Quando se fala do “EU AI Act”, a reação mais comum é assumir que isto é um problema para a OpenAI, a Google, ou outras empresas que constroem modelos de IA. O que não é verdade. Se o seu negócio usa IA em qualquer processo que toque em pessoas, recrutamento, decisões de crédito, apoio ao cliente, triagem clínica, tem obrigações ao abrigo desta lei também. E a boa notícia é que não precisa de uma equipa jurídica nem de background em machine learning para perceber o que se aplica. Precisa apenas de alguém que traduza isto por si, e é exatamente isso que este artigo faz.

O regulamento resumido num parágrafo

O EU AI Act não proíbe a Inteligência Artificial. O que faz é organizar os usos de IA em níveis de risco, cada um com regras próprias. Existe um conjunto de práticas que é simplesmente banido. Tudo o que pode afetar de forma significativa os direitos, a segurança ou as oportunidades de alguém é classificado como “alto risco” e implica obrigações reais: documentação, supervisão humana e monitorização contínua. A maioria do uso empresarial do dia a dia, pense em filtros de spam ou recomendações de produtos, praticamente não tem obrigações formais. O desafio não é decorar a lei toda. É perceber em que nível cai o seu caso de uso específico.

Os quatro níveis, com exemplos reais

• Risco inaceitável (proibido): situações como o scoring social de cidadãos ou IA desenhada para manipular pessoas por meio de técnicas subliminares ou enganosas. Se não está a fazer isto, passe à frente.
• Alto risco: IA usada em recrutamento, decisões de crédito, definição de prémios de seguros, dispositivos médicos ou qualquer coisa que toque em infraestruturas críticas. É aqui que vive a papelada: gestão de risco, supervisão humana, documentação técnica, registo de incidentes.
• Risco limitado: chatbots, deepfakes, conteúdo gerado por IA. A obrigação aqui é sobretudo de transparência: informar as pessoas de que estão a falar com um bot, ou de que um vídeo foi gerado artificialmente.
• Risco mínimo: a esmagadora maioria do uso empresarial de IA no dia a dia. Sem obrigações formais, mas boas práticas nunca fazem mal.

“Fornecedor” vs. “Utilizador”: a distinção que baralha a maioria das empresas

Se a sua empresa constrói um modelo de IA, é um fornecedor e as obrigações mais pesadas recaem sobre si. Mas se usa uma ferramenta de IA de terceiros, uma plataforma de recrutamento, uma API de scoring de crédito ou um assistente de diagnóstico, age como um “deployer”, e os “deeployers” têm as suas próprias obrigações. Comprar IA a um fornecedor que garante estar “em conformidade” não torna automaticamente o uso dessa ferramenta compliant. Continua a precisar de manter registos, garantir supervisão humana em decisões de alto risco e informar as pessoas afetadas. Este é o mal-entendido mais comum que vemos: as empresas assumem que a conformidade é responsabilidade do fornecedor. Na realidade, é partilhada.

O prazo mudou, e isso importa

Aqui fica algo que vale a pena saber, sobretudo se tem andado a adiar este assunto: o prazo original para as obrigações de alto risco ao abrigo do Anexo III (a categoria “baseada em uso” onde cai a maioria das empresas) era agosto de 2026. Em maio de 2026, os negociadores da UE chegaram a um acordo provisório, o “Digital Omnibus on AI”, que adiou esse prazo de dezasseis meses para dezembro de 2027. As obrigações de alto risco para sistemas baseados no uso, ao abrigo do Anexo III, passaram de agosto de 2026 para dezembro de 2027, enquanto as obrigações para IA de alto risco integrada em produtos regulados, como dispositivos médicos, avançaram de agosto de 2027 para agosto de 2028.

Isto pode parecer um alívio, e de facto é. Mas há duas coisas que já estão em vigor e que não vão a lado nenhum: a proibição das práticas mais graves e os requisitos de literacia em IA aplicam-se desde fevereiro de 2025, e as regras para fornecedores de IA de uso geral, juntamente com os requisitos de governação, entraram em vigor em agosto de 2025. As obrigações de transparência, aquelas que exigem informar as pessoas de que estão a falar com um bot, continuam no calendário original. Ou seja: o adiamento dá-lhe tempo para tratar da papelada mais pesada de alto risco; não é uma desculpa para ignorar a lei por completo.

Na prática, um verdadeiro gap analysis, mapear todas as ferramentas de IA em uso, classificar o risco, corrigir contratos com fornecedores, leva a maioria das empresas de média dimensão vários meses. Começar agora, com este tempo extra, é uma posição muito diferente de começar sob pressão no final de 2027.

Uma checklist prática para começar

1. Faça o inventário de todas as ferramentas de IA em uso, não apenas as óbvias. Plataformas de RH, chatbots de apoio ao cliente, deteção de fraude e até plugins para folhas de cálculo já vêm, cada vez mais, com funcionalidades de IA incorporadas.
2. Classifique cada uma pelo nível de risco. A maioria vai cair no “mínimo”. Algumas, normalmente as que tocam em recrutamento, crédito ou saúde, vão precisar de uma análise mais cuidadosa.
3. Volte aos seus fornecedores e peça documentação, não garantias verbais. “Estamos em conformidade” não é uma resposta válida. Pergunte em que nível de risco classificaram o produto deles e qual é a sua parte nesta obrigação partilhada.
4. Nomeie um responsável humano para cada decisão de IA de alto risco. Não um comité. Uma pessoa que consiga explicar por que o resultado do sistema foi aceite ou substituído.
5. Registe o seu raciocínio, não apenas as ferramentas que usa. Reguladores e auditores preocupam-se tanto com o percurso de decisão como com a stack tecnológica.

O erro a evitar

A maior falha não é a falta de conhecimento, mas tratar isto como uma auditoria pontual em vez de uma governação contínua. Uma ferramenta que hoje é de baixo risco pode tornar-se de alto risco assim que é usada numa nova decisão. A conformidade aqui não é uma checkbox que se marca uma única vez. É um hábito que se constrói na forma como avalia e implementa IA a partir de agora.

Como é que a LOAD aborda isto

Na LOAD, construímos sistemas de IA com a governação pensada desde a fase de arquitetura, e não colada no fim. Isto significa menos surpresas quando chega a altura da documentação e um sistema que a sua própria equipa consegue explicar, seja a um regulador, seja uns aos outros.

Não sabe bem onde o seu negócio se posiciona? Vamos mapear isso juntos.