O Regulamento de IA da UE: Um Guia de Conformidade em Linguagem Simples para PME

Tem uma pequena empresa europeia. Usa IA, talvez um chatbot no site, um copiloto no editor de código ou uma funcionalidade de IA escondida dentro de software que já paga. E algures leu que o Regulamento de IA da UE pode aplicar coimas de até 35 milhões de euros. Esse número é real. Também é, quase de certeza, uma ameaça que não lhe diz respeito.

Este é um guia em linguagem simples sobre o que o Regulamento de IA da UE exige, de facto, a uma pequena ou média empresa. Não a versão do advogado, mas a versão de quem opera: o que é, que partes se aplicam a si, os prazos que interessam e uma lista concreta do que fazer. Cada data, artigo e número abaixo vem do próprio regulamento ou de fontes oficiais da UE, e ficam listados para que os possa confirmar.

Este é conteúdo educativo, não aconselhamento jurídico. É escrito para fundadores e gestores, não para juristas, e simplifica de propósito. É também uma área em rápida mudança: uma alteração de 2026 ao calendário foi acordada, mas ainda não está em vigor, pelo que tudo ainda está a estabilizar. Para decisões com exposição real, procure aconselhamento de um profissional qualificado e confirme o texto atual.

O que é, de facto, o Regulamento de IA da UE

O Regulamento de IA da UE é o Regulamento (UE) 2024/1689, a primeira lei abrangente do mundo sobre inteligência artificial. Entrou em vigor a 1 de agosto de 2024 e aplica-se aos 27 Estados-Membros da UE. Tal como o RGPD antes dele, chega para lá da Europa: pode aplicar-se a uma empresa em qualquer parte do mundo se o resultado do seu sistema de IA for usado na UE.

A ideia central é simples e vale a pena reter, porque dissolve a maior parte do pânico: o Regulamento assenta no risco. Não regula «a IA» como uma coisa só. Ordena as utilizações da IA por níveis e aplica regras mais pesadas apenas onde o risco para as pessoas é maior. A grande maioria da IA do dia a dia de um negócio fica na base dessa pirâmide, onde as regras são leves.

Os quatro níveis de risco

O Regulamento ordena a IA em quatro níveis de risco.

1. Risco inaceitável, proibido por completo. Uma lista curta e definida (oito categorias no Artigo 5.º) de práticas de IA consideradas uma ameaça clara à segurança e aos direitos das pessoas. São totalmente proibidas. Incluem:

• Técnicas manipuladoras ou enganadoras que distorcem materialmente o comportamento e causam dano
• Explorar vulnerabilidades de idade, deficiência ou de uma situação social ou económica específica
• Classificação social (avaliar pessoas com base no comportamento social, levando a tratamento injusto)
• Criar ou expandir bases de dados de reconhecimento facial através da recolha não direcionada de rostos da internet ou de videovigilância
• Reconhecimento de emoções no local de trabalho e no ensino (com exceções restritas de saúde ou segurança)
• Categorização biométrica para inferir traços sensíveis como raça, opinião política ou orientação sexual

A maioria das pequenas empresas nunca lhes tocará, mas a proibição do reconhecimento de emoções é uma a conhecer, caso alguma vez lhe tenham apresentado software que diz ler o humor de trabalhadores ou alunos.

2. Risco elevado, permitido mas com obrigações estritas. IA usada em áreas que podem afetar seriamente a saúde, a segurança ou os direitos fundamentais. É aqui que vive a verdadeira carga de conformidade: gestão de risco, documentação, supervisão humana, avaliação de conformidade. Os casos do Anexo III mais relevantes para uma PME são:

• Recrutamento e emprego, ao filtrar candidaturas, avaliar candidatos ou decidir promoções e atribuição de tarefas
• Avaliação da solvabilidade e notação de crédito de pessoas (a deteção de fraude fica de fora)
• Acesso a serviços e prestações essenciais, como decisões de elegibilidade para cuidados de saúde ou apoios sociais
• Ensino, incluindo admissões, avaliação e monitorização de exames

Se a sua empresa usa IA para decisões de contratação ou de crédito sobre pessoas, este é o nível a levar a sério.

3. Risco limitado, apenas transparência. IA que interage com pessoas ou gera conteúdo. Sem avaliação de conformidade; o dever é ser honesto quanto ao envolvimento da IA. É o nível onde a maioria das PME vai mesmo cair, e está coberto pelo Artigo 50.º (mais abaixo).

4. Risco mínimo, sem regras novas. Tudo o resto: filtros de spam, motores de recomendação, IA em videojogos, a maioria das ferramentas de produtividade. A orientação oficial da UE é explícita: a grande maioria dos sistemas de IA em uso fica aqui. Nada de novo é exigido.

Os prazos que interessam mesmo

O Regulamento não entra em vigor tudo de uma vez. É faseado e, ponto importante, duas das fases já estão em vigor. Eis o calendário fixado pelo Artigo 113.º do regulamento, com a alteração de 2026 assinalada.

Data	O que se aplica	Estado
1 ago 2024	O regulamento entra em vigor	Concluído
2 fev 2025	Práticas proibidas banidas; obrigação de literacia em IA	Em vigor agora
2 ago 2025	Regras de governação, obrigações dos modelos de finalidade geral e o regime de coimas	Em vigor agora
2 ago 2026	Obrigações de transparência (Artigo 50.º)	Próxima
2 dez 2027	Sistemas de risco elevado do Anexo III (autónomos), adiamento proposto	Acordado, ainda não em vigor
2 ago 2028	IA de risco elevado dentro de produtos regulados (Anexo I), adiamento proposto	Acordado, ainda não em vigor

Há duas coisas a retirar desta tabela.

Primeiro, as partes já em vigor são as partes que se aplicam à maioria das pequenas empresas. As proibições, e a obrigação de que quem usa IA tenha uma compreensão básica dela, são vinculativas desde fevereiro de 2025. Não tem até 2027 para pensar nisso.

Segundo, os prazos de risco elevado estão prestes a mudar, mas a alteração ainda não é lei. As obrigações pesadas estavam previstas para 2 de agosto de 2026. Em 2026, os colegisladores da UE acordaram um pacote conhecido como Digital Omnibus (proposto pela Comissão a 19 de novembro de 2025, adotado pelo Parlamento Europeu a 16 de junho de 2026 e com a luz verde final do Conselho a 29 de junho de 2026) que os adiaria: os sistemas autónomos de risco elevado para 2 de dezembro de 2027 e a IA integrada em produtos regulados para 2 de agosto de 2028. Mas acordado não é o mesmo que em vigor: à data em que isto é escrito, o pacote ainda não foi publicado no Jornal Oficial da UE e, até que o seja, a data original de 2 de agosto de 2026 continua a ser a juridicamente vinculativa. É exatamente o tipo de detalhe que envelhece depressa: trate as datas mais tardias como acordadas mas pendentes, não como algo gravado em pedra, e confirme o estado atual antes de planear com base nelas.

As regras de transparência, as que a maioria das PME vai encontrar (Artigo 50.º)

Se alguma parte do Regulamento toca diretamente na sua empresa, é provavelmente esta. O Artigo 50.º aplica-se a partir de 2 de agosto de 2026 e exige divulgação em algumas situações específicas, seja qual for o nível de risco:

• Chatbots e assistentes de IA: se as pessoas interagem diretamente com um sistema de IA, têm de ser informadas de que estão a lidar com IA (a menos que seja óbvio).
• Conteúdo gerado por IA: os resultados da IA generativa têm de ser assinalados como gerados artificialmente, de forma legível por máquina. (O curto período de tolerância até 2 de dezembro de 2026 para esta obrigação de marcação faz parte do mesmo pacote Digital Omnibus descrito acima, acordado mas ainda não em vigor, pelo que deve ser tratado como provisório.)
• Deepfakes: se publica imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, lugares ou acontecimentos reais, tem de revelar que é artificial, mesmo que não houvesse intenção de enganar.
• Texto gerado por IA sobre assuntos de interesse público: tem de ser revelado como gerado por IA quando publicado para informar o público.

Para a maioria das PME isto é muito fazível: identifique o chatbot como um bot e seja honesto quando publica algo que uma IA criou. É esse o espírito da regra.

IA de finalidade geral (GPAI): quase nunca é problema seu

Vai ouvir falar muito das obrigações de IA de finalidade geral. Para uma PME típica, a boa notícia é que estas obrigações recaem sobre os fornecedores dos modelos, as empresas que constroem os grandes modelos de finalidade geral, e não sobre si enquanto utilizador desses modelos. Os fornecedores têm de disponibilizar documentação técnica, respeitar as regras de direitos de autor e publicar um resumo dos conteúdos de treino. Presume-se que um modelo tem capacidades de elevado impacto («risco sistémico») quando a computação usada para o treinar excede 10²⁵ operações de vírgula flutuante (Artigo 51.º), mas trata-se de uma presunção ilidível e não de um limiar automático. Esses modelos têm deveres acrescidos.

A conclusão prática: quase nunca é o «fornecedor» aqui. Basta manter um registo das ferramentas e dos modelos de IA em que se apoia, para poder apontar para a documentação do fornecedor se lhe pedirem.

As coimas, e a proteção para as pequenas empresas

As coimas são reais e são escalonadas pela gravidade da infração (Artigo 99.º):

• Práticas proibidas (a lista do Artigo 5.º): até 35 milhões de euros ou 7 % do volume de negócios anual mundial, consoante o que for mais elevado.
• Outras obrigações (deveres de risco elevado, transparência, etc.): até 15 milhões de euros ou 3 %, consoante o que for mais elevado.
• Prestação de informações incorretas ou enganosas às autoridades: até 7,5 milhões de euros ou 1 %, consoante o que for mais elevado.

Agora a parte escrita a pensar em si. Para as PME e as empresas em fase de arranque, o Regulamento inverte o cálculo: a coima é o montante ou a percentagem, consoante o que for mais baixo, o contrário da regra «o que for mais elevado» que se aplica às grandes empresas. A exposição de uma pequena empresa é limitada pela sua dimensão, não multiplicada por ela. O número de 35 milhões de euros é um teto para grandes empresas, não uma ameaça apontada a um negócio de cinco pessoas.

O que uma PME tem mesmo de fazer, uma lista

Eis a versão prática, para fazer hoje.

1. Inventarie a sua IA. Liste todos os sistemas de IA que usa ou constrói, incluindo funcionalidades de IA embutidas em software que já paga. Não se classifica o que não está escrito.
2. Classifique cada um por nível de risco. A maioria será mínimo ou limitado. Assinale tudo o que toque em recrutamento, crédito, avaliação no ensino ou serviços essenciais (potencial risco elevado) e tudo o que se pareça com a lista de proibições.
3. Pare o que for proibido. Confronte as suas ferramentas com a lista do Artigo 5.º. A armadilha comum para um negócio normal é o software de reconhecimento de emoções apontado a trabalhadores.
4. Faça literacia em IA a sério. Quem usa IA na sua empresa deve compreender, a um nível básico, o que ela pode e não pode fazer. Isto é exigido desde fevereiro de 2025; uma breve formação interna e uma nota escrita de que a fez vão longe.
5. Planeie as suas divulgações de transparência. A partir de agosto de 2026: identifique os chatbots como IA e assinale ou revele o conteúdo gerado por IA. Decida já como o vai fazer.
6. Mantenha um registo documental. Anote que ferramentas de IA usa, para quê e quem é responsável. A documentação é a maior parte do que «governação» significa para uma pequena empresa.
7. Cuide dos seus dados (o RGPD sobrepõe-se aqui). Não alimente ferramentas com dados pessoais que os enviem para sítios que não controla. O Regulamento de IA e o RGPD reforçam-se; resolver um costuma ajudar o outro.
8. Atribua um responsável. Uma pessoa com responsabilidade pelas decisões de IA. Não precisa de ser uma nova contratação, precisa de ser um humano com nome.
9. Procure aconselhamento a sério se estiver perto do risco elevado. Se a sua IA toma ou influencia fortemente decisões sobre contratação, crédito ou acesso a serviços, é aqui que a ajuda profissional se paga a si mesma.

Onde a nossa abordagem encaixa, com honestidade

Construímos IA de alojamento próprio e privacidade em primeiro lugar, por isso seria fácil afirmar que o alojamento próprio o torna conforme com o Regulamento de IA. Não torna, e prefiro dizê-lo com clareza. O Regulamento regula o que um sistema de IA faz e quão arriscada é a sua utilização, não onde corre. Alojar um modelo em Frankfurt em vez de na Virgínia não isenta de nada.

Aquilo com que ter o controlo ajuda mesmo é tudo o que rodeia as obrigações:

• A transparência e a documentação são muito mais fáceis quando consegue ver o que o seu sistema faz. Uma pilha de alojamento próprio que compreende é uma pilha que sabe descrever, registar e divulgar com rigor, e isso é a maior parte do que o Artigo 50.º e os deveres de conservação de registos pedem.
• O controlo dos dados sobrepõe-se ao RGPD. Manter os dados pessoais em infraestrutura que possui, em vez de os enviar para um modelo de terceiros, reduz a sua superfície de RGPD. Não é uma isenção do Regulamento de IA, mas o uso de IA tende a aumentar a exposição dos dados, e ter o caminho sob controlo é a forma mais limpa de a conter. Escrevemos sobre essa disciplina em como fazer um modelo local citar apenas as fontes que leu de facto e em como é a nossa infraestrutura de 107 euros.
• A literacia em IA torna-se real, não encenada, quando a sua equipa opera a pilha em vez de alugar uma caixa preta.

O resumo honesto: o alojamento próprio não é um atalho de conformidade. É uma forma de tornar mais fácil provar a conformidade que já lhe cabe cumprir, e de manter os seus dados onde o RGPD os quer.

A conclusão

Para a maioria das PME europeias, o Regulamento de IA da UE é muito menos assustador do que o número de 35 milhões de euros sugere. É muito provável que esteja no nível de risco mínimo ou limitado, onde os deveres são: não usar IA proibida, garantir que as suas pessoas compreendem a IA que usam e ser honesto quando há IA envolvida. As proibições e a regra de literacia já estão em vigor; a transparência chega em agosto de 2026; as obrigações pesadas de risco elevado estão a anos de distância e um pacote de 2026, acordado mas ainda não em vigor, poderá empurrá-las ainda mais para a frente.

Faça o trabalho aborrecido e barato agora (inventariar, classificar, documentar, divulgar) e o Regulamento torna-se aquilo para que foi desenhado: um patamar mínimo de uso responsável da IA, não uma armadilha. E se a sua empresa se situa mesmo perto de um uso de risco elevado, como contratação ou crédito, esse é o sinal para chamar alguém que faz disto profissão.

Um lembrete final: este guia é educativo e simplificado, a lei está a ser alterada de forma ativa e nada aqui é aconselhamento jurídico. Confirme cada data e cada requisito face ao regulamento atual ou a um consultor qualificado antes de agir com base neles.