Regulamento da IA da UE.
O Regulamento da IA para empresas: papéis, casos de utilização, obrigações aplicáveis e o percurso para a demonstração adequada.
- Regulamento (UE) 2024/1689 · Versão de 27.07.2026
- Por Derya Altinay
- Atualizado em: 22/10/2026
- Tempo de leitura: 10 min.
Resposta breve.
O Regulamento da IA da UE regula a inteligência artificial segundo o caso de utilização, o risco e o papel. Distingue, entre outros, prestadores e responsáveis pela implantação, proíbe determinadas práticas e exige proteção e evidências específicas para IA de risco elevado. Transparência, literacia em IA e obrigações dos prestadores de modelos exigem análise separada; o artigo 113.º determina a aplicação faseada.
O Regulamento da IA e o seu estado atual.
O Regulamento da IA da UE é um regulamento europeu diretamente aplicável, e não uma norma de segurança voluntária. O Regulamento (UE) 2024/1689 estabelece obrigações para sistemas de IA e modelos de IA de finalidade geral. A conhecida síntese das classes de risco ajuda a começar; uma decisão concreta exige também conhecer o papel da empresa e a utilização prevista.
O Regulamento (UE) 2026/1744 alterou o Regulamento da IA e aplica-se desde 27 de julho de 2026. O seu artigo 1.º, ponto 40, altera o calendário do artigo 113.º do Regulamento da IA: para sistemas de risco elevado segundo o artigo 6.º, n.º 2, e o Anexo III, o capítulo III, secções 1 a 3, aplica-se em princípio a partir de 2 de dezembro de 2027; para a via de produto segundo o artigo 6.º, n.º 1, e o Anexo I, a partir de 2 de agosto de 2028. O artigo 6.º, n.º 5, fica excluído.
O início geral da aplicação mantém-se em 2 de agosto de 2026. As proibições, a literacia em IA e as regras sobre modelos de finalidade geral têm datas anteriores próprias; algumas proibições recentemente acrescentadas só se aplicam a partir de 2 de dezembro de 2026. O adiamento de certas datas para sistemas de risco elevado não adia, portanto, o regulamento no seu conjunto. Para sistemas e modelos já disponibilizados, devem também ser verificadas as regras transitórias do artigo 111.º.
A quem se aplica o Regulamento da IA da UE.
Segundo o artigo 2.º, o Regulamento da IA da UE diz respeito sobretudo a prestadores que coloquem sistemas de IA no mercado da UE ou em serviço e a responsáveis pela implantação com sede ou estabelecimento na UE. Abrange também determinados intervenientes fora da UE quando os resultados do sistema sejam utilizados na UE. Importadores, distribuidores e fabricantes de produtos têm papéis próprios. A utilização puramente privada e não profissional é tratada de forma diferente da utilização empresarial.
Uma empresa deve esclarecer o seu papel para cada caso de utilização. A compra de um serviço de terceiros não determina definitivamente o papel em todas as aplicações nele baseadas. O modelo e o sistema acabado são também objetos de referência distintos. A finalidade, a disponibilização e a utilização real devem, por isso, integrar a análise; uma classificação de toda a empresa apenas com base no nome do modelo é demasiado imprecisa.
As obrigações do Regulamento da IA dependem do papel e da utilização.
As obrigações do Regulamento da IA não constituem um pacote uniforme de medidas para qualquer utilização de IA. As áreas seguintes servem de orientação; os artigos e as datas aplicáveis devem ser determinados para cada sistema e cada papel.
Verificar proibições e classificação de risco elevado.
O artigo 5.º descreve as práticas proibidas; o artigo 6.º, a classificação de risco elevado. A via de produto combina a ligação ao Anexo I com a avaliação obrigatória por terceiros; a segunda via diz respeito aos casos de utilização enumerados no Anexo III. Nem todas as aplicações num setor mencionado são automaticamente de risco elevado. As exceções exigem uma análise fundamentada da função concreta.
Desenvolver a literacia em IA.
Na sua redação alterada, o artigo 4.º exige medidas que apoiem o desenvolvimento da literacia em IA. Devem ser considerados os conhecimentos prévios, a experiência, as tarefas e o contexto de utilização. Os prestadores e os responsáveis pela implantação não têm de garantir um determinado nível individual de competência. Por isso, um certificado de formação genérico não substitui a seleção de medidas adequadas nem a análise dos sistemas utilizados.
Conceber IA de risco elevado segura e rastreável.
Os requisitos de risco elevado dos artigos 9.º a 15.º dizem respeito, entre outros, à gestão de riscos, aos dados, à documentação, aos registos, à informação, à supervisão humana e à exatidão, robustez e cibersegurança. As obrigações dos prestadores e a gestão da qualidade do artigo 17.º organizam este trabalho. Os requisitos aplicáveis e as respetivas datas decorrem do regime concreto e do calendário de aplicação.
Assumir a responsabilidade na operação.
As obrigações dos responsáveis pela implantação segundo o artigo 26.º diferem das tarefas dos prestadores. Quando as regras de risco elevado se aplicam, incluem, em particular, a operação segundo as instruções, uma supervisão humana adequada e a monitorização da utilização. A supervisão exige pessoas capacitadas com possibilidade real de atuar; a simples designação de uma entidade responsável não comprova uma intervenção eficaz no processo de trabalho.
Implementar a transparência de forma direcionada.
O artigo 50.º contém obrigações especiais de informação e marcação para determinados sistemas e resultados. Incluem, por exemplo, tornar percetível o contacto com IA e o tratamento de certos conteúdos gerados artificialmente. Quem deve informar ou marcar depende da disposição e do papel. Não se pode deduzir daqui uma regra geral para todos os documentos tratados internamente com IA.
Considerar separadamente as obrigações dos modelos.
O capítulo V contém obrigações próprias para prestadores de modelos de IA de finalidade geral, em inglês General-Purpose AI ou GPAI. Os modelos com risco sistémico estão sujeitos a requisitos adicionais. A utilização de um desses modelos não torna automaticamente uma empresa prestadora de modelos; ao mesmo tempo, a documentação do modelo não esclarece todas as obrigações do sistema nele baseado.
A implementação começa pelo caso de utilização.
Registar a finalidade e a utilização.
Como ponto de partida prático, descreva a tarefa desempenhada por um sistema de IA, quem o utiliza e as pessoas ou decisões afetadas pelos seus resultados.
Esclarecer o papel e o âmbito.
Registe o papel da sua organização e a análise da ligação à UE e das possíveis exceções que fundamenta essa decisão.
Analisar tecnicamente a classificação.
Verifique as proibições, as vias de risco elevado e as questões de transparência com os responsáveis funcionais, técnicos e jurídicos e documente a fundamentação.
Determinar as obrigações e as datas.
Associe aos requisitos relevantes responsáveis concretos e a data de aplicação correspondente, incluindo regras transitórias próprias.
Relacionar as evidências e a operação.
Planeie a documentação, as avaliações e a supervisão necessárias de modo a refletirem a utilização real do sistema e o percurso de demonstração aplicável.
Reavaliar as alterações.
Como recomendação prática, reveja as decisões quando se alterarem a finalidade, as funções, o ambiente de utilização ou as responsabilidades e registe a nova situação.
A demonstração segue o procedimento correspondente.
O Regulamento da IA não prevê a compra de um certificado uniforme para todas as empresas. Para IA de risco elevado, o artigo 43.º determina o procedimento de avaliação da conformidade aplicável. Conforme o sistema, prevê-se controlo interno ou a participação de um organismo notificado; as regras dos produtos também podem determinar o percurso. A documentação e, quando aplicável, a declaração UE de conformidade, a marcação CE e o registo devem ser considerados no respetivo contexto legal.
Um certificado de um organismo notificado distingue-se de um certificado voluntário de sistema de gestão. O artigo 44.º, n.º 2, limita a validade aí regulada a um máximo de cinco anos para sistemas do Anexo I e quatro anos para sistemas do Anexo III; prevalece o período indicado com as condições do procedimento. Estes limites não são uma validade geral de todas as evidências do Regulamento da IA. As obrigações operacionais devem ainda ser cumpridas.
Saiba mais no blogue.
Outros referenciais apoiam tarefas diferentes.
Para produtos de IA, podem também ser relevantes as obrigações de produto do Regulamento da Ciber-Resiliência, que exigem uma análise autónoma.
A ISO 42001 estrutura um sistema de gestão da IA, enquanto o NIST AI RMF oferece um referencial voluntário para riscos de IA. Ambos podem apoiar a organização do trabalho, mas não demonstram conformidade automática com o Regulamento da IA da UE. O RGPD continua a aplicar-se autonomamente ao tratamento de dados pessoais; a classificação segundo o Regulamento da IA não substitui uma análise de proteção de dados.
- Regulamento da Ciber-ResiliênciaAnalise separadamente a cibersegurança dos produtos e os papéis dos fabricantes.
- ISO 42001Enquadre o sistema de gestão da IA.
- NIST AI RMFCompreenda o referencial voluntário de gestão de riscos da IA.
- RGPDAnalise separadamente as obrigações relativas ao tratamento de dados pessoais.
No Secani.
O Secani contém um catálogo editorial empresarial sobre o Regulamento da IA da UE, com dados de papéis e perfis, orientações de implementação e exemplos de evidências. Os prestadores, os responsáveis pela implantação e outros papéis são registados separadamente. Este apoio permite um trabalho estruturado; não substitui a classificação técnica nem um procedimento de avaliação legalmente exigido. O catálogo não é uma prova oficial de conformidade.
Próximo passo.
Escolha um caso concreto de utilização de IA, em produção ou planeado, e reúna os seus responsáveis funcionais e técnicos com a análise jurídica. O primeiro resultado deve ser uma decisão fundamentada sobre o papel, a utilização e as obrigações relevantes. Daí resulta um plano de evidências viável; uma lista não verificada de todos os artigos do regulamento é menos útil para este fim.
Fontes.
- Comissão Europeia: Regulamento da Ciber-Resiliência
- Regulamento da IA: versão consolidada de 27 de julho de 2026
- Regulamento (UE) 2026/1744: Digital Omnibus on AI, em especial artigo 1.º, pontos 5 e 40
- Comissão Europeia: Regulamento da IA e calendário de aplicação
- Serviço de apoio oficial do Regulamento da IA: artigo 2.º, âmbito de aplicação
- Serviço de apoio oficial do Regulamento da IA: artigo 4.º, literacia em IA
- Serviço de apoio oficial do Regulamento da IA: artigo 6.º, classificação de risco elevado
- Serviço de apoio oficial do Regulamento da IA: artigo 17.º, gestão da qualidade
- Serviço de apoio oficial do Regulamento da IA: artigo 26.º, obrigações dos responsáveis pela implantação
- Serviço de apoio oficial do Regulamento da IA: artigo 43.º, avaliação da conformidade
- Serviço de apoio oficial do Regulamento da IA: artigo 44.º, certificados
- Serviço de apoio oficial do Regulamento da IA: artigo 50.º, obrigações de transparência
- Serviço de apoio oficial do Regulamento da IA: artigo 113.º, aplicação
Perguntas frequentes.
Não. O artigo 6.º associa a classificação a determinadas configurações de produtos ou a casos de utilização enumerados, com as respetivas condições e exceções. A utilização de um modelo potente, por si só, não determina a classificação.
Não. O papel depende da disponibilização, da aplicação própria e de possíveis alterações. O contrato com um prestador de modelos ou serviços não esclarece automaticamente a responsabilidade pelo sistema acabado.
Não. Um sistema de gestão da IA pode organizar responsabilidades e processos, enquanto as obrigações legais de cada utilização exigem análise separada. Um certificado de sistema de gestão não é uma demonstração geral de todos os requisitos do Regulamento da IA da UE.
Não. As evidências necessárias decorrem do papel, do sistema e das disposições aplicáveis. O artigo 43.º distingue vários procedimentos de avaliação da conformidade; nem todos preveem a participação de uma entidade externa.
Trabalhe a responsabilidade pela IA de forma concreta.
Relacione no Secani requisitos, responsabilidades e evidências para os seus casos de utilização analisados.
Esta página enquadra o Regulamento da IA em termos gerais. Prevalecem os atos jurídicos em vigor e a análise do caso de utilização concreto.