Regulamento de IA (EU AI Act): o que é e como funciona

O Regulamento de IA (EU AI Act) é a primeira lei abrangente do mundo sobre inteligência artificial. Adotado como Regulamento (UE) 2024/1689 e em vigor desde 1 de agosto de 2024, estabelece regras harmonizadas para colocar sistemas de IA no mercado da União Europeia. Aplica-se segundo uma abordagem baseada no risco e entra em vigor de forma faseada, com prazos que decorrem entre 2025 e 2028.

O que é o Regulamento de IA (EU AI Act)?

O EU AI Act define obrigações para quem desenvolve, importa, distribui ou utiliza sistemas de IA com impacto no mercado da UE. Em vez de regular a tecnologia em abstrato, regula a forma como é usada, classificando cada sistema por nível de risco. Por ser um regulamento (e não uma diretiva), aplica-se diretamente em todos os Estados-Membros, sem transposição nacional, garantindo regras uniformes em toda a União.

O objetivo é duplo: proteger a saúde, a segurança e os direitos fundamentais das pessoas e, ao mesmo tempo, promover a inovação e a confiança na IA. A supervisão europeia cabe ao Serviço Europeu de IA (AI Office), apoiado pelo Comité Europeu de IA.

Os quatro níveis de risco

O coração do Regulamento de IA é a pirâmide de risco. Cada sistema é classificado num de quatro níveis, e as obrigações aumentam à medida que o risco sobe.

Que sistemas de IA são proibidos?

No nível de risco inaceitável, certas práticas são pura e simplesmente proibidas desde 2 de fevereiro de 2025. Incluem-se a pontuação social por entidades públicas, a manipulação subliminar que cause danos, a exploração de vulnerabilidades de grupos protegidos, a recolha indiscriminada de imagens faciais para criar bases de dados de reconhecimento e, com exceções estritas, a identificação biométrica remota em tempo real em espaços públicos.

O que conta como IA de alto risco?

O nível de alto risco abrange sistemas que podem afetar significativamente a segurança ou os direitos das pessoas. Há duas vias: IA integrada em produtos já regulados (Anexo I, como dispositivos médicos ou máquinas) e sistemas autónomos em domínios sensíveis do Anexo III (recrutamento, educação, serviços essenciais, aplicação da lei, migração, infraestruturas críticas). Ficam sujeitos às obrigações mais exigentes: gestão de risco, governação de dados, documentação técnica, supervisão humana, robustez e avaliação de conformidade.

O que exige o risco limitado de transparência?

No nível de risco limitado, a preocupação é a transparência. Quando uma pessoa interage com um chatbot, deve sabê-lo; conteúdos gerados ou manipulados por IA, como deepfakes, devem ser identificados como tais. São obrigações de informação, não de certificação. O nível de risco mínimo cobre a maioria das aplicações (filtros de spam, videojogos, recomendações), sem obrigações específicas.

A quem se aplica e alcance extraterritorial

O Regulamento de IA distingue vários papéis, com destaque para o fornecedor (quem desenvolve ou coloca no mercado o sistema) e o responsável pela implementação (quem o utiliza sob a sua autoridade). Também abrange importadores e distribuidores.

O ponto crítico é o alcance extraterritorial. O EU AI Act aplica-se a fornecedores estabelecidos fora da UE sempre que colocam sistemas de IA no mercado da União ou quando os resultados produzidos pelo sistema são utilizados na UE. Por outras palavras, uma empresa nos EUA, no Reino Unido ou na Ásia que sirva clientes europeus está abrangida, tal como o RGPD alcança quem trata dados de pessoas na UE. Fornecedores fora da UE de sistemas de alto risco devem designar um mandatário na União.

Calendário faseado e as alterações de 2026

A aplicação do AI Act é escalonada. As datas já em vigor são estáveis: 2 de fevereiro de 2025 para as práticas proibidas e as obrigações de literacia em IA; 2 de agosto de 2025 para as regras de governação e as obrigações dos modelos de IA de finalidade geral (GPAI).

O calendário do alto risco mudou em 2026. Através do pacote conhecido como Digital Omnibus, as instituições europeias chegaram a um acordo político (maio de 2026) para adiar e flexibilizar estes prazos, em parte porque as normas harmonizadas necessárias ainda não estavam prontas. Segundo o texto acordado, as obrigações para sistemas autónomos de alto risco (Anexo III) passam de 2 de agosto de 2026 para, o mais tardar, 2 de dezembro de 2027, ficando a aplicação condicionada à disponibilidade de normas, especificações ou orientações. Os sistemas integrados em produtos regulados (Anexo I) passam para 2 de agosto de 2028. À data deste artigo (junho de 2026), a adoção formal e a publicação no Jornal Oficial estavam iminentes, pelo que as empresas devem confirmar o texto definitivo. Evite assumir uma data única e definitiva: o princípio é que o alto risco se aplica quando as normas estiverem disponíveis, com o limite máximo referido.

Obrigações para a IA de finalidade geral (GPAI)

Os modelos de IA de finalidade geral (GPAI) — os grandes modelos que servem de base a muitas aplicações — têm um regime próprio, aplicável desde 2 de agosto de 2025. Todos os fornecedores de GPAI devem manter documentação técnica, informar quem integra o modelo, cumprir as regras de direitos de autor e publicar um resumo dos dados de treino. Os modelos com risco sistémico têm deveres reforçados: avaliação do modelo, testes adversariais, mitigação de riscos, cibersegurança e comunicação de incidentes graves. Um Código de Boas Práticas serve de instrumento voluntário para demonstrar conformidade.

Sanções por incumprimento

As coimas do Regulamento de IA são significativas e escalonadas pela gravidade. O patamar mais alto aplica-se às práticas proibidas: até 35 milhões de euros ou 7% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado. O incumprimento de outras obrigações (por exemplo, de alto risco) pode chegar a 15 milhões de euros ou 3% do volume de negócios, e o fornecimento de informação incorreta às autoridades a 7,5 milhões de euros ou 1%. Para PME e startups, aplicam-se os limites mais baixos de cada escalão.

Relação com o RGPD

O EU AI Act e o RGPD são complementares, não alternativos. O RGPD continua a reger todo o tratamento de dados pessoais; o AI Act acrescenta requisitos sobre a conceção, a segurança e a supervisão dos sistemas de IA. Um sistema de IA que trate dados pessoais tem de cumprir ambos: base legal, minimização e direitos dos titulares pelo RGPD; gestão de risco, governação de dados e transparência pelo AI Act. Para sistemas de alto risco que tratem dados sensíveis, a avaliação de impacto sobre a proteção de dados (AIPD) do RGPD e a documentação do AI Act reforçam-se mutuamente. Tratar a conformidade de forma integrada evita duplicação de esforço.

Próximos passos para a sua organização

Comece por inventariar os seus sistemas de IA e classificar o risco de cada um. Se utiliza ou fornece IA de alto risco, antecipe a documentação e a governação enquanto o calendário oferece margem. A Opsio apoia organizações a navegar estes requisitos com suporte de IA gerido e estratégia de soluções de IA. Para um plano de ação concreto, consulte a nossa checklist de conformidade com o EU AI Act.

Perguntas frequentes

Quando se aplica o Regulamento de IA?

O Regulamento (UE) 2024/1689 está em vigor desde 1 de agosto de 2024, com aplicação faseada. As práticas proibidas aplicam-se desde 2 de fevereiro de 2025 e as regras de GPAI desde 2 de agosto de 2025. As obrigações de alto risco foram adiadas em 2026 e passam a aplicar-se, no máximo, a partir de 2 de dezembro de 2027 (Anexo III) e 2 de agosto de 2028 (Anexo I), em função da prontidão das normas. Confirme sempre o texto publicado no Jornal Oficial.

O EU AI Act aplica-se à minha empresa se estiver fora da UE?

Sim, pode aplicar-se. O alcance é extraterritorial: abrange fornecedores fora da UE que coloquem sistemas de IA no mercado da União ou cujos resultados sejam utilizados na UE. Se serve clientes europeus, está provavelmente abrangido, mesmo sem presença física na UE, e poderá ter de designar um mandatário na União.

Qual a diferença entre o EU AI Act e o RGPD?

O RGPD regula o tratamento de dados pessoais; o EU AI Act regula os sistemas de IA segundo o seu risco. São complementares: um sistema de IA que use dados pessoais tem de cumprir ambos. O AI Act não substitui o RGPD, acrescenta uma camada de requisitos sobre segurança, transparência e governação dos modelos.

Quais são as sanções por incumprimento?

As coimas vão até 35 milhões de euros ou 7% do volume de negócios anual mundial pelas práticas proibidas, até 15 milhões de euros ou 3% por outras infrações, e até 7,5 milhões de euros ou 1% por informação incorreta, aplicando-se sempre o valor mais elevado (com limites adaptados para PME).

Este artigo constitui informação geral e não é aconselhamento jurídico. Para decisões de conformidade específicas, consulte aconselhamento jurídico qualificado e o texto oficial do Regulamento.