Compliance de IA: análise de lacunas ao AI Act passo a passo

Passo 1: definir âmbito e responsáveis

Decida que entidades jurídicas, unidades de negócio e países entram na análise. Num grupo com sede em Lisboa e filiais em Espanha e Angola, por exemplo, a IA usada pela filial angolana pode estar fora do âmbito, salvo se os seus resultados forem usados na UE. Nomeie um patrocinador na administração e um coordenador operacional. Junte pessoas de TI, segurança, jurídico, proteção de dados, recursos humanos e das áreas de negócio que mais usam IA. Sem o encarregado de proteção de dados à mesa, a análise vai deixar de fora metade dos riscos.

Passo 2: inventariar todos os sistemas de IA

Liste o que desenvolve, compra e usa. As fontes habituais: contratos e faturas de software, registo de aplicações aprovadas, consentimentos OAuth no Microsoft 365 ou no Google Workspace, registos de proxy, entrevistas às equipas e um inquérito curto a todos os colaboradores. Não se esqueça das funcionalidades de IA dentro de ferramentas que já tem: pontuação de leads no CRM, triagem no software de recrutamento, previsão de procura no ERP, o Copilot no Office.

Para cada sistema registe, no mínimo, finalidade, fornecedor, dados tratados, utilizadores, pessoas afetadas e dono interno. O método completo, incluindo como detetar a IA que ninguém comunicou, está no guia sobre shadow AI e inventário de IA na empresa.

Passo 3: determinar o papel em cada sistema

O regulamento atribui obrigações por papel. Em português, o texto oficial do Regulamento (UE) 2024/1689 fala de prestador (quem desenvolve ou manda desenvolver um sistema e o coloca no mercado ou em serviço com o seu nome ou marca) e de responsável pela implantação (quem utiliza um sistema sob a sua autoridade numa atividade profissional). Há ainda importador, distribuidor e mandatário.

Atenção às mudanças de papel. Uma empresa que pega num modelo de terceiros, constrói um assistente para os clientes e o disponibiliza com a sua marca passa a prestadora desse sistema. Quem altera substancialmente um sistema de risco elevado ou muda a sua finalidade para uma finalidade de risco elevado também.

Passo 4: classificar o risco de cada sistema

Verifique por esta ordem:

1. É uma prática proibida (artigo 5.º)? Por exemplo, reconhecimento de emoções de trabalhadores, classificação social ou manipulação que cause danos. Se sim, para imediatamente.
2. É de risco elevado? Ou porque é componente de segurança de um produto do anexo I, ou porque cai num domínio do anexo III: biometria, infraestruturas críticas, educação, emprego e gestão de trabalhadores, acesso a serviços essenciais (crédito, seguros de vida e saúde, prestações sociais), aplicação da lei, migração, justiça.
3. Tem obrigações de transparência (artigo 50.º)? Chatbots, geração de conteúdo sintético, falsificações profundas, reconhecimento de emoções ou categorização biométrica.
4. Caso contrário, é risco mínimo: sem obrigações específicas além da literacia, mas com boas práticas recomendadas.

Registe a justificação de cada classificação. Um sistema do anexo III pode escapar ao risco elevado se não representar um risco significativo (artigo 6.º, n.º 3), mas essa conclusão tem de estar documentada.

Passo 5: comparar com os requisitos aplicáveis

Agora sim, a análise de lacunas propriamente dita. Para cada combinação de papel e risco, compare a prática atual com o que é exigido e com a data. A tabela resume os blocos que mais aparecem num responsável pela implantação típico em Portugal.

Para os prestadores, a lista é mais longa: gestão de riscos, governação de dados, documentação técnica, sistema de gestão da qualidade, avaliação da conformidade, marcação CE, registo na base de dados da UE e acompanhamento pós-comercialização. A checklist de conformidade com o AI Act organiza esses requisitos por papel.

Passo 6: avaliar a governação de IA

Uma análise de lacunas que olha só para obrigações sistema a sistema falha o essencial: a capacidade de a organização decidir bem da próxima vez. Avalie também a governação de IA (a «AI governance», também dita governança de IA) em dimensões como estas:

• Responsabilidades: quem aprova um novo caso de uso de IA? Existe um comité ou um responsável designado?
• Políticas: há uma política de utilização de IA para colaboradores, atualizada para o Omnibus?
• Processo de risco: os novos sistemas passam por avaliação de risco e, quando há dados pessoais, por AIPD?
• Fornecedores: as compras de IA incluem perguntas de diligência devida e cláusulas contratuais específicas?
• Segurança: os riscos próprios da IA, como injeção de prompts ou fuga de dados, estão no plano de segurança?
• Monitorização e incidentes: existe forma de reportar uma resposta errada ou discriminatória de um sistema?

Uma escala simples de cinco níveis (inexistente, ad hoc, definido, gerido, otimizado) chega para mostrar à administração onde estão os maiores buracos. Se já tem ISO 27001, muitos destes processos reaproveitam-se; a norma ISO/IEC 42001 dá uma estrutura reconhecida para os completar.

Passo 7: plano de ação com prioridades

Transforme as lacunas num plano. Uma regra de priorização que funciona bem:

1. Imediato: qualquer suspeita de prática proibida; chatbots sem aviso de IA; ausência total de regras sobre que dados podem entrar em ferramentas de IA.
2. Até três meses: política de utilização aprovada, formação de base, inventário fechado, responsável de governação nomeado.
3. Até doze meses: diligência devida sobre fornecedores de sistemas que podem ser de risco elevado, revisão de contratos, desenho da supervisão humana, AIPD atualizadas.
4. Antes de 2 de dezembro de 2027: todos os requisitos de risco elevado prontos, com evidências.

Cada ação precisa de dono, prazo e evidência de fecho. Reveja o plano trimestralmente: o inventário muda, os fornecedores lançam funcionalidades novas e as autoridades publicam orientações.

Exemplo: uma empresa de distribuição com 400 trabalhadores

Imagine uma empresa de distribuição alimentar no Norte, com 400 trabalhadores. O inventário encontra sete utilizações de IA: Copilot para as equipas administrativas, um chatbot de encomendas para clientes profissionais, previsão de procura no ERP, uma ferramenta de triagem de candidaturas para motoristas e armazém, câmaras com análise de vídeo no armazém, tradução automática e ferramentas de geração de imagens usadas pelo marketing.

A análise mostra que a triagem de candidaturas é de risco elevado (emprego, anexo III); que o chatbot tem obrigação de transparência desde agosto de 2026 e não a cumpre; que as câmaras precisam de verificação para garantir que não inferem emoções (prática proibida no local de trabalho); e que não existe plano de literacia. O plano fica: aviso no chatbot e regras de dados já; política e formação no trimestre; verificação técnica das câmaras com o fornecedor; diligência devida ao fornecedor de recrutamento, informação aos trabalhadores e desenho da supervisão humana até ao fim de 2026. As restantes ferramentas ficam com regras de utilização e registo no inventário.

Erros comuns numa análise de lacunas

• Olhar só para projetos de IA internos e ignorar a IA comprada, que é a maioria.
• Confundir o RGPD com o AI Act. São complementares: a AIPD não substitui a classificação de risco, mas pode servir de base à avaliação do artigo 27.º.
• Tratar o adiamento do risco elevado como adiamento geral.
• Produzir um relatório sem donos. Uma lacuna sem responsável não fecha.
• Esquecer a componente laboral. O Código do Trabalho já obriga a informar os trabalhadores sobre os critérios de algoritmos que afetem o acesso ao emprego e as condições de trabalho.

Perguntas frequentes

O que é uma análise de lacunas ao AI Act?

É uma avaliação estruturada que compara as práticas atuais da organização com as obrigações do Regulamento da IA aplicáveis a cada sistema, tendo em conta o papel (prestador ou responsável pela implantação) e o nível de risco. Termina num plano de ação priorizado, com responsáveis, prazos e evidências esperadas.

Quanto tempo demora uma análise de lacunas?

Depende do número de sistemas e da maturidade de partida. Numa PME com uso sobretudo de ferramentas de mercado, umas semanas chegam para inventário, classificação e plano. Em grupos com desenvolvimento próprio e sistemas de risco elevado, é um projeto de alguns meses. O inventário é quase sempre a fase mais demorada.

Preciso de consultores para fazer compliance de IA?

Não necessariamente. Uma equipa interna com TI, jurídico, proteção de dados e recursos humanos consegue fazer a primeira análise com um método como este. Apoio externo faz sentido para sistemas de risco elevado, avaliação da conformidade como prestador ou quando faltam recursos internos.

A análise de lacunas tem de ser entregue a alguma autoridade?

Não. É um instrumento interno. Mas os registos que produz, como inventário, classificações justificadas, plano de literacia e decisões, são exatamente o que a ANACOM ou outra autoridade pedirá se fiscalizar. Guarde versões datadas.

Qual é a diferença entre governação de IA e compliance de IA?

O compliance verifica se cumpre obrigações concretas num dado momento. A governação de IA é o sistema que garante que continua a cumprir: responsabilidades, políticas, processo de aprovação, gestão de fornecedores e monitorização. Sem governação, a análise de lacunas fica desatualizada no trimestre seguinte.

Obtenha a sua análise de lacunas em 40 minutos

Se quiser um ponto de partida rápido em vez de uma folha em branco, faça a avaliação gratuita de governança e maturidade em IA da Opsio. São 14 passos e cerca de 40 minutos de perguntas em português sobre inventário, papéis, políticas, fornecedores, segurança e literacia. Ao submeter, vê a sua maturidade em dez áreas de governação, numa escala de cinco níveis, e recebe quatro documentos redigidos a partir das respostas: quadro de governança de IA, política de utilização de IA, checklist de diligência devida para fornecedores de IA e modelo de avaliação de riscos. Os documentos são entregues em inglês, em ficheiros Word editáveis, e ficam seus. Não é certificação nem aconselhamento jurídico, mas mostra-lhe onde estão as lacunas. Para fechar as mais complexas, a equipa de segurança e conformidade de IA pode ajudar. O enquadramento completo do regulamento está no guia do AI Act.

Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744. Datas e enquadramento português à data de outubro de 2026.