Como adaptar a sua empresa à lei europeia de IA (AI Act)

Se está a pesquisar "como adaptar a minha empresa à lei da inteligência artificial" provavelmente já sabe que o AI Act existe, mas não por onde começar. É uma pergunta razoável: o Regulamento (UE) 2024/1689 não é uma lei que se cumpre assinando um documento uma vez — é um processo de classificação e documentação que depende de quais sistemas de IA a sua empresa usa de facto, e isso só você sabe.

Este guia não depende propositadamente de nenhuma data concreta. As datas exatas de cada obrigação — o que entra em vigor quando — mudam com a atualidade regulatória (a UE já adiou uma vez o grosso do calendário, com o "Digital Omnibus" de julho de 2026), e cobrimo-las, atualizadas, noutros dois artigos: AI Act: o que muda a 2 de agosto e o que foi adiado e AI Act: o que devem fazer as empresas portuguesas. Aqui ficamo-nos pelo que não muda: a ordem dos passos que qualquer empresa tem de dar, independentemente de quando os leia.

Passo 1: perceber o que o AI Act regula (e o que não regula)

O AI Act não regula "a IA" como tecnologia. Regula usos concretos, classificados pelo risco que representam para as pessoas. Quanto maior o risco de um uso, mais obrigações implica — desde práticas diretamente proibidas até sistemas de "alto risco" com exigências fortes de documentação, passando por deveres de transparência para o resto. A maioria das PME não vai ter nenhum sistema proibido nem de alto risco. Mas isso não se sabe sem passar pelo passo 2.

Passo 2: fazer o inventário da IA que a sua empresa usa de facto

Este é o passo que mais empresas saltam, e é o único que não se pode delegar a um consultor sem a sua ajuda: ninguém fora da empresa sabe que ferramentas de IA cada departamento usa. Antes de classificar seja o que for, é preciso responder:

• Que ferramentas de IA usa cada departamento — não só as que a empresa comprou, mas também as que cada pessoa instala por conta própria (a chamada "Shadow AI")?
• Alguma decide ou pontua automaticamente sobre pessoas: candidatos a um cargo, colaboradores, clientes, candidatos a crédito ou a seguro?
• Alguma processa dados biométricos, de menores, ou decisões judiciais ou administrativas?
• Quem é responsável por manter este inventário atualizado quando se adicionar uma ferramenta nova?

Passo 3: classificar cada sistema por nível de risco

Com o inventário feito, cada sistema encaixa numa destas categorias:

• Proibido (Art. 5.º): manipulação subliminar, exploração de vulnerabilidades, scoring social em massa. Muito pouco frequente numa PME.
• Alto risco (Anexo III): principalmente sistemas que decidem ou pontuam sobre emprego e RH (filtragem automática de candidaturas, avaliação de desempenho) ou sobre crédito e seguros (scoring de solvência, preço de apólices de vida e saúde). Também biometria, educação, infraestrutura crítica e administração da justiça — categorias menos comuns fora dos seus setores.
• Modelo de propósito geral (GPAI): não é o seu sistema, é o modelo por trás da ferramenta que usa — GPT, Claude, Gemini. As obrigações são do fornecedor do modelo, não suas, salvo se construir um produto próprio sobre ele.
• Risco limitado ou mínimo: a maioria dos usos habituais numa PME — assistentes de escrita, chatbots de apoio ao cliente, ferramentas de produtividade. Têm deveres de transparência (que fique claro que se está a interagir com IA), não as obrigações fortes do alto risco.

Um nuance que convém ter claro desde já: em 2026 a Comissão Europeia esclareceu que os agentes de IA não são uma categoria legal à parte. Se um agente executa uma função que cai no Anexo III — por exemplo, filtra candidaturas de forma autónoma —, aplicam-se-lhe as mesmas obrigações que a qualquer outro sistema de alto risco, tenha ou não a etiqueta de "agente".

Passo 4: se tem um sistema de alto risco, documentar antes de o pôr em funcionamento

Os sistemas de alto risco exigem, em essência, quatro coisas feitas antes de entrarem em funcionamento, não depois: um processo de gestão de riscos contínuo (não uma análise pontual), documentação técnica do que o sistema faz e com que dados foi treinado, registo automático de eventos que permita reconstruir as suas decisões, e um mecanismo real de supervisão humana — com capacidade efetiva de intervir, não um botão simbólico. O detalhe completo das dez obrigações técnicas está no nosso guia da checklist de alto risco.

Passo 5: o risco que não espera por nenhuma data do AI Act

Há uma obrigação que já está em vigor desde fevereiro de 2025 e não depende de nenhum adiamento futuro: a literacia em IA (Art. 4.º). A sua equipa tem de ter um nível básico de competência sobre o que pode e não pode fazer com estas ferramentas. Na prática, isto costuma importar menos do que um problema paralelo e mais urgente: o RGPD. Colocar dados de clientes, contratos ou processos numa conta gratuita de um assistente de IA generalista pode significar cedê-los a terceiros sem contrato de subcontratação de dados e sem saber se são usados para treinar o modelo. É o problema real, hoje, independentemente da fase em que o AI Act esteja.

Passo 6: nomear um responsável, ainda que a tempo parcial

Não é preciso um departamento novo. É preciso que alguém concreto — não "o departamento de TI" em abstrato — seja responsável por manter o inventário do passo 2 atualizado, decidir se uma ferramenta nova precisa de revisão antes de ser aprovada, e ser o ponto de contacto se a autoridade nacional de supervisão da IA fizer alguma questão.

Quando faz sentido pedir ajuda externa

Se o inventário do passo 2 revelar zero sistemas de alto risco (o caso mais comum em PME de serviços), provavelmente consegue gerir o resto com critério interno e os guias gratuitos que as autoridades nacionais publicam. Se surgir um ou mais sistemas de alto risco, ou se a IA que usa trata dados de categoria especial (saúde, judiciais, biométricos), a documentação técnica e o sistema de gestão de riscos costumam exigir apoio especializado — é trabalho de meses, não de uma tarde.

Perguntas frequentes

A minha empresa não desenvolve IA, só a usa. O AI Act aplica-se-me na mesma? Sim, ainda que com menos obrigações do que a quem desenvolve o sistema. Como "utilizador" (o Regulamento chama-lhe "responsável pela implementação"), tem deveres de supervisão humana, de uso conforme às instruções do fornecedor e, se o sistema for de alto risco, de vigilância contínua — mesmo que não tenha construído o modelo.

O que acontece se não fizer nada? As multas do Regulamento chegam aos 35 milhões de euros ou 7% do volume de negócios mundial (o que for maior) para usos proibidos, e até 15 milhões ou 3% por incumprir as obrigações de alto risco. Mas o risco mais imediato, antes de qualquer sanção, costuma ser o RGPD pelo uso não controlado de IA com dados de clientes.

Quanto custa classificar os meus sistemas de IA? O inventário e a primeira classificação podem ser feitos pela sua própria equipa com os guias gratuitos das autoridades nacionais e o tempo de quem conhece as ferramentas que cada departamento usa — não exige orçamento. O custo aparece depois, se for preciso documentar um sistema de alto risco ou rever contratos com fornecedores.

Isto é aconselhamento jurídico? Não. É um guia prático de ordem de trabalho, não uma opinião jurídica sobre o seu caso concreto. Para uma interpretação vinculativa sobre se um sistema próprio encaixa no Anexo III, é preciso aconselhamento jurídico específico.

Se o inventário revelar um sistema de alto risco, ou quiser uma segunda opinião sobre se a IA que a sua empresa usa hoje está conforme, pode falar connosco sobre o seu caso concreto.

Fontes

1. Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho, de 13 de junho de 2024, que estabelece regras harmonizadas em matéria de inteligência artificial: https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32024R1689
2. Regulamento (UE) 2026/1744 ("Digital Omnibus"), Jornal Oficial da União Europeia, 24 de julho de 2026: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
3. Comissão Europeia, AI Act Compliance Checker: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
4. Tecnea, AI Act: o que muda a 2 de agosto e o que foi adiado
5. Tecnea, AI Act: o que devem fazer as empresas portuguesas

Este artigo é informativo e não constitui aconselhamento jurídico. A Tecnea ajuda empresas a implementar IA privada e conforme, e tem por isso um interesse comercial neste conteúdo — os passos que descreve aplicam-se da mesma forma quer a classificação seja feita pela sua própria equipa, por um consultor externo ou pela Tecnea.