EU AI Act: Porque é que os gestores não devem esperar até 2027?

Há uma ideia confortável que começa a circular em algumas organizações: o EU AI Act foi adiado para 2027 e, portanto, ainda há tempo.

É uma ideia confortável. Mas está errada.

O que foi adiado não foi o Regulamento da Inteligência Artificial no seu conjunto. Foram algumas obrigações aplicáveis a determinadas categorias de sistemas de alto risco. O AI Act entrou em vigor em 1 de agosto de 2024, as proibições relativas a práticas de risco inaceitável e as obrigações de literacia em IA começaram a aplicar-se em 2 de fevereiro de 2025, as regras de governação e as obrigações relativas aos modelos de General-Purpose AI (GPAI) tornaram-se aplicáveis em 2 de agosto de 2025 e a generalidade do Regulamento passou a ser aplicável em 2 de agosto de 2026. Desde essa data, a Comissão Europeia e as autoridades nacionais dispõem de poderes efetivos de supervisão e fiscalização. [1]

O AI Omnibus, que entrou em vigor em 27 de julho de 2026, transferiu para 2 de dezembro de 2027 a aplicação das regras relativas aos sistemas de alto risco do Anexo III, onde se incluem determinadas utilizações em áreas como recursos humanos, educação, infraestruturas críticas, biometria, migração e acesso a serviços essenciais. Para os sistemas de alto risco integrados em produtos regulados do Anexo I, como máquinas, brinquedos ou elevadores, o prazo foi alargado até 2 de agosto de 2028. [2]

2027 não é, por isso, a data em que o AI Act começa. É apenas uma das datas de um calendário que já começou há dois anos e cuja principal fase de aplicação já está em curso.

A Inteligência Artificial já entrou nas empresas antes de a gestão ter criado regras

O primeiro erro de um gestor é pensar que a sua empresa não utiliza Inteligência Artificial porque ainda não aprovou formalmente um projeto de IA.

A IA pode já estar integrada no CRM, no ERP, nas plataformas de recrutamento, nas ferramentas de marketing, nos sistemas de cibersegurança, no software de produtividade, no atendimento ao cliente, na análise de dados ou nas aplicações que os trabalhadores utilizam individualmente. Pode ter entrado através de um contrato central, de uma funcionalidade acrescentada pelo fornecedor ou, simplesmente, através da iniciativa de um colaborador que começou a utilizar uma ferramenta pública para resumir documentos, traduzir textos, preparar propostas ou analisar informação.

Os dados do Eurostat ajudam a perceber a dimensão desta realidade. Em 2025, 20 % das empresas da União Europeia com dez ou mais trabalhadores utilizavam pelo menos uma tecnologia de IA. Nas grandes empresas, a percentagem atingia 55 %. Mais importante ainda, 44 % das grandes empresas utilizavam pelo menos duas tecnologias de IA e 33,6 % utilizavam três ou mais. [3]

Em Portugal, a utilização de IA abrangia 11,5 % das empresas, um valor significativamente inferior à média europeia. Mas, quando olhamos apenas para as grandes empresas portuguesas, essa percentagem subia para 49,2 %. Quase metade das grandes organizações em Portugal já utilizava IA em 2025. Portanto, para um número muito significativo de Diretores Gerais, o AI Act não está a regular uma intenção para o futuro. Está a regular uma realidade que já existe dentro da organização, mesmo que ainda não esteja devidamente identificada, classificada ou governada.

Este é o verdadeiro problema. Em muitas empresas, a adoção tecnológica está a avançar mais depressa do que a capacidade da gestão para saber onde a tecnologia é utilizada, que dados recebe, que decisões influencia e quem responde pelos seus resultados.

O AI Act não se aplica apenas às empresas que desenvolvem IA

Existe um segundo equívoco que precisa de ser eliminado. Muitas organizações acreditam que o Regulamento interessa apenas às grandes empresas tecnológicas que criam modelos de IA.

Não é assim.

O AI Act distingue vários intervenientes, incluindo providers e deployers. Uma empresa é deployer quando utiliza um sistema de IA sob a sua autoridade no exercício da sua atividade profissional. Isso significa que uma organização pode não ter desenvolvido uma única linha de código e, ainda assim, ter responsabilidades concretas sobre a forma como utiliza IA.

A própria Comissão Europeia responde de forma muito clara a uma pergunta prática: uma empresa cujos trabalhadores utilizam ChatGPT para escrever textos publicitários ou realizar traduções está abrangida pela obrigação de literacia em IA? A resposta é sim. Os trabalhadores devem conhecer os riscos específicos da ferramenta, incluindo a possibilidade de hallucinations. [4]

Esta obrigação não exige que todos se transformem em engenheiros de Machine Learning, nem impõe um certificado único ou uma formação igual para toda a empresa. Exige que providers e deployers tomem medidas para apoiar o desenvolvimento da literacia em IA das pessoas que utilizam estes sistemas em seu nome, considerando o conhecimento, a experiência, a função desempenhada, o contexto de utilização e o impacto sobre as pessoas afetadas.

Uma equipa de marketing, um técnico de recursos humanos, um jurista, um responsável de compras e um administrador não precisam do mesmo conhecimento técnico. Mas todos precisam de compreender o que podem fazer, o que não devem fazer, quais os dados que não podem introduzir, quando devem verificar um resultado e quem assume a responsabilidade pela decisão final.

Esperar por 2027 não elimina as obrigações que já existem

Desde 2 de fevereiro de 2025 são aplicáveis as proibições relativas a determinadas práticas de IA consideradas incompatíveis com os valores e os direitos fundamentais da União Europeia. Desde 2 de agosto de 2026 aplicam-se também obrigações de transparência a certos sistemas e conteúdos gerados ou manipulados por IA.

Isto inclui, nas condições previstas no artigo 50.º, a informação às pessoas quando interagem diretamente com determinados sistemas de IA, a identificação de deepfakes e a divulgação da utilização de IA em textos publicados com o objetivo de informar o público sobre matérias de interesse público, sem prejuízo das exceções previstas para conteúdos sujeitos a revisão humana e responsabilidade editorial. Não significa que cada email ou cada imagem tratada com IA tenha obrigatoriamente de receber uma etiqueta. Significa que a empresa precisa de saber distinguir o que está abrangido do que não está. [5]

Além disso, o AI Act não substitui o RGPD, a legislação laboral, as regras de defesa do consumidor, os direitos de autor, a cibersegurança, a responsabilidade contratual ou os deveres de não discriminação. Uma obrigação do AI Act que só se torne aplicável em 2027 não suspende todas as outras normas que já hoje condicionam a utilização de dados pessoais, a monitorização dos trabalhadores, a seleção de candidatos, a avaliação de desempenho ou a tomada automatizada de decisões.

Uma empresa que decida esperar pode descobrir, demasiado tarde, que o seu problema nunca foi apenas cumprir uma data. Foi ter permitido que decisões, dados, processos e contratos evoluíssem durante dois ou três anos sem uma arquitetura de governação coerente.

O custo da espera não se mede apenas pelas coimas

O regime sancionatório deve ser levado a sério. Dependendo da infração e do papel desempenhado pela organização, as violações relativas a práticas proibidas podem atingir 35 milhões de euros ou 7 % do volume de negócios anual mundial. Outras infrações podem chegar a 15 milhões de euros ou 3 %, enquanto a prestação de informação incorreta, incompleta ou enganosa às autoridades pode atingir 7,5 milhões de euros ou 1 % do volume de negócios anual mundial. [6]

Mas reduzir o AI Act às coimas seria um erro de gestão. O custo pode surgir antes da sanção e assumir outras formas: perda de confiança dos clientes, conflitos laborais, danos reputacionais, utilização indevida de informação confidencial, discriminação de candidatos, decisões comerciais baseadas em informação falsa, dependência excessiva de um fornecedor, impossibilidade de demonstrar como uma decisão foi tomada ou necessidade de suspender um sistema já integrado num processo crítico.

Há ainda o custo da oportunidade perdida. A Agenda Nacional de Inteligência Artificial estima que uma adoção rápida de IA poderá acrescentar entre 18 e 22 mil milhões de euros ao PIB português na próxima década e aumentar até 2,7 pontos percentuais o contributo da produtividade para o crescimento. [7]

O objetivo de uma boa governação não é travar esta oportunidade. É permitir que a empresa a aproveite de forma segura, repetível e escalável. Uma organização que conhece os seus sistemas, os seus dados, os seus riscos e as suas responsabilidades consegue aprovar melhores projetos e fazê-lo mais rapidamente. A empresa que não tem governação hesita em tudo ou avança sem controlo. Nenhuma das duas situações é competitiva.

O principal bloqueio não é tecnológico

Entre as empresas europeias que tinham considerado utilizar IA, mas decidiram não avançar, 70,3 % indicaram a falta de competências relevantes como uma das principais razões. A falta de clareza sobre as consequências jurídicas foi referida por 53,6 % e as preocupações com a proteção de dados e a privacidade por 52,7 %.

Nas grandes empresas, os números são igualmente expressivos: 65,1 % referiram falta de competências, 51,2 % falta de clareza jurídica e 58,8 % preocupações com proteção de dados e privacidade. [3]

Estes dados mostram que a resposta não pode ser entregue exclusivamente ao departamento jurídico, à equipa de IT ou à Direção de Recursos Humanos. O AI Act é um tema de gestão porque obriga a ligar estratégia, tecnologia, pessoas, dados, risco, processos e responsabilidade.

O Diretor Geral não precisa de conhecer cada detalhe técnico do modelo. Precisa, no entanto, de conseguir responder a perguntas muito concretas. Que sistemas de IA estão a ser utilizados? Para que finalidades? Quem é o responsável por cada utilização? Que dados entram no sistema? Que pessoas podem ser afetadas? O resultado apenas apoia uma decisão ou determina essa decisão? Existe human oversight real? O fornecedor entrega a documentação necessária? Há registos, mecanismos de monitorização e um procedimento para comunicar incidentes ou suspender a utilização?

Se a organização não consegue responder, não tem ainda controlo suficiente sobre a sua utilização de Inteligência Artificial.

O que deve fazer um gestor agora?

Não é necessário começar por criar uma estrutura burocrática pesada. É necessário começar por conhecer a realidade.

Nos primeiros 30 dias, a organização deve construir um inventário vivo dos sistemas e funcionalidades de IA que utiliza, incluindo as ferramentas contratadas, as funcionalidades incorporadas em software já existente e as utilizações informais feitas pelas equipas. Um inventário que registe apenas o nome do fornecedor é insuficiente. Deve identificar a finalidade, o processo de negócio, o responsável interno, os dados utilizados, as pessoas afetadas e o grau de influência da IA sobre a decisão.

Nos 30 dias seguintes, deve classificar os casos de utilização, confirmar o papel da empresa na cadeia de valor, avaliar os riscos e estabelecer prioridades. Uma empresa pode ser apenas deployer num caso e assumir responsabilidades mais próximas das de provider noutro, por exemplo quando altera substancialmente um sistema, o integra numa solução própria ou o coloca no mercado com a sua marca.

No terceiro mês, deve formalizar regras proporcionais ao risco. Isto implica definir utilizações autorizadas e proibidas, criar níveis de aprovação, rever contratos com fornecedores, estabelecer requisitos de documentação e notificação de incidentes, organizar formação por função, manter registos das ações de literacia, garantir human oversight e criar um processo de monitorização contínua.

A Comissão Europeia esclarece que não é obrigatório criar um AI Officer ou uma comissão específica apenas para cumprir a obrigação de literacia. Mas isso não significa que a responsabilidade possa ficar sem dono. Cada organização deve escolher a estrutura mais adequada à sua dimensão e ao seu risco. O que não pode fazer é distribuir a responsabilidade por todos de uma forma que, na prática, a deixe nas mãos de ninguém.

Para os sistemas de alto risco, as obrigações dos deployers são ainda mais exigentes. Incluem medidas técnicas e organizacionais adequadas, utilização de acordo com as instruções, human oversight por pessoas com competência e autoridade, monitorização do funcionamento, conservação de logs durante um período adequado de pelo menos seis meses, gestão dos dados de entrada e comunicação de riscos ou incidentes. [8] A aplicação futura de algumas destas obrigações não é uma razão para adiar o trabalho. É precisamente a razão para o começar enquanto ainda existe tempo para corrigir processos, contratos e sistemas sem perturbar a operação.

2027 é um marco, não é o ponto de partida

Os gestores não devem esperar até 2027 porque a IA já está nas suas empresas, porque várias obrigações já se aplicam, porque a fiscalização já começou e porque construir governação, competências, documentação e controlo leva tempo.

Mas há uma razão ainda mais importante. Uma empresa não se prepara para o AI Act apenas para evitar uma coima. Prepara-se para saber utilizar Inteligência Artificial com qualidade, segurança e responsabilidade. Prepara-se para transformar experiências isoladas em capacidade organizacional. Prepara-se para inovar sem perder o controlo.

Esperar por 2027 significa tratar a regulação como uma data administrativa. Agir agora significa tratar a Inteligência Artificial como uma decisão estratégica.

E essa decisão já está na agenda dos gestores, quer eles a tenham colocado lá ou não.

Sobre o autor

Rui Coelho da Silva

Especialista em Inteligência Artificial aplicada às organizações

Autor do estudo “O que os Diretores Gerais das Grandes Empresas Querem Saber sobre Inteligência Artificial”; coordenador da Pós-Graduação de IA para Negócios desde 2023; empreendedor e especialista em IA aplicada às organizações.

Ver perfil profissional no LinkedIn →