3%. Para as PME e startups, aplicam-se limites proporcionais reduzidos.

O que é a "literacia em IA" e por que é obrigatória?

O Artigo 4 do EU AI Act obriga todas as empresas que utilizam IA a garantir que o seu pessoal tem competências suficientes para operar e supervisionar estes sistemas. Isto implica formação adaptada, atualização contínua e documentação das ações formativas. Esta obrigação está vigente desde fevereiro de 2025.

Como sei se os meus sistemas de IA são de "alto risco"?

Um sistema é de alto risco se: (1) é um componente de segurança em produtos já regulados (dispositivos médicos, maquinaria, etc.), ou (2) está incluído no Anexo III do Regulamento, que lista setores como biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração e justiça.

Posso continuar a usar IA para filtrar CVs em processos de seleção?

Sim, mas com obrigações rigorosas. Os sistemas de IA para seleção de pessoal estão classificados como alto risco. Deves usar sistemas conformes com o EU AI Act, garantir supervisão humana efetiva, informar candidatos da utilização de IA, e manter capacidade de explicar as decisões tomadas.

Qual é a diferença entre "fornecedor" e "implementador" no EU AI Act?

O fornecedor é quem desenvolve ou manda desenvolver o sistema de IA e o comercializa sob o seu nome. O implementador é quem utiliza um sistema de IA sob a sua autoridade profissional (utilizador empresarial). Ambos têm obrigações, mas as do fornecedor são mais extensas (conceção, documentação, conformidade). O implementador deve usar o sistema corretamente, supervisioná-lo e notificar problemas.

Artigo atualizado a janeiro de 2026. A regulamentação de IA está em constante evolução. Consulta sempre fontes oficiais e assessoria profissional para decisões específicas da tua empresa.