O Regulamento de IA da UE: Um Guia de Conformidade em Linguagem Simples para PME

Tem uma pequena empresa europeia. Usa IA, talvez um chatbot no site, um copiloto no editor de código ou uma funcionalidade de IA escondida dentro de software que já paga. E algures leu que o Regulamento de IA da UE pode aplicar coimas de até 35 milhões de euros. Esse número é real. Também é, quase de certeza, uma ameaça que não lhe diz respeito.

Este é um guia em linguagem simples sobre o que o Regulamento de IA da UE exige, de facto, a uma pequena ou média empresa. Não a versão do advogado, mas a versão de quem opera: o que é, que partes se aplicam a si, os prazos que interessam e uma lista concreta do que fazer. Cada data, artigo e número abaixo vem do próprio regulamento ou de fontes oficiais da UE, e ficam listados para que os possa confirmar.

Este é conteúdo educativo, não aconselhamento jurídico. É escrito para fundadores e gestores, não para juristas, e simplifica de propósito. É também uma área em rápida mudança: o calendário foi alterado em julho de 2026 e ainda está a estabilizar. Para decisões com exposição real, procure aconselhamento de um profissional qualificado e confirme o texto atual.

Correção, 24 de julho de 2026. Quando este guia foi publicado, a 22 de julho, dizia que o adiamento dos prazos de risco elevado pelo Digital Omnibus tinha sido acordado mas ainda não publicado no Jornal Oficial, e que a data original de 2 de agosto de 2026 continuava, por isso, a ser a vinculativa. Era exato quando foi escrito e deixou de o ser. O Regulamento (UE) 2026/1744 foi publicado no Jornal Oficial a 24 de julho de 2026 (JO L, 2026/1744), com entrada em vigor a 27 de julho de 2026. As datas de risco elevado são 2 de dezembro de 2027 (Anexo III, autónomos) e 2 de agosto de 2028 (Anexo I, integrados em produtos regulados). Nada mudou quanto às obrigações de transparência do Artigo 50.º nem quanto à data geral de aplicação do Regulamento, que continuam a aplicar-se a partir de 2 de agosto de 2026. Confirme em vez de confiar: CELEX 32026R1744 · ELI http://data.europa.eu/eli/reg/2026/1744/oj.

Correção, 28 de julho de 2026. Uma segunda revisão face às fontes primárias encontrou dois erros e duas lacunas no guia abaixo. (1) A data de partida do Anexo I estava errada. Este guia dizia três vezes que o prazo de risco elevado do Anexo I tinha sido adiado de 2 de agosto de 2026. Nunca esteve nessa data. Pelo Artigo 113.º, terceiro parágrafo, alínea c), do Regulamento (UE) 2024/1689 na versão original, o Artigo 6.º, n.º 1, e o Anexo I aplicavam-se a partir de 2 de agosto de 2027, e o Regulamento (UE) 2026/1744 passou essa data para 2 de agosto de 2028. O Anexo I ganhou, portanto, um ano e não dois. O ramo do Anexo III é diferente e passou mesmo de 2 de agosto de 2026 para 2 de dezembro de 2027. Os dois não podem ser confundidos. (2) O dever de literacia no domínio da IA do Artigo 4.º era apresentado como inalterado. O Regulamento (UE) 2026/1744 substituiu o Artigo 4.º com efeitos a 27 de julho de 2026 e tornou menos exigente o dever dos prestadores e dos responsáveis pela implantação: passam a ter de tomar medidas para apoiar o desenvolvimento da literacia no domínio da IA do seu pessoal, onde antes tinham de tomar medidas para assegurar, na medida do possível, um nível suficiente dessa literacia. O novo texto acrescenta de forma expressa que a obrigação não exige que garantam um nível específico de literacia a qualquer pessoa. Só o dever das empresas, no n.º 1 do Artigo 4.º, foi aliviado: a substituição acrescenta ainda novos n.os 2 e 3, que criam deveres para a Comissão e para os Estados-Membros, não para as empresas. O dever continua a existir e continua a aplicar-se desde 2 de fevereiro de 2025. (3) O adiamento tem uma exceção que faltava aqui. Abrange o Capítulo III, Secções 1 a 3, com exceção do Artigo 6.º, n.º 5. Essa exceção é um dever da Comissão de emitir orientações, não uma obrigação nova para a sua empresa. (4) Faltavam duas novas práticas de IA proibidas. O mesmo ato acrescentou ao primeiro parágrafo do Artigo 5.º, n.º 1, as alíneas identificadas como (ba) (imagens íntimas não consentidas) e (bb) (material de abuso sexual de crianças gerado por IA), com os números interpretativos 5(1a) e 5(1b). Aplicam-se a partir de 2 de dezembro de 2026 e não desde fevereiro de 2025, como o resto da lista do Artigo 5.º. Fonte: Regulamento (UE) 2026/1744, de 8 de julho de 2026, publicado no Jornal Oficial a 24 de julho de 2026 e em vigor a 27 de julho de 2026, CELEX 32026R1744.

O que é, de facto, o Regulamento de IA da UE

O Regulamento de IA da UE é o Regulamento (UE) 2024/1689, a primeira lei abrangente do mundo sobre inteligência artificial. Entrou em vigor a 1 de agosto de 2024 e aplica-se aos 27 Estados-Membros da UE. Tal como o RGPD antes dele, chega para lá da Europa: pode aplicar-se a uma empresa em qualquer parte do mundo se o resultado do seu sistema de IA for usado na UE.

A ideia central é simples e vale a pena reter, porque dissolve a maior parte do pânico: o Regulamento assenta no risco. Não regula «a IA» como uma coisa só. Ordena as utilizações da IA por níveis e aplica regras mais pesadas apenas onde o risco para as pessoas é maior. A grande maioria da IA do dia a dia de um negócio fica na base dessa pirâmide, onde as regras são leves.

Os quatro níveis de risco

O Regulamento ordena a IA em quatro níveis de risco.

1. Risco inaceitável, proibido por completo. Uma lista curta e definida, no Artigo 5.º, de práticas de IA consideradas uma ameaça clara à segurança e aos direitos das pessoas. São totalmente proibidas. Incluem:

• Técnicas manipuladoras ou enganadoras que distorcem materialmente o comportamento e causam dano
• Explorar vulnerabilidades de idade, deficiência ou de uma situação social ou económica específica
• Classificação social (avaliar pessoas com base no comportamento social, levando a tratamento injusto)
• Criar ou expandir bases de dados de reconhecimento facial através da recolha não direcionada de rostos da internet ou de videovigilância
• Reconhecimento de emoções no local de trabalho e no ensino (com exceções restritas de saúde ou segurança)
• Categorização biométrica para inferir traços sensíveis como raça, opinião política ou orientação sexual

A maioria das pequenas empresas nunca lhes tocará, mas a proibição do reconhecimento de emoções é uma a conhecer, caso alguma vez lhe tenham apresentado software que diz ler o humor de trabalhadores ou alunos.

Foram acrescentadas mais duas proibições em 2026, e estas só vinculam mais tarde. O Regulamento (UE) 2026/1744 inseriu duas novas alíneas no primeiro parágrafo do Artigo 5.º, n.º 1, juntamente com os números interpretativos 5(1a) e 5(1b):

• Alínea (ba): imagens íntimas não consentidas
• Alínea (bb): material de abuso sexual de crianças gerado por IA

Atenção ao calendário, porque difere de todas as outras proibições desta lista. Estas duas constam do texto legal desde 27 de julho de 2026, data de entrada em vigor do Regulamento (UE) 2026/1744, mas só vinculam a partir de 2 de dezembro de 2026. Todo o resto do Artigo 5.º é vinculativo desde 2 de fevereiro de 2025.

2. Risco elevado, permitido mas com obrigações estritas. IA usada em áreas que podem afetar seriamente a saúde, a segurança ou os direitos fundamentais. É aqui que vive a verdadeira carga de conformidade: gestão de risco, documentação, supervisão humana, avaliação de conformidade. Os casos do Anexo III mais relevantes para uma PME são:

• Recrutamento e emprego, ao filtrar candidaturas, avaliar candidatos ou decidir promoções e atribuição de tarefas
• Avaliação da capacidade de solvabilidade e classificação de crédito de pessoas singulares (a deteção de fraude financeira fica de fora)
• Acesso a serviços e prestações essenciais, como decisões de elegibilidade para cuidados de saúde ou apoios sociais
• Ensino, incluindo admissões, avaliação e monitorização de exames

Se a sua empresa usa IA para decisões de contratação ou de crédito sobre pessoas, este é o nível a levar a sério.

3. Risco limitado, apenas transparência. IA que interage com pessoas ou gera conteúdo. Sem avaliação de conformidade; o dever é ser honesto quanto ao envolvimento da IA. É o nível onde a maioria das PME vai mesmo cair, e está coberto pelo Artigo 50.º (mais abaixo).

4. Risco mínimo, sem regras novas. Tudo o resto: filtros de spam, motores de recomendação, IA em videojogos, a maioria das ferramentas de produtividade. A orientação oficial da UE é explícita: a grande maioria dos sistemas de IA em uso fica aqui. Nada de novo é exigido.

Os prazos que interessam mesmo

O Regulamento não entra em vigor tudo de uma vez. É faseado e, ponto importante, duas das fases já estão em vigor. Eis o calendário fixado pelo Artigo 113.º do regulamento, com a alteração de 2026 assinalada.

Data	O que se aplica	Estado
1 ago 2024	O regulamento entra em vigor	Concluído
2 fev 2025	Práticas proibidas banidas; obrigação de literacia no domínio da IA (Artigo 4.º, substituído e suavizado a 27 jul 2026)	Em vigor agora
2 ago 2025	Regras de governação, obrigações dos modelos de finalidade geral e o regime de coimas	Em vigor agora
2 ago 2026	Obrigações de transparência (Artigo 50.º)	Próxima
2 dez 2026	Começam a vincular duas novas práticas de IA proibidas do Artigo 5.º, as alíneas (ba) e (bb)	Aditadas pelo Reg. (UE) 2026/1744, no texto desde 27 jul 2026
2 dez 2027	Sistemas de risco elevado do Anexo III (autónomos), adiados de 2 ago 2026	Fixado pelo Reg. (UE) 2026/1744, publicado a 24 jul 2026, em vigor a 27 jul 2026
2 ago 2028	IA de risco elevado dentro de produtos regulados (Anexo I), adiados de 2 ago 2027, nunca de 2 ago 2026	Fixado pelo Reg. (UE) 2026/1744, publicado a 24 jul 2026, em vigor a 27 jul 2026

Há três coisas a retirar desta tabela.

Primeiro, as partes já em vigor são as partes que se aplicam à maioria das pequenas empresas. As proibições, e a obrigação de que quem usa IA tenha uma compreensão básica dela, são vinculativas desde fevereiro de 2025. Não tem até 2027 para pensar nisso.

Segundo, os prazos de risco elevado mudaram e, desde julho de 2026, a alteração é lei. Os dois ramos não partiram do mesmo ponto, e é aqui que a maioria dos resumos erra. Os sistemas autónomos de risco elevado (Anexo III) estavam previstos para 2 de agosto de 2026 e passam para 2 de dezembro de 2027. A IA de risco elevado integrada em produtos regulados (Anexo I) nunca esteve prevista para 2026: pelo Artigo 113.º, terceiro parágrafo, alínea c), do Regulamento (UE) 2024/1689 na versão original, o Artigo 6.º, n.º 1, e o Anexo I aplicavam-se a partir de 2 de agosto de 2027 e passam agora a aplicar-se a partir de 2 de agosto de 2028. Ou seja, o Anexo I ganhou um ano; o Anexo III ganhou bastante mais. Ambas as datas vêm do pacote conhecido como Digital Omnibus (proposto pela Comissão a 19 de novembro de 2025, adotado pelo Parlamento Europeu a 16 de junho de 2026 e com a luz verde final do Conselho a 29 de junho de 2026), publicado no Jornal Oficial da UE como Regulamento (UE) 2026/1744, a 24 de julho de 2026 (JO L, 2026/1744), com entrada em vigor a 27 de julho de 2026. São estas as datas a considerar no planeamento.

Repare bem no que não mudou. A data geral de aplicação do Regulamento continua a ser 2 de agosto de 2026, e as obrigações de transparência do Artigo 50.º continuam a aplicar-se a partir dessa data. O adiamento abrange apenas o regime de risco elevado do Capítulo III, Secções 1 a 3, e mesmo aí exclui o Artigo 6.º, n.º 5, que não é adiado. Essa exceção não é uma obrigação nova a cair sobre si: o Artigo 6.º, n.º 5, obriga a Comissão a emitir orientações sobre a classificação dos sistemas de risco elevado, pelo que mantém apenas o seu próprio calendário. Confundir o adiamento com a data geral de aplicação é o erro mais fácil de cometer aqui, e é o erro caro: levaria a concluir que nada acontece em agosto de 2026, quando é precisamente nessa data que começam as regras de divulgação que tocam a maioria das pequenas empresas.

Terceiro, o dever de literacia no domínio da IA foi suavizado, e a maioria dos resumos ainda não o registou. O Artigo 4.º continua a existir e continua a aplicar-se desde 2 de fevereiro de 2025. O que mudou foi o grau de exigência. O Regulamento (UE) 2026/1744 substituiu o Artigo 4.º com efeitos a 27 de julho de 2026: os prestadores e os responsáveis pela implantação passam a ter de tomar medidas para apoiar o desenvolvimento da literacia no domínio da IA do seu pessoal, onde antes tinham de tomar medidas para assegurar, na medida do possível, um nível suficiente dessa literacia. O novo texto acrescenta, de forma expressa, que a obrigação não exige que garantam um nível específico de literacia a qualquer pessoa. Leia isto de forma restrita. Só o dever das empresas, no n.º 1 do Artigo 4.º, foi aliviado: a substituição acrescenta ainda novos n.os 2 e 3, que criam deveres para a Comissão e para os Estados-Membros, não para si. O conselho prático mais abaixo não muda: forme as suas pessoas e deixe escrito que o fez.

É também exatamente o tipo de detalhe que envelhece depressa. Esta mesma secção dizia «acordado mas ainda não publicado» até 24 de julho de 2026. Confirme o estado atual antes de planear com base nestas datas. As fontes primárias: CELEX 32026R1744, ELI http://data.europa.eu/eli/reg/2026/1744/oj, que altera o Artigo 113.º do Regulamento (UE) 2024/1689.

As regras de transparência, as que a maioria das PME vai encontrar (Artigo 50.º)

Se alguma parte do Regulamento toca diretamente na sua empresa, é provavelmente esta. O Artigo 50.º aplica-se a partir de 2 de agosto de 2026 e exige divulgação em algumas situações específicas, seja qual for o nível de risco:

• Chatbots e assistentes de IA: se as pessoas interagem diretamente com um sistema de IA, têm de ser informadas de que estão a lidar com IA (a menos que seja óbvio).
• Conteúdo gerado por IA: os resultados da IA generativa têm de ser assinalados como gerados artificialmente, de forma legível por máquina. (Para os sistemas já colocados no mercado antes de 2 de agosto de 2026, o mesmo pacote Digital Omnibus dá até 2 de dezembro de 2026 para cumprir esta obrigação de marcação, nos termos do Artigo 111.º, n.º 4, do Regulamento de IA, aditado pelo Regulamento (UE) 2026/1744. Os sistemas colocados no mercado a partir de 2 de agosto de 2026 não têm esse período de tolerância.)
• Deepfakes: se publica imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, lugares ou acontecimentos reais, tem de revelar que é artificial, mesmo que não houvesse intenção de enganar.
• Texto gerado por IA sobre assuntos de interesse público: tem de ser revelado como gerado por IA quando publicado para informar o público.

Para a maioria das PME isto é muito fazível: identifique o chatbot como um bot e seja honesto quando publica algo que uma IA criou. É esse o espírito da regra.

IA de finalidade geral (GPAI): quase nunca é problema seu

Vai ouvir falar muito das obrigações de IA de finalidade geral. Para uma PME típica, a boa notícia é que estas obrigações recaem sobre os fornecedores dos modelos, as empresas que constroem os grandes modelos de finalidade geral, e não sobre si enquanto utilizador desses modelos. Os fornecedores têm de disponibilizar documentação técnica, respeitar as regras de direitos de autor e publicar um resumo dos conteúdos de treino. Presume-se que um modelo tem capacidades de elevado impacto («risco sistémico») quando a computação usada para o treinar excede 10²⁵ operações de vírgula flutuante (Artigo 51.º), mas trata-se de uma presunção ilidível e não de um limiar automático. Esses modelos têm deveres acrescidos.

A conclusão prática: quase nunca é o «fornecedor» aqui. Basta manter um registo das ferramentas e dos modelos de IA em que se apoia, para poder apontar para a documentação do fornecedor se lhe pedirem.

As coimas, e a proteção para as pequenas empresas

As coimas são reais e são escalonadas pela gravidade da infração (Artigo 99.º):

• Práticas proibidas (a lista do Artigo 5.º): até 35 milhões de euros ou 7 % do volume de negócios anual mundial, consoante o que for mais elevado.
• Outras obrigações (deveres de risco elevado, transparência, etc.): até 15 milhões de euros ou 3 %, consoante o que for mais elevado.
• Prestação de informações incorretas ou enganosas às autoridades: até 7,5 milhões de euros ou 1 %, consoante o que for mais elevado.

Agora a parte escrita a pensar em si. Para as PME e as empresas em fase de arranque, o Regulamento inverte o cálculo: a coima é o montante ou a percentagem, consoante o que for mais baixo, o contrário da regra «o que for mais elevado» que se aplica às grandes empresas. A exposição de uma pequena empresa é limitada pela sua dimensão, não multiplicada por ela. O número de 35 milhões de euros é um teto para grandes empresas, não uma ameaça apontada a um negócio de cinco pessoas.

O que uma PME tem mesmo de fazer, uma lista

Eis a versão prática, para fazer hoje.

1. Inventarie a sua IA. Liste todos os sistemas de IA que usa ou constrói, incluindo funcionalidades de IA embutidas em software que já paga. Não se classifica o que não está escrito.
2. Classifique cada um por nível de risco. A maioria será mínimo ou limitado. Assinale tudo o que toque em recrutamento, crédito, avaliação no ensino ou serviços essenciais (potencial risco elevado) e tudo o que se pareça com a lista de proibições.
3. Pare o que for proibido. Confronte as suas ferramentas com a lista do Artigo 5.º. A armadilha comum para um negócio normal é o software de reconhecimento de emoções apontado a trabalhadores.
4. Faça literacia em IA a sério. Quem usa IA na sua empresa deve compreender, a um nível básico, o que ela pode e não pode fazer. Isto é exigido desde fevereiro de 2025, e o Artigo 4.º foi substituído a 27 de julho de 2026 por um dever mais leve: tem de apoiar o desenvolvimento da literacia no domínio da IA, não de garantir um nível específico em cada pessoa. Uma breve formação interna e uma nota escrita de que a fez continuam a valer a pena.
5. Planeie as suas divulgações de transparência. A partir de agosto de 2026: identifique os chatbots como IA e assinale ou revele o conteúdo gerado por IA. Decida já como o vai fazer.
6. Mantenha um registo documental. Anote que ferramentas de IA usa, para quê e quem é responsável. A documentação é a maior parte do que «governação» significa para uma pequena empresa.
7. Cuide dos seus dados (o RGPD sobrepõe-se aqui). Não alimente ferramentas com dados pessoais que os enviem para sítios que não controla. O Regulamento de IA e o RGPD reforçam-se; resolver um costuma ajudar o outro.
8. Atribua um responsável. Uma pessoa com responsabilidade pelas decisões de IA. Não precisa de ser uma nova contratação, precisa de ser um humano com nome.
9. Procure aconselhamento a sério se estiver perto do risco elevado. Se a sua IA toma ou influencia fortemente decisões sobre contratação, crédito ou acesso a serviços, é aqui que a ajuda profissional se paga a si mesma.

Onde a nossa abordagem encaixa, com honestidade

Construímos IA de alojamento próprio e privacidade em primeiro lugar, por isso seria fácil afirmar que o alojamento próprio o torna conforme com o Regulamento de IA. Não torna, e prefiro dizê-lo com clareza. O Regulamento regula o que um sistema de IA faz e quão arriscada é a sua utilização, não onde corre. Alojar um modelo em Frankfurt em vez de na Virgínia não isenta de nada.

Aquilo com que ter o controlo ajuda mesmo é tudo o que rodeia as obrigações:

• A transparência e a documentação são muito mais fáceis quando consegue ver o que o seu sistema faz. Uma pilha de alojamento próprio que compreende é uma pilha que sabe descrever, registar e divulgar com rigor, e isso é a maior parte do que o Artigo 50.º e os deveres de conservação de registos pedem.
• O controlo dos dados sobrepõe-se ao RGPD. Manter os dados pessoais em infraestrutura que possui, em vez de os enviar para um modelo de terceiros, reduz a sua superfície de RGPD. Não é uma isenção do Regulamento de IA, mas o uso de IA tende a aumentar a exposição dos dados, e ter o caminho sob controlo é a forma mais limpa de a conter. Escrevemos sobre essa disciplina em como fazer um modelo local citar apenas as fontes que leu de facto e em como é a nossa infraestrutura de 107 euros.
• A literacia em IA torna-se real, não encenada, quando a sua equipa opera a pilha em vez de alugar uma caixa preta.

O resumo honesto: o alojamento próprio não é um atalho de conformidade. É uma forma de tornar mais fácil provar a conformidade que já lhe cabe cumprir, e de manter os seus dados onde o RGPD os quer.

A conclusão

Para a maioria das PME europeias, o Regulamento de IA da UE é muito menos assustador do que o número de 35 milhões de euros sugere. É muito provável que esteja no nível de risco mínimo ou limitado, onde os deveres são: não usar IA proibida, garantir que as suas pessoas compreendem a IA que usam e ser honesto quando há IA envolvida. As proibições e a regra de literacia já estão em vigor, e duas novas proibições juntam-se a elas a 2 de dezembro de 2026; a transparência chega em agosto de 2026; e as obrigações pesadas de risco elevado estão a anos de distância, adiadas para dezembro de 2027 (Anexo III) e agosto de 2028 (Anexo I) por uma alteração publicada em julho de 2026.

Faça o trabalho aborrecido e barato agora (inventariar, classificar, documentar, divulgar) e o Regulamento torna-se aquilo para que foi desenhado: um patamar mínimo de uso responsável da IA, não uma armadilha. E se a sua empresa se situa mesmo perto de um uso de risco elevado, como contratação ou crédito, esse é o sinal para chamar alguém que faz disto profissão.

Um lembrete final: este guia é educativo e simplificado, a lei está a ser alterada de forma ativa e nada aqui é aconselhamento jurídico. Confirme cada data e cada requisito face ao regulamento atual ou a um consultor qualificado antes de agir com base neles.