Checklist AI Act: conformidade para empresas em 2026 e 2027

A checklist do AI Act resume-se a cinco blocos: saber que IA usa e em que papel, eliminar práticas proibidas, promover a literacia, cumprir a transparência desde agosto de 2026 e preparar os sistemas de risco elevado até 2 de dezembro de 2027. Abaixo está cada tarefa, por prioridade, com a base legal e a data.

Pontos-chave

• Use a checklist por ordem: o que já é exigível vem antes do que só se aplica em 2027 ou 2028.
• As tarefas mudam conforme o papel: prestador (quem desenvolve e coloca no mercado) ou responsável pela implantação (quem utiliza).
• As datas seguem o texto alterado pelo Omnibus Digital, Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026.
• Em Portugal, acompanhe a ANACOM e a CNPD; o regime nacional de coimas ainda não estava publicado em outubro de 2026.
• Cada tarefa só está concluída quando há evidência escrita.

Bloco 1: conhecer a IA da organização

• Nomear um responsável pela governação de IA, com mandato da administração.
• Fazer o inventário de todos os sistemas de IA desenvolvidos, comprados ou usados, incluindo funcionalidades embutidas (Copilot, CRM, software de recursos humanos) e a shadow AI. Método no guia sobre inventário de IA e shadow AI.
• Registar o papel em cada sistema: prestador, responsável pela implantação, importador ou distribuidor. Atenção a quem coloca a sua marca num sistema ou o altera substancialmente.
• Classificar o risco de cada sistema e guardar a justificação: proibido, risco elevado (anexo I ou III), transparência, risco mínimo.

Se quiser fazer este bloco de forma guiada, a avaliação gratuita de prontidão para o AI Act da Opsio conduz as perguntas e devolve documentos de governação já redigidos.

Bloco 2: o que já é exigível (fazer já)

A tabela tem apoio nos textos da ANACOM: as recomendações sobre o artigo 5.º propõem identificar, classificar, registar e retirar sistemas proibidos e repetir a avaliação todos os anos. Para a literacia, veja o artigo sobre formação em IA e o artigo 4.º. Para uma política escrita, o exemplo de política de utilização de IA tem cláusulas-modelo.

Bloco 3: responsável pela implantação de risco elevado (até 2 de dezembro de 2027)

Aplica-se, por exemplo, a quem usa IA para recrutar ou avaliar trabalhadores, avaliar crédito, fixar preços de seguros de vida e saúde ou avaliar alunos.

• Exigir ao fornecedor declaração UE de conformidade, marcação CE, registo na base de dados da UE e instruções de utilização.
• Usar o sistema segundo as instruções e garantir que os dados de entrada sob o seu controlo são pertinentes e representativos.
• Atribuir a supervisão humana a pessoas com competência, formação e autoridade para intervir (artigo 26.º).
• Monitorizar o funcionamento e comunicar riscos e incidentes graves ao prestador e às autoridades.
• Conservar os registos automáticos durante pelo menos seis meses.
• Informar previamente os representantes dos trabalhadores e os trabalhadores afetados quando o sistema é usado no local de trabalho (artigo 26.º, n.º 7). Em Portugal, articule com o dever do Código do Trabalho, introduzido pela Lei n.º 13/2023, de informar sobre os parâmetros e critérios de algoritmos que afetem o acesso ao emprego e as condições de trabalho.
• Informar as pessoas sujeitas a decisões apoiadas pelo sistema, quando aplicável.
• Fazer a avaliação de impacto sobre os direitos fundamentais (artigo 27.º) se for entidade pública, prestador de serviço público, ou se avaliar crédito ou fixar preços de seguros de vida e saúde. Pode partir da AIPD já feita ao abrigo do RGPD.

Bloco 4: prestador de risco elevado

• Sistema de gestão de riscos ao longo do ciclo de vida (artigo 9.º).
• Governação e qualidade dos dados de treino, validação e teste (artigo 10.º; ver também o novo artigo 4.º-A sobre dados sensíveis para detetar enviesamentos).
• Documentação técnica (artigo 11.º e anexo IV), simplificada para PME e small mid-caps.
• Registos automáticos de eventos (artigo 12.º).
• Transparência e instruções de utilização para os responsáveis pela implantação (artigo 13.º).
• Supervisão humana desenhada no sistema (artigo 14.º).
• Exatidão, robustez e cibersegurança (artigo 15.º).
• Sistema de gestão da qualidade (artigo 17.º).
• Avaliação da conformidade, declaração UE de conformidade, marcação CE e registo na base de dados da UE.
• Acompanhamento pós-comercialização e comunicação de incidentes graves.

Prazos: 2 de dezembro de 2027 para o anexo III; 2 de agosto de 2028 para IA em produtos do anexo I. A ordem de todas as datas está no calendário do AI Act.

Bloco 5: governação contínua

• Processo de aprovação de novos casos de uso, com classificação de risco antes da compra ou do desenvolvimento.
• Diligência devida sobre fornecedores de IA e cláusulas contratuais (utilização dos dados, localização, mudanças de modelo, apoio à conformidade).
• Avaliação de riscos por sistema, articulada com a AIPD quando há dados pessoais.
• Gestão de incidentes de IA ligada ao processo de incidentes de segurança e de violações de dados (notificação à CNPD em 72 horas, quando aplicável).
• Revisão periódica do inventário, da política e do plano de literacia.
• Acompanhamento regulatório: ANACOM, CNPD, Comissão Europeia e a publicação do diploma nacional sobre autoridades e coimas. O ponto da situação está no artigo sobre o AI Act em Portugal.

Quem já tem ISO/IEC 27001 pode reaproveitar muito deste bloco; a ISO/IEC 42001 dá-lhe uma estrutura de sistema de gestão de IA.

Erros que vemos com frequência

• Assumir que o Omnibus adiou tudo e parar o programa.
• Inventariar só projetos internos e esquecer a IA comprada.
• Ter uma política de IA mas nenhum registo de formação.
• Usar um chatbot de apoio ao cliente sem aviso de que é IA.
• Deixar a componente laboral para o fim, quando a informação aos trabalhadores tem de ser prévia.

Para transformar esta checklist num plano com responsáveis e prazos, siga o método da análise de lacunas ao AI Act.

Perguntas frequentes

Por onde começa a conformidade com o AI Act?

Pelo inventário. Sem saber que sistemas de IA existem, que papel tem a empresa em cada um e que risco representam, não é possível saber que obrigações se aplicam. Depois, feche o que já é exigível: práticas proibidas, literacia e transparência. O risco elevado vem a seguir, com prazo a 2 de dezembro de 2027.

Que obrigações do AI Act já se aplicam em outubro de 2026?

As proibições do artigo 5.º e o dever de literacia do artigo 4.º, desde fevereiro de 2025; as obrigações dos prestadores de modelos de finalidade geral, desde agosto de 2025; e a transparência do artigo 50.º, desde agosto de 2026. As novas proibições acrescentadas pelo Omnibus aplicam-se a partir de 2 de dezembro de 2026.

Uma empresa que só usa IA de terceiros tem muito a fazer?

Menos do que um prestador, mas não nada. Precisa de inventário, verificação de práticas proibidas, literacia, transparência se disponibilizar chatbots ou conteúdos gerados e, para usos de risco elevado como o recrutamento, os deveres do artigo 26.º a partir de dezembro de 2027.

A checklist serve para cumprir o RGPD?

Em parte. Inventário, avaliação de fornecedores e gestão de incidentes servem os dois regimes, mas o RGPD tem obrigações próprias, como fundamento jurídico, AIPD, direitos dos titulares e transferências internacionais. Trate-os em conjunto, com o encarregado de proteção de dados envolvido desde o início.

Transforme a checklist em documentos

Uma checklist diz o que fazer; os documentos provam que foi feito. A avaliação gratuita de governança e maturidade em IA da Opsio leva cerca de 40 minutos, em 14 passos com perguntas em português, e redige a partir das respostas um quadro de governança de IA, uma política de utilização de IA, uma checklist de diligência devida para fornecedores de IA e um modelo de avaliação de riscos, além de um retrato de maturidade em dez áreas. Os documentos são entregues em inglês, como ficheiros Word editáveis. Gratuito e sem compromisso. O enquadramento completo está no guia do AI Act.

Este artigo é informação geral e não constitui aconselhamento jurídico. Confirme o texto consolidado do Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744. Datas e referências portuguesas à data de outubro de 2026.

Mais da nossa base de conhecimento: Formação em IA e literacia: o que o AI Act exige às empresas