Tem IA na empresa.
O que é que isso o obriga a fazer?
Mesmo que só use ferramentas compradas, já tem obrigações. Não em 2027, mas hoje.
1 · A empresa…
2 · Usa IA em recrutamento, crédito ou avaliação de pessoas?
O que já se aplica,
e o que vem a caminho.
Literacia em IA
Formação documentada de quem opera IA em nome da empresa. A obrigação mais transversal do regulamento: basta usar IA para a ter.
Práticas proibidas
Manipulação danosa, social scoring, reconhecimento de emoções no trabalho. A coima mais alta do regulamento.
Modelos GPAI
Obrigações de quem fornece os grandes modelos, e de quem constrói produtos sobre eles.
Transparência
Quem interage com IA tem de o saber; conteúdo sintético tem de estar marcado. Com esta data começou a fiscalização.
Novas proibições e fim do período transitório da marcação de conteúdos gerados.
Risco elevado do anexo III: recrutamento, crédito, avaliação de pessoas. Era agosto de 2026, adiado pelo Omnibus.
Risco elevado do anexo I: IA embebida em produtos regulados.
Artigo 25.º: pôr a sua marca num sistema de risco elevado, modificá-lo, ou mudar-lhe a finalidade torna-o fornecedor, com as obrigações todas. O chatbot em white-label é o caso típico.
Coima máxima pelas práticas proibidas do artigo 5.º, a mais alta do regulamento.
Pelas restantes obrigações. Para PME aplica-se o valor mais baixo dos dois.
Designada pelo Governo em setembro de 2025 para supervisionar, com catorze autoridades setoriais. Já publicou recomendações em consulta.
Seis passos para
esta semana.
Por ordem. Os três primeiros respondem a obrigações que já estão em vigor, e são os que a ANACOM vai olhar primeiro.
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
Sim. Quem utiliza um sistema de IA sob a sua autoridade é «responsável pela implantação» e tem obrigações próprias: garantir a literacia em IA de quem o opera (artigo 4.º, em vigor desde fevereiro de 2025), não o usar em práticas proibidas (artigo 5.º) e cumprir os deveres de transparência aplicáveis (artigo 50.º). As obrigações são menores do que as de quem fornece, mas não são zero, e a fiscalização começou em agosto de 2026.
Eram, mas o calendário mudou. O Regulamento (UE) 2026/1744, conhecido como Digital Omnibus, entrou em vigor a 27 de julho de 2026 e adiou as obrigações dos sistemas de risco elevado: o anexo III (recrutamento, crédito, avaliação de pessoas) passou para 2 de dezembro de 2027, e o anexo I (IA embebida em produtos regulados) para 2 de agosto de 2028. O que não foi adiado: proibições, literacia, regras GPAI e transparência.
O artigo 4.º obriga fornecedores e utilizadores a garantir que as pessoas que operam sistemas de IA em seu nome têm um nível suficiente de literacia: conhecimento adequado ao contexto, ao sistema e ao seu uso. Aplica-se desde 2 de fevereiro de 2025 e cumpre-se com formação documentada e proporcional. É, na prática, a obrigação mais transversal do regulamento: basta usar IA para a ter.
Não confere presunção de conformidade legal: essa só decorre das normas harmonizadas europeias citadas no Jornal Oficial da UE, que ainda estão em preparação. O que a ISO/IEC 42001 dá é um sistema de gestão de IA auditável e certificável: governação demonstrável perante clientes e autoridades, e avanço estruturado sobre o que as normas harmonizadas vão exigir.
A ANACOM foi designada pelo Governo, em setembro de 2025, como autoridade nacional de supervisão, coordenando catorze autoridades setoriais. As coimas vão até 35 milhões de euros ou 7% do volume de negócios anual mundial nas práticas proibidas, e até 15 milhões ou 3% nas restantes obrigações, aplicando-se às PME o valor mais baixo.
Não. As duas partilham a mesma estrutura harmonizada das normas de sistemas de gestão, pelo que a 42001 se integra sobre o SGSI existente: contexto, liderança, planeamento e melhoria contínua são comuns, e acrescentam-se os 38 controlos específicos de IA do anexo A. Para quem já vive a 27001, é uma extensão, não um projeto do zero.
A IA entrou na empresa antes das regras?
Uma hora para mapear os sistemas de IA que usa, o papel que a lei lhe atribui em cada um, e o que fazer primeiro.
Uma hora, três respostas.
Se está abrangido
E se é entidade essencial ou importante.
O que lhe falta
Face às dez medidas do artigo 21.º.
Quanto tempo tem
Os prazos que se aplicam ao seu caso.
Jorge Miranda
Lead Auditor certificado ISO 27001 e ISO 31000 · CEO da N4A
Equipa técnica
Consultores e auditores especializados. Construíram a Plataforma NIS2 Compliance.
Tiago Cerqueira
Account Manager · Responsável comercial do seu projeto
Equipa comercial
Account managers e gestão de clientes.