A 2 de Agosto de 2026, o AI Act passa a ser plenamente aplicável em toda a União Europeia, Portugal incluído. É a primeira lei abrangente sobre inteligência artificial no mundo e vai afectar qualquer empresa que use IA — desde a multinacional com modelos próprios até à PME com um chatbot no WhatsApp.
Para a maioria dos empresários portugueses, não é razão para pânico. É razão para preparação. Este artigo explica, sem juridiquês, o que o AI Act exige, em que casos a sua empresa cai, e o que tem de fazer já.
O que é o AI Act, em duas linhas
O Regulamento (UE) 2024/1689 estabelece regras harmonizadas para o desenvolvimento, comercialização e uso de sistemas de IA na União Europeia. Entrou em vigor a 1 de Agosto de 2024, com obrigações a aplicar-se de forma faseada até 2027.
A lógica é simples: classifica sistemas de IA por nível de risco e aplica obrigações proporcionais.
Os 4 níveis de risco e o que cada um implica
Risco inaceitável — proibido. Práticas como social scoring por entidades privadas, manipulação subliminar prejudicial, exploração de vulnerabilidades, reconhecimento de emoções no local de trabalho ou em escolas, categorização biométrica para inferir raça, religião ou orientação sexual. Já estão proibidas desde 2 de Fevereiro de 2025.
A esmagadora maioria das PMEs não cai aqui. Mas vale a pena verificar — algumas ferramentas de RH ou de análise de comportamento podem aproximar-se desta linha.
Risco elevado. Sistemas de IA usados em áreas sensíveis: recrutamento e selecção, avaliação de crédito, dispositivos médicos, infraestruturas críticas, educação (avaliação de alunos), aplicação da lei, gestão de fronteiras. Aqui as obrigações são pesadas: avaliação de conformidade, documentação técnica, gestão de qualidade, supervisão humana, registo de actividade.
Se a sua empresa usa IA para decidir quem contratar, conceder crédito, ou em equipamentos médicos — está aqui. Se não, provavelmente não.
Risco limitado. Esta é a categoria onde cai a esmagadora maioria das PMEs. Inclui chatbots, assistentes virtuais, IA generativa para criar conteúdo, ferramentas de análise de dados. As obrigações são essencialmente de transparência.
Risco mínimo. Filtros de spam, recomendações simples, IA em jogos. Sem obrigações.
As 4 obrigações concretas para PMEs (com exemplos)
1. Transparência em chatbots
Quando um cliente interage com um sistema de IA — chatbot no WhatsApp, no site, num formulário —, tem direito a saber. O bot deve declará-lo de forma clara, idealmente na primeira mensagem.
Como cumprir: uma frase como "Olá, sou o assistente virtual da [empresa]. Posso ajudar com..." resolve. Não precisa de ser intrusivo, mas tem de estar lá.
2. Identificação de conteúdo gerado por IA
Imagens, vídeos, textos ou áudio gerados ou substancialmente modificados por IA devem ser identificados como tal — em metadados ou de forma visível ao utilizador, conforme o caso.
Como cumprir: ao publicar uma imagem gerada por Midjourney ou DALL-E, identifique-a (no rodapé, em metadados, em legenda). O mesmo para deepfakes ou vozes sintéticas.
3. Literacia em IA (já aplicável desde Fevereiro de 2025)
Toda a empresa que use sistemas de IA tem obrigação de garantir que os colaboradores envolvidos têm um nível adequado de literacia em IA. Isto não exige certificações formais, mas implica formação documentada.
Como cumprir: sessões internas (1-2 horas) sobre o que é IA, riscos, boas práticas, casos de uso na empresa. Registar quem assistiu, quando, conteúdo. Para PMEs, isto pode ser feito anualmente. Existem cursos online gratuitos suficientes para PMEs sem departamento de formação.
4. Avaliação de risco antes de implementar
Antes de pôr um novo sistema de IA em produção, é boa prática (e em alguns casos obrigatório) fazer avaliação de risco. Para sistemas que processem dados pessoais em larga escala, soma-se a Avaliação de Impacto sobre a Protecção de Dados (AIPD) já exigida pelo RGPD.
Como cumprir: documento simples (3-5 páginas) que descreva o que o sistema faz, que dados usa, que riscos identifica, que mitigações aplica. Para uma PME, isto resolve-se com modelos prontos disponibilizados pela CNPD ou por consultoras.
Coimas: o tamanho do incentivo
As multas previstas no AI Act são significativas:
- Infracções muito graves (uso de práticas proibidas): até 35 milhões de euros ou 7% do volume de negócios global.
- Infracções graves (incumprimento de obrigações de sistemas de risco elevado): até 15 milhões ou 3%.
- Infracções leves (informação incorrecta a autoridades): até 7,5 milhões ou 1,5%.
Para PMEs, aplica-se sempre o valor mais baixo entre os dois — mas mesmo assim suficiente para ser dissuasor. Para uma PME com 1 milhão de euros de facturação, uma infracção grave pode significar 30.000 € de coima.
Datas-chave para 2026 e 2027
- 2 de Agosto de 2025 (já aplicável): obrigações para fornecedores de modelos de propósito geral (GPT, Claude, Gemini, Mistral). Afecta sobretudo os fornecedores, não os utilizadores PMEs.
- 2 de Agosto de 2026: entrada plena. Obrigações de transparência, supervisão de chatbots, classificação de sistemas, regras para sistemas de risco elevado novos.
- 2 de Agosto de 2027: sistemas de risco elevado já no mercado têm de estar em conformidade total.
Em Março de 2026, o Parlamento Europeu aprovou alterações no chamado Digital Omnibus on AI que poderão atrasar parte das obrigações para sistemas de risco elevado, devido a atrasos na publicação das normas técnicas. Não conte com o adiamento. Os principais escritórios de advocacia europeus continuam a recomendar planeamento como se Agosto de 2026 fosse a data firme.
Checklist prática: 7 passos para a sua PME estar pronta
1. Inventário de sistemas de IA. Liste todos os sistemas e ferramentas de IA usados na empresa — internos e em produtos externos. Inclua chatbots, ferramentas de análise, geradores de conteúdo, assistentes integrados em CRMs ou ERPs.
2. Classificação por nível de risco. Para cada sistema, identifique em que categoria cai. A maior parte cairá em risco limitado ou mínimo.
3. Verificação de práticas proibidas. Confirme que nenhuma ferramenta usada cai em risco inaceitável (raro, mas vale a pena verificar).
4. Avaliação de fornecedores. Para cada sistema externo, peça documentação ao fornecedor sobre conformidade com o AI Act. Fornecedores sérios já têm.
5. Implementação da transparência. Adicione disclaimers em chatbots e identifique conteúdo gerado por IA.
6. Plano de literacia. Defina formação base para colaboradores que usam IA. Documente.
7. Documentação básica. Mantenha registo do inventário, classificação, fornecedores, formações. Em caso de auditoria pela autoridade competente, é o que vai pedir-se.
Para uma visão mais ampla sobre como a IA pode (e deve) ser usada em PMEs portuguesas, consulte o nosso guia completo de IA para PMEs em Portugal.
Quem fiscaliza em Portugal?
Cada Estado-Membro deve designar autoridades nacionais competentes. Em Portugal, espera-se que a articulação envolva a CNPD (para questões de dados pessoais) e uma autoridade nacional dedicada à supervisão de IA. Em Março de 2026, apenas 8 dos 27 Estados-Membros tinham designado o seu ponto único de contacto — Portugal está em fase final de definição.
Independentemente de quem fiscaliza, a recomendação é a mesma: estar pronto. Empresas que esperem pela primeira coima para reagir vão pagar caro.
Como a ZiiZ pode ajudar
Na ZiiZ Portugal, todos os sistemas de IA que implementamos para PMEs são entregues já em conformidade com o AI Act e o RGPD. Para empresas que querem fazer uma avaliação completa do que usam hoje e do que precisam de ajustar, oferecemos auditoria de conformidade IA: inventário de sistemas, classificação de risco, identificação de gaps e plano de adequação.
Agende uma sessão de 30 minutos em www.ziiz.pt para perceber se a sua empresa está pronta para Agosto de 2026 — e o que precisa de fazer se ainda não estiver.
Este artigo é de natureza informativa e não constitui aconselhamento jurídico. Para casos específicos, consulte um advogado especializado em direito digital. Última actualização: 26 de Abril de 2026.
Perguntas frequentes
Quando o AI Act se aplica plenamente?
2 de Agosto de 2026 marca a aplicação plena. Práticas proibidas e literacia em IA já são aplicáveis desde 2 de Fevereiro de 2025. Sistemas de risco elevado já no mercado têm até 2 de Agosto de 2027.
Quais as coimas por incumprimento?
Até 35 milhões de euros ou 7% do volume de negócios global para práticas proibidas. Até 15 milhões ou 3% para incumprimentos graves. Para PMEs aplica-se sempre o valor mais baixo entre os dois.
O meu chatbot cai em risco elevado?
Quase certamente não. Chatbots e assistentes virtuais caem em risco limitado, com obrigações apenas de transparência (disclaimer de IA). Risco elevado está reservado para recrutamento, crédito, saúde, educação e infraestruturas críticas.
A literacia em IA é mesmo obrigatória?
Sim, desde 2 de Fevereiro de 2025. Toda a empresa que usa sistemas de IA deve garantir formação adequada aos colaboradores envolvidos. Não exige certificação formal mas tem de ser documentada.
Equipa ZiiZ Portugal
Especialistas em inteligência artificial, chatbots e automação para PMEs em Portugal. Sede em Lisboa, suporte em português europeu, conformidade total com RGPD e AI Act.
