Resposta rápida
Quase certamente sim, se a sua empresa utiliza ferramentas de IA profissionalmente e vende para ou opera na UE, quer tenha ou não criado as ferramentas. Não existe limite de dimensão. Para a maioria das empresas, as obrigações em vigor são modestas: evitar uma pequena lista de práticas de IA proibidas, promover a literacia em IA dos colaboradores e ser transparente sobre chatbots e determinados conteúdos gerados por IA. O regime rigoroso de «alto risco» aplica-se apenas a casos de utilização específicos, como recrutamento ou avaliação de crédito, e foi adiado. As coimas podem atingir €35 milhões ou 7% do volume de negócios global, com limites inferiores para PME.
A maioria dos guias sobre o Regulamento de IA da UE é escrita para empresas que desenvolvem IA. Este também se destina a todos os outros: a loja online com um chatbot, a agência que redige textos com o ChatGPT, a empresa de software que acrescenta uma funcionalidade de IA, a empresa fora da UE que vende a clientes europeus. A principal data de aplicação do regulamento já passou e, após uma alteração tardia, o panorama estabilizou. Eis o que o Regulamento da Inteligência Artificial exige realmente a uma empresa comum.
O que é o Regulamento da Inteligência Artificial e porque importa
O Regulamento de IA, formalmente o Regulamento (UE) 2024/1689, é a primeira lei abrangente sobre IA do mundo (o texto consolidado atual está no EUR-Lex). Enquanto regulamento da UE, aplica-se diretamente em todos os Estados-Membros, sem transposição nacional. O regulamento baseia-se numa lógica de risco: quanto maior for o potencial impacto de um sistema de IA na segurança ou nos direitos fundamentais das pessoas, mais rigorosas são as obrigações para quem o desenvolve e utiliza.
O Omnibus Digital sobre IA (Regulamento (UE) 2026/1744) alterou o Regulamento pouco antes da sua principal data de aplicação. Adiou os prazos para sistemas de alto risco, acrescentou duas novas práticas proibidas, restringiu parte da definição de alto risco e reduziu a burocracia para empresas menores. A arquitetura, os quatro níveis de risco e os deveres consoante a função mantêm-se inalterados.
A quem se aplica o Regulamento de IA da UE? Verificação em quatro perguntas
1. A ferramenta é um «sistema de IA»? Um algoritmo baseado em regras, com passos fixos definidos por humanos, não é. A característica determinante é a inferência: o sistema produz previsões, recomendações, decisões ou conteúdos a partir de dados de formas não explicitamente programadas. Chatbots, ferramentas generativas, sistemas de pontuação e motores de recomendação qualificam-se; uma fórmula de folha de cálculo não.
2. É utilizada profissionalmente? A utilização privada e não profissional fica fora do âmbito. No momento em que um colaborador usa uma ferramenta em nome de uma empresa, a empresa entra no âmbito de aplicação.
3. Tem ligação à UE? O Regulamento aplica-se se o sistema de IA for colocado no mercado da UE, utilizado na UE ou se os seus resultados forem utilizados na UE. Uma empresa fora da União que serve clientes da UE está abrangida. Não há isenção para pequenas empresas ou start-ups; as obrigações do Regulamento de IA são proporcionais ao risco, não ao número de trabalhadores.
4. Criou-o ou utiliza-o? Isto determina a sua função, e a sua função determina os seus deveres.
| Função | Quem abrange | Exemplo típico |
|---|---|---|
| Fornecedor | Desenvolve um sistema ou modelo de IA e coloca-o no mercado da UE sob o seu próprio nome, pago ou gratuito | Uma empresa SaaS que disponibiliza uma funcionalidade de IA aos clientes |
| Utilizador | Utiliza um sistema de IA no âmbito da sua atividade empresarial | Uma empresa que usa um chatbot de terceiros, utiliza o ChatGPT no trabalho ou seleciona CV com uma ferramenta de IA |
| Importador / distribuidor | Introduz no mercado da UE um sistema de IA de fora da UE ou disponibiliza-o nesse mercado | Um revendedor de software de IA desenvolvido fora da UE |
A maioria das empresas é utilizadora ao abrigo do Regulamento de IA. Utilizar o ChatGPT, Copilot ou um chatbot de fornecedor não faz de si um fornecedor, mas faz de si um utilizador, com as obrigações descritas abaixo. Pode tornar-se fornecedor sem o pretender: se alterar substancialmente um sistema, o integrar no seu próprio produto ou o comercializar sob a sua própria marca.
Há ainda uma regra para empresas fora da UE: um fornecedor de fora da UE deve nomear um representante autorizado estabelecido na União antes de disponibilizar aí um sistema de IA de alto risco ou um modelo de IA de finalidade geral (estão isentos os modelos open-source sem risco sistémico).
Categorias de risco do Regulamento de IA: os quatro níveis
| Nível de risco | O que significa | Exemplos |
|---|---|---|
| Inaceitável | Proibido de forma absoluta | Pontuação social, técnicas subliminares manipuladoras, reconhecimento de emoções no trabalho ou na educação, recolha indiscriminada de imagens faciais, deepfakes íntimos sem consentimento |
| Alto | Permitido com deveres rigorosos de conformidade | IA no recrutamento, gestão de trabalhadores, avaliação de crédito, admissão na educação, infraestruturas críticas ou como componente de segurança em produtos regulamentados |
| Transparência | Permitido com deveres de divulgação | Chatbots, texto, imagens, áudio e vídeo gerados por IA, deepfakes |
| Mínimo | Sem obrigações específicas | Filtros de spam, motores de recomendação, programação assistida por IA, tradução |
A Comissão Europeia estimou, ao elaborar a lei, que cerca de 85% dos sistemas de IA pertencem à categoria de risco mínimo. Para a maioria das empresas de serviços, software e comércio eletrónico, apenas a primeira e a terceira linhas têm relevância prática.
Calendário do Regulamento de IA da UE: o que se aplica agora e o que foi adiado
| Aplicável a partir de | O quê |
|---|---|
| 2 de fevereiro de 2025 | Práticas de IA proibidas; dever de literacia em IA |
| 2 de agosto de 2025 | Obrigações para fornecedores de modelos de IA de finalidade geral |
| 2 de agosto de 2026 | Obrigações de transparência (artigo 50); autoridades nacionais e poderes de execução ativos |
| 2 de dezembro de 2026 | Duas novas proibições (imagens íntimas sem consentimento, material de abuso sexual infantil); prazo de marcação para sistemas generativos já no mercado |
| 2 de dezembro de 2027 | Sistemas de alto risco do anexo III (casos de utilização autónomos) |
| 2 de agosto de 2028 | IA de alto risco integrada em produtos regulamentados (anexo I) |
Requisitos do Regulamento de IA que a maioria das empresas enfrenta hoje
1. Não utilize práticas de IA proibidas
Verifique se nenhuma ferramenta na sua empresa pertence a uma categoria proibida. A armadilha mais realista para uma empresa comum é o reconhecimento de emoções de trabalhadores ou clientes, ou a categorização biométrica que infere características sensíveis, como etnia ou opiniões políticas. A Comissão publicou orientações sobre práticas proibidas para casos-limite.
2. Promova a literacia em IA e, sim, redija uma política de IA
Os fornecedores e utilizadores devem tomar medidas que promovam a literacia em IA entre as pessoas que operam ou utilizam IA em seu nome. O Omnibus suavizou a redação: já não tem de garantir um nível específico de competência para cada pessoa, mas continua a ter de agir. O Regulamento não diz literalmente «adote uma política de IA», mas uma política interna curta de utilização de IA, formação documentada e um registo de quem a concluiu são a forma mais simples de demonstrar conformidade. Como o dever também se aplica à utilização interna, esta é a obrigação que alcança até empresas cuja IA nunca chega a um cliente.
3. Divulgação de chatbot: informe as pessoas quando falam com uma máquina
Ao abrigo das obrigações de transparência, um sistema de IA que interage diretamente com pessoas, como um chatbot ou assistente de voz, deve deixar claro que o utilizador está a lidar com IA, salvo se tal for óbvio pelo contexto. O dever cabe ao fornecedor que criou o sistema. Se usar no seu site um chatbot de fornecedor, este deve incorporar a divulgação, mas é a sua empresa que lida com os clientes: confirme que o aviso está visível antes ou na primeira interação. Uma frase como «Está a conversar com o nosso assistente de IA» é suficiente.
Tem de rotular conteúdo gerado por IA?
Esta é a questão sobre divulgação de conteúdo de IA que as empresas mais colocam e a que mais frequentemente se responde de forma errada. As regras distinguem entre uma marcação invisível, legível por máquina, que o fornecedor de uma ferramenta generativa deve incorporar, e uma divulgação visível que o utilizador, a empresa que publica o conteúdo, só deve acrescentar em casos específicos.
| Conteúdo que publica | É exigido rótulo visível? | Porquê |
|---|---|---|
| Descrições de produtos, textos publicitários e emails redigidos por IA | Não | O texto comercial não é “informação sobre matérias de interesse público” |
| Publicação de blogue ou artigo sobre tema de interesse público redigido por IA, publicado sem revisão humana | Sim | O texto de interesse público deve ser rotulado, salvo se uma pessoa o tiver revisto e assumir a responsabilidade editorial |
| A mesma publicação, editada e publicada sob o nome de um autor | Não | Aplica-se a exceção de revisão editorial |
| Ilustração de IA claramente irrealista (um dragão, uma esfinge voadora) | Não | Não é um deepfake: não poderia existir na realidade |
| Imagem fotorrealista de IA de uma pessoa, mesmo fictícia | Sim | Conta como deepfake: assemelha-se a alguém que poderia existir e parece autêntica |
| Imagem de marketing gerada por IA que mostra um produto de forma diferente da realidade | Sim | Deepfake segundo as orientações da Comissão |
| Réplica de voz ou vídeo por IA de uma pessoa real | Sim | Deepfake |
| Conteúdo publicado antes da aplicação das regras | Não | Não há rotulagem retroativa |
Há dois pontos a recordar. Primeiro, a intenção não importa: uma imagem realista deve ser rotulada mesmo que ninguém tenha pretendido enganar. Segundo, a marca de água incorporada pela ferramenta de IA a montante não cumpre o seu próprio dever de rotulagem; a divulgação deve ser percetível por uma pessoa sem qualquer ferramenta técnica.
Conformidade com o Regulamento de IA na prática: cinco cenários comuns
| Cenário | A sua função | Faça agora | Mais tarde |
|---|---|---|---|
| Empresa de software que adiciona uma funcionalidade de IA ao seu produto | Fornecedor | Divulgação de IA na interface; marcação legível por máquina se a funcionalidade gerar texto ou meios de comunicação; medidas de literacia; verificar a lista de proibições | Se a utilização estiver numa área do anexo III, prepare-se para o regime de alto risco |
| Loja online que utiliza um chatbot de fornecedor e imagens geradas por IA | Utilizador | Confirmar que o chatbot se identifica; rotular imagens fotorrealistas ou que alterem a realidade de produtos; medidas de literacia | Nada mais, salvo se for adicionada uma ferramenta de alto risco |
| Agência ou consultora que utiliza internamente ChatGPT, Claude ou semelhantes | Utilizador | Política de utilização de IA e registo de formação; rotular conteúdo de interesse público não revisto; não introduzir dados pessoais de clientes sem base no GDPR | Nenhuma obrigação específica do Regulamento de IA |
| Empregador que seleciona candidatos a emprego com uma ferramenta de IA | Utilizador de um sistema de alto risco | Medidas de literacia; informar os candidatos; conservar a documentação do fornecedor | Supervisão humana, registos e utilização segundo as instruções do fornecedor a partir da data adiada |
| Empresa fora da UE que vende um produto de IA a clientes da UE | Fornecedor | Os mesmos deveres de transparência e literacia de um fornecedor da UE; nomear representante autorizado na UE se o sistema for de alto risco ou um modelo de finalidade geral | Regime de alto risco a partir da data adiada |
Sistemas de IA de alto risco: adiados, não cancelados
Se a sua empresa fornece ou utiliza IA numa das áreas do anexo III, aplica-se, a partir das datas adiadas, um conjunto muito mais exigente de requisitos para IA de alto risco. Os fornecedores devem manter um sistema de gestão de riscos, documentação técnica e registos, conceber para supervisão humana e passar por uma avaliação de conformidade antes de o sistema entrar no mercado. Os utilizadores devem usar o sistema conforme as instruções, atribuir a supervisão a pessoas com formação e conservar os registos.
As empresas menores obtêm um alívio real: documentação técnica simplificada para PME, start-ups e a nova categoria de «small mid-cap»; gestão da qualidade simplificada para todas as PME; e limites de coimas correspondentes ao menor entre o montante fixo e a percentagem do volume de negócios. Há também uma exclusão: um sistema numa área do anexo III não é de alto risco se apenas executar uma tarefa processual ou preparatória limitada e não influenciar materialmente decisões. Aplicam-se duas ressalvas. Qualquer sistema que crie perfis de pessoas singulares é sempre de alto risco, e um fornecedor que invoque a exclusão deve documentar a sua avaliação e ainda registar o sistema na base de dados da UE.
Coimas, execução e a sobreposição com o GDPR
A execução é partilhada. O Gabinete Europeu de IA supervisiona fornecedores de modelos de IA de finalidade geral; cada Estado-Membro designa uma autoridade de fiscalização do mercado para sistemas de IA; as autoridades de proteção de dados continuam a supervisionar os dados pessoais utilizados pela IA. O Serviço de Assistência do Regulamento de IA da Comissão responde, em inglês, a perguntas de empresas.
As coimas por incumprimento são escalonadas: até €35 milhões ou 7% do volume de negócios anual mundial por práticas proibidas; até €15 milhões ou 3% pela maioria dos outros deveres, incluindo transparência; e até €7,5 milhões ou 1% pelo fornecimento de informações incorretas às autoridades. Para grandes empresas, o limite é o maior dos dois valores; para PME e start-ups, o menor.
O Regulamento de IA coexiste com o GDPR, não o substitui. O Regulamento de IA regula o sistema e a sua utilização; o GDPR regula os dados pessoais que nele circulam. Uma ferramenta pode cumprir integralmente um e ainda violar o outro. Quando o Regulamento de IA exige uma avaliação de impacto nos direitos fundamentais, esta pode basear-se numa avaliação de impacto sobre a proteção de dados existente, em vez de a duplicar.
Lista de verificação prática de conformidade com IA para empresas
Uma boa governação de IA não exige um departamento jurídico. Para a maioria das empresas, estes nove passos cobrem os requisitos atuais do Regulamento de IA e preparam o terreno para as regras de alto risco posteriores:
- Inventário: liste todas as ferramentas de IA em utilização, incluindo funcionalidades integradas em produtos SaaS e modelos de finalidade geral usados por colaboradores.
- Função: decida, para cada ferramenta, se é fornecedor, utilizador ou ambos.
- Classificação: verifique cada ferramenta face à lista de proibições e às áreas do anexo III; registe o resultado.
- Chatbots: confirme que cada assistente de IA direcionado a clientes se identifica.
- Conteúdo: aplique a tabela de rotulagem acima ao que publica.
- Literacia: adote uma política de utilização de IA e conserve os registos de formação.
- Proteção de dados: alinhe a utilização de IA com a documentação GDPR existente.
- Presença na UE: se estiver fora da UE e fornecer um sistema de alto risco ou um modelo de finalidade geral, nomeie um representante autorizado.
- Roteiro: se algo for de alto risco, planeie as datas adiadas em vez de esperar por elas.
Conformidade com o Regulamento de IA e criação de empresa na UE com a Eesti Firma
O Regulamento da Inteligência Artificial recompensa empresas que incorporam a conformidade desde o início e, para empresas fora da União, torna uma presença na UE uma necessidade prática. A Eesti Firma apoia empresas orientadas por IA nas duas vertentes: criar uma entidade na UE através da constituição de empresas na Estónia totalmente digital, incluindo constituição através da e-Residency para fundadores que nunca precisam de visitar a Estónia, e ajudar a empresa a cumprir as suas obrigações quando opera no mercado da UE.
Os nossos advogados elaboram pareceres jurídicos sobre se um sistema de IA específico está abrangido e qual a função e nível de risco que desencadeia; a nossa equipa de serviços jurídicos redige as políticas de utilização de IA e divulgações de que uma empresa necessita para demonstrar conformidade com literacia em IA, transparência e proteção de dados.
Perguntas frequentes
Sim. Não existe limiar de trabalhadores nem de receitas. As obrigações dependem da forma como a IA é utilizada, não da dimensão da empresa, embora as PME beneficiem de documentação simplificada e limites de coimas inferiores.
Sim, enquanto utilizador. As regras de transparência só se aplicam quando o resultado da IA chega a pessoas fora da sua empresa, mas o dever de literacia em IA e as regras sobre práticas proibidas também se aplicam à utilização interna.
Sim, se colocarem um sistema de IA no mercado da UE ou se os seus resultados forem utilizados na UE. Os fornecedores fora da UE de sistemas de alto risco e modelos de finalidade geral também devem nomear um representante autorizado na União.
O Regulamento não usa essas palavras, mas uma política de utilização de IA com registos de formação é a forma mais simples de demonstrar o dever de literacia em IA e mostrar a um regulador que a utilização de IA é governada.
Descrições de produtos e textos publicitários: não. Uma publicação de blogue sobre tema de interesse público: apenas se for publicada sem revisão humana e responsabilidade editorial. Consulte a tabela de rotulagem acima para imagens, áudio e vídeo.
A plataforma deve incorporar a divulgação; deve assegurar que ela é efetivamente apresentada aos seus clientes. Na prática, verifique-a antes de entrar em funcionamento.
Até €35 milhões ou 7% do volume de negócios mundial por práticas proibidas, até €15 milhões ou 3% pela maioria das outras obrigações, incluindo transparência, e até €7,5 milhões ou 1% pelo fornecimento de informações incorretas às autoridades. PME e start-ups enfrentam o menor dos dois valores.
Não, apenas adiadas. Os requisitos mantêm-se inalterados; consulte o calendário acima para as duas novas datas de aplicação.
