Regulamento da IA da UE em 2026: lista de verificação para empresas
Resumo da decisão: Guia prático após 2 de agosto de 2026 sobre funções, risco, transparência, supervisão humana, fornecedores e pilotos seguros.
Decisão: classifique o uso, não a ferramenta
O que importa é o que o sistema faz e o papel da empresa, não o nome do modelo. O mesmo assistente pode ter baixo impacto ao redigir internamente e impacto maior ao acionar decisões sobre pessoas. Registe finalidade, pessoas, dados, ações automáticas e intervenção humana.
Este guia não é aconselhamento jurídico. Obrigações dependem do país, setor, risco e papel. Comece por um piloto reversível, mensurável e aprovado por uma pessoa; confirme limites nas fontes oficiais atuais.
O que mudou em 2 de agosto de 2026?
Segundo a Comissão Europeia, o Serviço para a IA e autoridades nacionais começaram a aplicar disposições específicas. Regras de transparência do artigo 50 passaram a abranger certos sistemas interativos e conteúdos sintéticos: pode ser necessário informar os utilizadores de que estão a interagir com IA e identificar deepfakes ou outros conteúdos. Os prazos aplicáveis a sistemas de risco elevado podem ser posteriores.
O inventário deve incluir finalidade, papel, mercado, dados, pessoas afetadas, saída e data aplicável. Revalide o calendário oficial antes de contratar ou decidir juridicamente.
Mapa de funções e responsabilidades
Quem coloca um sistema no mercado sob o seu próprio nome pode ser um prestador; quem o utiliza no contexto da sua atividade, por exemplo com trabalhadores ou clientes, pode ser um responsável pela implantação. Integrar um modelo de IA de finalidade geral num produto pode implicar a função de prestador a jusante. Verifique quem define a finalidade, altera o sistema, escolhe os dados e responde perante os utilizadores.
Registe os responsáveis de negócio e técnicos, o prestador, a versão, os dados, as ações, a aprovação, os avisos, a conservação, a paragem e a revisão. Reavalie após alterações.
Triagem em quatro grupos
Um: pare e peça análise para possível prática proibida. Dois: avalie alto risco em emprego, crédito, educação, infraestrutura ou serviços essenciais. Três: reveja transparência de chatbots e conteúdos sintéticos. Quatro: mesmo as ferramentas internas exigem cuidados com os dados, a segurança, a precisão e a supervisão.
Considere sistemas ligados, reversibilidade, número de pessoas, dados pessoais, custo do erro e tempo de intervenção. Na dúvida, mantenha apenas recomendações.
Lista de verificação da transparência do artigo 50
Um aviso exigido deve ser oportuno, claro e acessível, não escondido na política de privacidade. Para imagem, áudio, vídeo ou texto de interesse público, verifique rótulos visíveis, marcações legíveis por máquina e exceções.
Teste idioma, leitor de ecrã, persistência na exportação, apoio humano e prova de versão. Confirme transições para sistemas antigos no guia oficial.
Controlos técnicos e operacionais
Use o ciclo NIST AI RMF: governar, mapear, medir e gerir. Defina sucesso, limite de erro e paragem antes do piloto. Teste documentos ausentes, instruções contraditórias, outras línguas, pedidos não autorizados e falhas.
Para agentes, aplique OWASP: permissões mínimas e funcionamento inicial apenas em modo de leitura, aprovação humana para enviar/pagar/apagar, segredos fora do modelo e registos completos. Planeie a recuperação após injeção de instruções, fuga de dados, resultados incorretos ou falhas do fornecedor.
Plano de 30 dias
Dias 1-5 inventário e responsáveis; 6-10 papel/risco; 11-15 avisos, encaminhamento para revisão humana, permissões, conservação e contratos; 16-23 testes; 24-30 piloto limitado e decisão.
Este plano não constitui uma certificação. Escolha um processo reversível e mensurável. Use o guia de mapeamento e a comparação RPA-IA.
Matriz de fornecedor e piloto
Peça por escrito informações sobre os modelos e subcontratantes, o local de tratamento e o prazo de conservação dos dados, a utilização dos dados para treino, a segurança, os incidentes, as versões, a marcação, os registos, a portabilidade e as condições de saída. A afirmação «Conforme com o Regulamento da IA» não basta: exija a identificação dos controlos, das obrigações e das funções de cada interveniente.
Cenário ilustrativo: uma PME classifica e-mails e cria rascunhos. Uma pessoa envia as mensagens, os casos sensíveis são encaminhados para revisão humana e a IA não apaga dados nem efetua pagamentos. Meça os erros, as correções, os incidentes e a recuperação. É uma hipótese, não um resultado obtido num cliente.
Metodologia
As afirmações são avaliadas quanto à viabilidade, custo, risco e possibilidade de medir os resultados. Os cálculos ilustrativos são pressupostos; decisões legais e de segurança exigem fontes primárias.
Nota de fontes
As ligações e documentos citados são pontos de partida. Não são publicados resultados de clientes não verificados.
- European Commission — The enforcement framework of the AI Act
- European Commission — Transparency obligations under Article 50
- NIST — AI Risk Management Framework
- OWASP — LLM06:2025 Excessive Agency
Última atualização:
Perguntas frequentes
Todos os sistemas de IA são de alto risco?
Não. Depende da finalidade, domínio e função real; ainda pode haver deveres de transparência, privacidade ou segurança.
Um chatbot deve dizer que é IA?
O artigo 50 prevê avisos para certos sistemas interativos. Confirme papel, uso e exceções no guia oficial.
Uma empresa fora da UE pode ser afetada?
Disponibilizar um produto no mercado da UE, dirigir a utilização a pessoas na UE ou desempenhar uma função na cadeia de valor pode exigir uma análise do âmbito de aplicação.
Que documentos guardar?
Finalidade, responsáveis, função e risco, fluxo de dados, supervisão, testes, versão e fornecedor, avisos, incidentes e alterações.
É possível pilotar antes de concluir a análise?
Pode ser possível um teste reversível, limitado e aprovado por humanos. Não ative ações com consequências relevantes enquanto houver incerteza.