AI Act da UE: Obrigações 2026 e Guia de Conformidade

O Regulamento (UE) 2024/1689, conhecido como AI Act, é o primeiro quadro regulatório integral de inteligência artificial a nível mundial. Ao contrário das diretivas europeias, este texto tem aplicação direta em todos os Estados-Membros sem necessidade de transposição nacional. Isto significa que as empresas espanholas devem cumprir as suas disposições a partir das datas estabelecidas pelo próprio regulamento, sem esperar por uma lei do Congresso ou do Senado.

A norma adota uma abordagem baseada no risco: quanto maior for o impacto potencial de um sistema de IA sobre os direitos fundamentais das pessoas, mais estritas são as obrigações que impõe. Esta lógica gera quatro níveis de risco que determinam o que cada empresa deve fazer consoante o sistema que utiliza ou desenvolve. O regulamento distingue entre fornecedores, que desenvolvem ou comercializam o sistema, e operadores, que o utilizam sob a sua autoridade. Ambas as figuras têm obrigações, embora de intensidade diferente.

Em Espanha, a supervisão cabe à AESIA (Agência Espanhola de Supervisão da Inteligência Artificial), criada pelo Real Decreto 729/2023 com sede em A Corunha. Esta agência tem o poder de inspecionar sistemas, solicitar documentação, impor medidas corretivas e propor sanções. A existência de uma autoridade nacional ativa transforma a norma de um texto teórico num risco operacional concreto com orçamento e competências reais.

A aplicação do AI Act é escalonada. As práticas proibidas e a obrigação de literacia em IA (artigo 4) estão em vigor desde 2 de fevereiro de 2025. As obrigações para os modelos de inteligência artificial de propósito geral (GPAI) e o regime sancionatório aplicam-se desde 2 de agosto de 2025. A data crítica para a maioria das empresas é 2 de agosto de 2026, quando entra em vigor a aplicação geral do regulamento, incluindo as obrigações de transparência do artigo 50.

No entanto, o Omnibus Digital de IA (Regulamento (UE) 2026/1744), em vigor desde 27 de julho de 2026, modificou o calendário dos sistemas de alto risco. Os sistemas listados no Anexo III (emprego, educação, serviços essenciais, biometria) têm agora até 2 de dezembro de 2027 para cumprir. Os sistemas de alto risco integrados em produtos regulados pela legislação setorial (Anexo I: maquinaria, dispositivos médicos, aviação) têm prazo até 2 de agosto de 2028. Esta modificação não adia a transparência, as proibições nem a literacia, que mantêm as suas datas originais.

Datas-chave do AI Act

A partir de 2 de agosto de 2026, o artigo 50 do regulamento exige que os sistemas de IA informem os utilizadores quando interajam com uma inteligência artificial. Os chatbots, assistentes virtuais e sistemas interativos devem indicar claramente que o utilizador está a tratar com uma máquina, e não com uma pessoa. Esta obrigação é transversal e atinge qualquer empresa que utilize estas ferramentas, independentemente do seu tamanho.

O conteúdo gerado ou alterado por IA, incluindo deepfakes (imagens, vídeos ou áudio editados ou gerados com IA), deve ter uma etiqueta visível. Além disso, os fornecedores de sistemas generativos devem implementar marcas legíveis por máquina na saída sintética para que possa ser detetada automaticamente. Esta medida visa reduzir o engano e a manipulação, e ajudar as pessoas a tomar decisões informadas.

Para as PME espanholas que utilizam chatbots de atendimento ao cliente, geradores de conteúdo ou ferramentas de marketing com IA, este cumprimento não é opcional. A Comissão Europeia publicou uma lista de mais de 180 organizações que assinaram o Código de Boas Práticas sobre a transparência de conteúdos gerados por IA, que oferece uma via prática para demonstrar o cumprimento. As empresas que não implementarem estas medidas expõem-se a sanções e à perda de confiança dos seus clientes.

Os sistemas de IA de alto risco são aqueles que podem afetar significativamente a saúde, a segurança ou os direitos fundamentais das pessoas. O Anexo III do regulamento enumera oito domínios: biometria, infraestruturas críticas, educação, emprego, acesso a serviços essenciais, justiça, migração e processos democráticos. Se uma empresa utiliza IA para filtrar currículos, avaliar candidatos, determinar promoções ou despedimentos, está a operar no domínio de alto risco.

Estes sistemas devem cumprir requisitos estritos antes da comercialização: gestão de riscos contínua, governança de dados, documentação técnica detalhada, registo de atividade, transparência no uso, supervisão humana efetiva e medidas de cibersegurança. A supervisão humana não é uma formalidade: o sistema deve ser desenhado para permitir que uma pessoa entenda o seu funcionamento, monitore o seu comportamento, interprete os seus resultados e possa intervir ou detê-lo quando necessário.

A documentação técnica deve incluir uma descrição detalhada do sistema, a sua finalidade, métricas de desempenho, dados de treino e resultados dos testes. Os registos de atividade devem permitir a rastreabilidade das decisões do sistema e facilitar a supervisão posterior. Para as empresas que desenvolvem ou operam estes sistemas, a preparação deve começar agora, embora o prazo limite seja dezembro de 2027, para evitar um cumprimento apressado e deficiente.

O regime sancionatório do AI Act é um dos mais severos da regulamentação europeia. O incumprimento das práticas proibidas (risco inaceitável) pode acarretar multas de até 35 milhões de euros ou 7% do faturamento global anual, o que for maior. Para as PME e startups, as multas são calculadas de forma proporcional, aplicando-se o montante menor entre a cifra fixa e a percentagem do faturamento.

O incumprimento das obrigações para sistemas de alto risco (supervisão humana, documentação, gestão de riscos) pode supor multas de até 15 milhões de euros ou 3% do faturamento global. A informação incorreta às autoridades pode custar até 7,5 milhões de euros ou 1% do faturamento. Estas quantias estão desenhadas para serem dissuasivas mesmo para grandes empresas, e para as PME representam um risco financeiro significativo.

A AESIA participa na supervisão do cumprimento em Espanha. A agência pode inspecionar sistemas, solicitar documentação, impor medidas corretivas e propor sanções perante os tribunais. A preparação antecipada permite às empresas gerir melhor as suas obrigações e reduzir o risco de incumprimento quando a supervisão se intensificar.

O primeiro passo é realizar um inventário de sistemas de IA que a empresa utiliza, desenvolve ou opera. Isto inclui ferramentas de terceiros como ChatGPT, Copilot, ferramentas de RH com IA, CRMs inteligentes e geradores de conteúdo. Cada sistema deve ser identificado com o seu fornecedor, finalidade e nível de risco.

O segundo passo é a classificação de risco de cada sistema segundo a classificação do regulamento. Os sistemas de alto risco requerem as medidas mais exigentes, enquanto os de risco limitado só precisam de transparência. A literacia do pessoal (artigo 4) é obrigatória para qualquer empresa que utilize IA, independentemente do nível de risco do sistema.

Passos-chave para o cumprimento

1. Inventário: Identificar todos os sistemas de IA em uso.
2. Classificação: Determinar o nível de risco de cada sistema.
3. Formação: Garantir a literacia do pessoal (obrigatória desde fevereiro de 2025).
4. Documentação: Estabelecer documentação técnica e de governança para sistemas de alto risco.
5. Transparência: Implementar avisos de interação com IA e etiquetagem de conteúdo gerado (obrigatório desde agosto de 2026, com prazos específicos para sistemas já comercializados).
6. Supervisão: Atribuir supervisão humana efetiva aos sistemas de alto risco.

A documentação e governança são essenciais para demonstrar o cumprimento. As empresas devem manter registos atualizados dos seus sistemas de IA. A formação da equipa não é apenas uma obrigação legal, mas uma oportunidade para melhorar a competitividade: uma equipa formada em IA trabalha melhor, identifica oportunidades de automação e toma melhores decisões. A preparação precoce reduz o risco de lacunas de cumprimento quando a supervisão se intensificar.