O que o EU IA Act realmente exige do seu negócio
Conformidade IA 8 min de leitura
Quando a Lei da IA da UE foi aprovada em 2024, a maioria das empresas considerou-a como algo que afetaria apenas as empresas tecnológicas que desenvolvem sistemas de IA. Dois anos depois, com a aplicação da lei já em vigor, a realidade é muito diferente. O regulamento aplica-se a qualquer empresa que utiliza IA — não apenas às que a desenvolvem. E a maioria das empresas europeias está a usar IA agora mesmo, muitas vezes sem se aperceber.
Este artigo explica o que o EU AI Act realmente exige, a quem se aplica e que passos práticos as empresas precisam de dar antes do prazo.
O que é o EU AI Act?
O EU AI Act (Regulamento UE 2024/1689) é o primeiro quadro legal abrangente do mundo para a inteligência artificial. Cria um sistema de classificação baseado no risco para sistemas de IA — o que significa que quanto mais rigorosas as regras, maior o risco do sistema em questão. Pense nele como o RGPD, mas para IA em vez de dados pessoais.
Tal como o RGPD, o Regulamento aplica-se a todas as empresas que operam na UE, independentemente de onde estão sediadas. Um escritório de contabilidade português, uma empresa de logística belga, um escritório de advogados espanhol — todos caem sob o regulamento se usarem IA nas suas operações.
"A maioria das empresas europeias já está a usar IA — muitas sem o saber. A questão já não é se o Regulamento se aplica. É se estás preparado."
Os quatro níveis de risco
O Regulamento classifica os sistemas de IA em quatro categorias, cada uma com obrigações diferentes:
| Nível de Risco | Exemplos | Obrigações |
|---|---|---|
| Proibidos | Pontuação social por autoridades públicas, manipulação subliminar, vigilância biométrica em tempo real em espaços públicos | Proibição total — sem excepções |
| Alto Risco | Ferramentas de triagem de CVs, pontuação de crédito, diagnóstico médico, sistemas de avaliação educacional | Documentação de conformidade completa, supervisão humana, registo na base de dados da UE |
| Risco Limitado | Chatbots, conteúdo gerado por IA, assistentes virtuais | Obrigações de transparência — os utilizadores devem saber que estão a interagir com IA |
| Risco Mínimo | Filtros de spam, autocorrector, motores de recomendação | Não existem obrigações específicas — recomenda-se o cumprimento das boas práticas |
Quem é realmente afectado?
A resposta curta: quase todas as empresas. Eis porquê.
O Regulamento abrange qualquer organização que implemente ou utiliza um sistema de IA — e não apenas aqueles que os desenvolvem. Se a sua empresa utiliza qualquer um dos seguintes sistemas, tem obrigações nos termos da lei:
- ChatGPT, Microsoft Copilot ou ferramentas de IA generativa similares usadas por colaboradores em tarefas de trabalho
- Software de contabilidade ou ERP com categorização automática, detecção de anomalias ou funcionalidades de previsão (PHC, Sage, Primavera)
- Plataformas CRM com pontuação de leads ou previsão de comportamento do cliente (Salesforce, HubSpot)
- Chatbots no site que interagem com clientes ou potenciais clientes
- Software de RH com qualquer forma de triagem automática de CVs ou avaliação de colaboradores
- Qualquer ferramenta descrita como tendo funcionalidades "inteligentes", "preditivas" ou "automáticas"
As obrigações que se aplicam à maioria das empresas
Transparência com colaboradores e clientes
O Artigo 50 do Regulamento exige que, quando uma pessoa interage com um sistema de IA, seja informada. Isto significa que os chatbots devem identificar-se como IA. Emails, relatórios ou propostas geradas com assistência de IA devem incluir uma nota de divulgação. A obrigação não é pesada — mas tem de estar implementada.
Uma política interna de IA
As empresas precisam de uma política escrita que governe como a IA é usada internamente. Este documento deve definir que sistemas estão aprovados, que dados podem ser inseridos neles e que decisões não podem ser tomadas apenas por IA. Deve ser comunicada a todos os colaboradores.
Um inventário de sistemas de IA
Não é possível gerir o que não foi mapeado. A lei exige que as organizações saibam quais os sistemas de IA que utilizam, que dados esses sistemas processam e como se classificam em termos de risco. Este inventário deve ser mantido atualizado.
Diligência devida com fornecedores
Se o sistema de IA for fornecido por um terceiro — o que acontece quase sempre — é necessário compreender como esse fornecedor trata os seus dados. Os servidores deles estão localizados na UE? Utilizam os seus dados para treinar os seus modelos? Dispõem de documentação que comprove que o seu sistema cumpre a lei? Estas são perguntas que agora é da sua responsabilidade legal fazer.
O que acontece se não cumprir?
As penalidades financeiras espelham o RGPD na sua severidade. O Artigo 99 define multas até €35 milhões ou 7% do volume de negócios global anual para as violações mais graves, e até €15 milhões ou 3% por incumprimento geral. Para uma pequena empresa com €500.000 em receita anual, esse limite superior representa €15.000 — por não ter um documento de política de IA.
Para além das multas, o risco comercial é significativo. As grandes empresas já estão a incluir cláusulas de conformidade com IA nos seus contratos de fornecedores, espelhando o que aconteceu com o RGPD. Uma empresa sem documentação arrisca perder contratos com clientes que exigem prova de conformidade.
Por onde começar
O primeiro passo mais importante é compreender a sua situação atual. Uma auditoria de conformidade em IA mapeia a sua exposição atual à IA, identifica quais os sistemas que apresentam cada nível de risco e elabora um plano de ação com prioridades definidas. A partir daí, o trabalho é metódico: redigir a política, criar o inventário, contactar os seus fornecedores de software e incluir notas de transparência nas suas comunicações.
Nada disto requer uma equipa jurídica ou um departamento de tecnologia. O que é necessário é ter clareza sobre o que se utiliza e uma abordagem estruturada para documentar essa informação.
O regulamento já está em vigor. As empresas que agirem agora estarão preparadas — com toda a documentação em ordem e as suas operações protegidas.