Resposta rápida: Sim — o AI Act da UE aplica-se às PME, mas a sua maquinaria mais pesada não visa o seu negócio. Desde 2 de fevereiro de 2025 que não pode usar práticas de IA proibidas. Desde 2 de agosto de 2026 que tem de avisar os clientes quando falam com um chatbot ou agente de voz, e identificar conteúdo realista gerado por IA, como os deepfakes. As obrigações de alto risco — como a IA em recrutamento e crédito — foram adiadas para 2 de dezembro de 2027 (2 de agosto de 2028 para IA em produtos regulados) pelo Digital Omnibus, o Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026. As coimas por práticas proibidas chegam a 35 milhões de euros ou 7% do volume global, com limites mais baixos para PME e start-ups ao abrigo do Artigo 99.º(6). Se o AI Act abrange o seu caso depende da sua função e de onde a IA é usada — ver o Artigo 2.º abaixo; servir clientes na UE não é, por si só, o teste.
O que é o AI Act da UE?
O AI Act da UE (Regulamento (UE) 2024/1689) é a primeira lei abrangente de IA do mundo; a Comissão Europeia mantém uma visão geral simples da estrutura. Entrou em vigor a 1 de agosto de 2024 e organiza os sistemas em quatro níveis de risco, cada um com obrigações diferentes:
| Nível de risco | Exemplos | O que significa para si |
|---|---|---|
| Proibido | Pontuação social, reconhecimento de emoções no trabalho, IA manipuladora | Nunca usar — proibido desde fevereiro de 2025 |
| Alto risco | IA em recrutamento, análise de crédito, educação, biometria | Obrigações rigorosas — adiadas para dezembro de 2027 |
| Transparência | Chatbots, agentes de voz, conteúdo sintético | Divulgar a IA e rotular conteúdo — em vigor desde agosto de 2026 |
| Risco mínimo | Filtros de spam, recomendações, ferramentas de redação | Sem obrigações específicas |
A maior parte do que uma PME faz com IA cai nos níveis de transparência e risco mínimo, por isso o AI Act é mais manejável do que os títulos sugerem — mas manejável não é ignorável. Este artigo é informação geral, não aconselhamento jurídico.
O que exige o AI Act a uma PME neste momento?
Quatro grupos importam, com prazos diferentes:
| Obrigação | Desde | O que faz uma PME |
|---|---|---|
| Práticas proibidas (Artigo 5.º) | 2 de fevereiro de 2025 | Verificar que nenhuma ferramenta cruza um uso proibido (lista abaixo) |
| Literacia em IA (Artigo 4.º) | 2 de fevereiro de 2025 | Tomar medidas que apoiem a literacia em IA da equipa |
| Transparência (Artigo 50.º) | 2 de agosto de 2026 | Divulgar chatbots e agentes de voz; rotular deepfakes |
| Alto risco (Anexo III) | 2 de dezembro de 2027 (adiado) | Se usa IA em recrutamento ou crédito, planear cedo |
O dever de literacia foi suavizado: basta tomar medidas que a apoiem, sem garantir um nível específico. Uma formação curta e uma política de uso de IA por escrito são um ponto de partida comum — se chegam depende da sua organização e da IA que usa. O nosso workshop de Prompt Engineering para Equipas cobre a vertente prática.
O que mudou a 2 de agosto de 2026?
Duas coisas mudaram nessa data e por volta dela:
- Obrigações de transparência do Artigo 50.º. Os deveres variam com a função. Os fornecedores de sistemas que interagem diretamente com pessoas — chatbots, assistentes de voz, agentes de IA — têm de os desenhar de modo que o utilizador saiba que fala com uma IA, a menos que isso já seja óbvio pelas circunstâncias. Os fornecedores de sistemas generativos têm de marcar o conteúdo sintético (áudio, imagem, vídeo e texto) de forma legível por máquina. Quem publica deepfakes — conteúdo sintético realista — na qualidade de utilizador implementador tem de divulgar que foi gerado artificialmente; o que conta como divulgação adequada depende do formato e do contexto, não de um tratamento idêntico para todas as imagens. Conteúdo publicado antes dessa data não precisa de identificação retroativa; sistemas generativos já no mercado têm até 2 de dezembro de 2026 para a marcação. As orientações do Artigo 50.º da Comissão explicam os detalhes.
- Aplicação e coimas. A aplicação é faseada ao abrigo do Artigo 113.º: as obrigações entram em vigor progressivamente entre fevereiro de 2025 e 2028, e a autoridade que fiscaliza cada caso depende do nível — as autoridades nacionais de supervisão de mercado tratam da maioria dos sistemas colocados no seu mercado, enquanto o papel de execução da Comissão se centra nos modelos de IA de uso geral. As orientações sobre transparência saíram a 20 de julho de 2026, pelo que já existe orientação oficial sobre o que conta como cumprimento.
Na prática: o chatbot deve dizer que é um bot, as imagens realistas geradas por IA devem ser identificáveis, e qualquer agente de voz deve apresentar-se com honestidade.
As regras de alto risco foram adiadas? O Digital Omnibus explicado
Sim — e esta foi a parte que muitos gestores não apanharam. O pacote Digital Omnibus da Comissão aliviou vários prazos do AI Act. O regulamento resultante (Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026) mudou os prazos:
- Sistemas de alto risco do Anexo III — IA em recrutamento, crédito, educação e exames, biometria — passam a cumprir a 2 de dezembro de 2027, e não em agosto de 2026.
- Sistemas do Anexo I — IA integrada em produtos regulados, como máquinas e dispositivos médicos — passam para 2 de agosto de 2028.
- Uma nova proibição — IA que gera imagens íntimas não consentidas — aplica-se a partir de 2 de dezembro de 2026.
Se usa uma ferramenta de IA para filtrar currículos, as obrigações dela — e as suas — chegam em dezembro de 2027. Aproveite a margem para documentar a supervisão humana nas decisões de contratação.
O que significa o AI Act para as empresas portuguesas?
Aplica-se diretamente: é um regulamento europeu, sem transposição nacional, válido em todo o mercado único. Se a sua empresa está fora da UE, o que decide é o Artigo 2.º: o AI Act abrange os fornecedores que colocam sistemas no mercado da UE ou os põem ao serviço na UE — onde quer que estejam estabelecidos —, os utilizadores implementadores com sede ou localização na UE, e os fornecedores e utilizadores implementadores em países terceiros cuja produção é usada na União. Uma agência britânica cujos entregáveis gerados por IA são usados por clientes na UE, ou uma loja britânica com um chatbot cuja produção é usada na UE, pode ficar abrangida; uma empresa britânica sem essa ligação à UE, em regra, não. Em caso de dúvida, percorra os critérios do Artigo 2.º ou procure aconselhamento jurídico.
O Reino Unido não tem lei autónoma de IA; depende dos reguladores e da orientação do ICO.
A vertente de dados (RGPD) está no nosso guia de segurança de dados com IA; o AI Act é uma lei separada, com deveres separados.
Que práticas de IA proibidas devem as PME conhecer?
Desde 2 de fevereiro de 2025, estes usos são proibidos em toda a UE:
- Pontuação social: avaliar a fiabilidade das pessoas pelo comportamento social.
- Reconhecimento de emoções no trabalho e no ensino — com exceções muito restritas. Uma ferramenta que leia emoções de colaboradores ou alunos está fora da lei.
- Explorar vulnerabilidades: IA que manipula pessoas pela idade, deficiência ou situação económica para causar dano.
- Manipulação subliminar: técnicas que distorcem o comportamento de forma a causar danos significativos.
- Categorização biométrica que infira atributos sensíveis como origem étnica, religião ou orientação sexual.
- Raspagem não direcionada de imagens faciais para bases de dados de reconhecimento.
A maioria das PME nunca chegará perto destas práticas. As duas a vigiar: reconhecimento de emoções — algumas ferramentas de "monitorização de produtividade" e entrevistas em vídeo coxeiam aí — e marketing com cheiro de manipulação. Se uma funcionalidade parece ler estados de humor, pergunte antes de comprar.
Como deve uma PME preparar-se? Um plano de 12 meses
Siga esta ordem; cada passo leva algumas horas, exceto o último, um hábito:
- Inventarie onde a IA toca as suas operações. Chatbot no site? Agente de voz? Filtragem de currículos? Redação de conteúdo? Não se pode gerir deveres que não estão mapeados. O nosso Diagnóstico de Processos e IA revê até três processos acordados nas suas operações e entrega conclusões escritas com uma lista priorizada de melhorias.
- Confirme que o chatbot e o agente de voz se identificam como IA — a correção costuma ser uma linha. Vai construir um novo assistente? O Piloto de Automação de Processos integra a divulgação da IA desde a fase de desenho.
- Identifique o conteúdo sintético realista. Imagens ou vídeo gerados por IA com aparência real devem ser marcados como tal; rascunhos de texto polidos com IA geralmente não precisam de rótulo.
- Forme a equipa. O dever do Artigo 4.º baseia-se no esforço, e uma equipa formada é o controlo de qualidade mais barato que existe. O workshop AI Kickstart é uma sessão de grupo de 90 minutos para uma equipa começar com IA na prática — está em preparação. O Prompt Engineering para Equipas ajuda a manter o resultado alinhado com a marca e revisto.
- Aponte dezembro de 2027 se usa IA em recrutamento. Documente já a supervisão humana na filtragem de currículos e verifique o plano do fornecedor para o novo prazo.
- Escreva uma política de uso de IA de uma página. Ferramentas aprovadas, dados que nunca podem ser colados nelas, a quem perguntar. É um passo prático para o dever de literacia e para uma boa higiene de dados.
Como a CortexLeap ajuda: traduzimos o ponto em que a IA toca as suas operações para uma imagem em linguagem clara. O Diagnóstico de Processos e IA revê até três processos acordados e entrega conclusões escritas e uma lista priorizada de melhorias — um ponto de partida operacional, não uma avaliação de conformidade jurídica.
Perguntas frequentes
O AI Act da UE aplica-se às PME?
Sim. O AI Act organiza-se por risco, não por dimensão. A maioria das PME enfrenta apenas as obrigações de transparência, o dever de literacia em IA e a lista de práticas proibidas. O regime de alto risco aplica-se a usos como recrutamento e crédito — agora a partir de dezembro de 2027.
O que aconteceu a 2 de agosto de 2026?
As obrigações de transparência do Artigo 50.º tornaram-se aplicáveis, com orientações da Comissão adotadas a 20 de julho de 2026. Os chatbots têm de se identificar e o conteúdo realista gerado por IA passa a ser tratado pelas regras de transparência. A execução e o restante regime de coimas seguem o calendário faseado do Artigo 113.º.
As regras de alto risco do AI Act foram adiadas?
Sim. O Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026, adiou o alto risco para 2 de dezembro de 2027 (sistemas autónomos, como recrutamento e crédito) e 2 de agosto de 2028 (IA em produtos regulados). Transparência, literacia e proibições não foram adiadas.
O AI Act aplica-se a empresas portuguesas?
Sim, diretamente — é um regulamento da UE, válido em todo o mercado único. Para empresas fora da UE, o que decide são os critérios do Artigo 2.º: fornecedores que colocam sistemas no mercado da UE e utilizadores implementadores com sede ou localização na UE, bem como fornecedores e utilizadores em países terceiros cuja produção é usada na União. O Reino Unido não tem lei equivalente; depende dos reguladores e do ICO.
Quais são as coimas ao abrigo do AI Act?
Até 35 milhões de euros ou 7% do volume de negócios global anual por práticas proibidas, e até 15 milhões ou 3% para a maioria das outras violações, incluindo transparência. O Artigo 99.º(6) fixa limites mais baixos para PME e start-ups; que autoridade pode aplicar que coima, e por quê, segue a aplicação faseada da lei (Artigo 99.º, Artigo 113.º).
O que é o dever de literacia em IA?
O Artigo 4.º, aplicável desde 2 de fevereiro de 2025: fornecedores e utilizadores implementadores devem tomar medidas que apoiem a literacia em IA dos colaboradores — suavizado pelo Digital Omnibus para um dever baseado no esforço. Um workshop curto mais uma política por escrito é uma resposta proporcionada para muitas pequenas organizações; o que chega depende do seu contexto e da IA que usa.
Mapeie a sua lista de tarefas do AI Act
Agosto de 2026 foi um ponto de controlo, não um penhasco — e dezembro de 2027 já está à vista na estrada. Quem mapear agora os seus pontos de contacto com a IA trata dos deveres de transparência como uma lista de verificação; quem esperar trata disto como uma emergência.
Comece pelo Diagnóstico de Processos e IA — até três processos acordados revistos, conclusões escritas e uma lista priorizada de melhorias.
Forme a equipa com o AI Kickstart — uma sessão de grupo de 90 minutos, em preparação.
Prefere falar primeiro? Marque uma chamada gratuita de 30 minutos e apontamos na direção certa.
Última atualização: 19 de outubro de 2026