IA na empresa.
O que o AI Act já exige.
Mesmo que utilize apenas ferramentas adquiridas, a sua empresa já tem obrigações. Não em 2027, mas hoje.
1 · A empresa…
2 · Usa IA em recrutamento, crédito ou avaliação de pessoas?
O que já se aplica,
e o que se aplicará a seguir.
Literacia em IA
Formação documentada de quem opera IA em nome da empresa. A obrigação mais transversal do regulamento: aplica-se a qualquer utilização de IA.
Práticas proibidas
Manipulação danosa, classificação social, reconhecimento de emoções no trabalho. A coima mais alta do regulamento.
Modelos GPAI
Obrigações dos fornecedores de modelos de finalidade geral e de quem desenvolve produtos com base neles.
Transparência
Quem interage com IA tem de ser informado; o conteúdo sintético tem de estar marcado. Com esta data começou a fiscalização.
Novas proibições e fim do período transitório da marcação de conteúdos gerados.
Risco elevado do anexo III: recrutamento, crédito, avaliação de pessoas. Inicialmente previsto para agosto de 2026, adiado pelo Omnibus.
Risco elevado do anexo I: IA embebida em produtos regulados.
Artigo 25.º: colocar a sua marca num sistema de risco elevado, modificá-lo ou alterar-lhe a finalidade torna-o fornecedor, com todas as obrigações correspondentes. O chatbot em marca branca é o caso típico.
Coima máxima pelas práticas proibidas do artigo 5.º, a mais alta do regulamento.
Pelas restantes obrigações. Para PME aplica-se o valor mais baixo dos dois.
Designada pelo Governo em setembro de 2025 como autoridade de supervisão, em articulação com catorze autoridades setoriais. Já publicou recomendações em consulta.
Seis passos
prioritários.
Por ordem de prioridade. Os três primeiros respondem a obrigações já em vigor e são os que a ANACOM tenderá a verificar primeiro.
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
Sim. Quem utiliza um sistema de IA sob a sua autoridade é «responsável pela implantação» e tem obrigações próprias: garantir a literacia em IA de quem o opera (artigo 4.º, em vigor desde fevereiro de 2025), não o usar em práticas proibidas (artigo 5.º) e cumprir os deveres de transparência aplicáveis (artigo 50.º). As obrigações são menores do que as de quem fornece, mas existem, e a fiscalização começou em agosto de 2026.
Eram, mas o calendário mudou. O Regulamento (UE) 2026/1744, conhecido como Digital Omnibus, entrou em vigor a 27 de julho de 2026 e adiou as obrigações dos sistemas de risco elevado: o anexo III (recrutamento, crédito, avaliação de pessoas) passou para 2 de dezembro de 2027, e o anexo I (IA embebida em produtos regulados) para 2 de agosto de 2028. O que não foi adiado: proibições, literacia, regras GPAI e transparência.
O artigo 4.º obriga fornecedores e utilizadores a garantir que as pessoas que operam sistemas de IA em seu nome têm um nível suficiente de literacia: conhecimento adequado ao contexto, ao sistema e ao seu uso. Aplica-se desde 2 de fevereiro de 2025 e cumpre-se com formação documentada e proporcional. É, na prática, a obrigação mais transversal do regulamento: aplica-se a qualquer organização que utilize IA.
Não confere presunção de conformidade legal: essa só decorre das normas harmonizadas europeias citadas no Jornal Oficial da UE, que ainda estão em preparação. O que a ISO/IEC 42001 proporciona é um sistema de gestão de IA auditável e certificável: governação demonstrável perante clientes e autoridades, e uma antecipação estruturada do que as normas harmonizadas vão exigir.
A ANACOM foi designada pelo Governo, em setembro de 2025, como autoridade nacional de supervisão, coordenando catorze autoridades setoriais. As coimas vão até 35 milhões de euros ou 7% do volume de negócios anual mundial nas práticas proibidas, e até 15 milhões ou 3% nas restantes obrigações, aplicando-se às PME o valor mais baixo.
Não. As duas partilham a mesma estrutura harmonizada das normas de sistemas de gestão, pelo que a 42001 se integra sobre o SGSI existente: contexto, liderança, planeamento e melhoria contínua são comuns, e acrescentam-se os 38 controlos específicos de IA do anexo A. Para quem já tem a 27001 implementada, é uma extensão, não um projeto do zero.
Enquadre a IA da sua empresa no AI Act.
Uma hora para mapear os sistemas de IA que utiliza, o papel que a lei lhe atribui em cada um e as prioridades de ação.
Uma hora, três respostas.
Se está abrangido
E se é entidade essencial ou importante.
O que está por cumprir
Face às dez medidas do artigo 21.º.
De quanto tempo dispõe
Os prazos que se aplicam ao seu caso.
Jorge Miranda
Lead Auditor certificado ISO 27001 e ISO 31000 · Lidera a equipa técnica da N4A
Equipa técnica
Consultores e auditores especializados. Construíram a Plataforma NIS2 Compliance.
Tiago Cerqueira
Account Manager · Responsável comercial do seu projeto
Equipa comercial
Account managers e gestão de clientes.