AI Act para PMEs em Portugal 2026: Obrigações, Calendário e Como Cumprir
Publicado a 18 de junho de 2026 · Equipa IgeraSolutions · 12 min de leitura
O Regulamento (UE) 2024/1689, conhecido como AI Act, é o primeiro quadro regulatório vinculativo para sistemas de inteligência artificial no mundo. Entrou em vigor a 1 de agosto de 2024 e as suas obrigações estão a ser aplicadas faseadamente até 2027. Para as PMEs portuguesas que utilizam, desenvolvem ou comercializam sistemas de IA, este artigo explica exactamente o que é exigido, quando e como cumprir.
Autoridade competente em Portugal
A autoridade nacional de supervisão do AI Act em Portugal será a CNPD (Comissão Nacional de Protecção de Dados) para sistemas de IA que tratem dados pessoais, e o IMPIC ou autoridades sectoriais para outros domínios. O INCoDe.2030 coordena a estratégia nacional de IA. A designação formal das autoridades competentes estava em curso em junho de 2026.
Calendário de aplicação do AI Act
| Data | O que entra em vigor | Para quem |
|---|---|---|
| 1 ago. 2024 | Entrada em vigor do Regulamento | Todos |
| 2 fev. 2025 | Proibições absolutas (IA de risco inaceitável) | Todos os fornecedores e utilizadores de IA |
| 2 ago. 2025 | Obrigações para modelos de IA de uso geral (GPAI) | Fornecedores de modelos GPAI |
| 2 ago. 2026 | Obrigações para IA de alto risco (Anexo III) | Fornecedores e implementadores |
| 2 ago. 2027 | Obrigações para IA de alto risco (Anexo I — produtos regulados) | Fornecedores de sistemas IA em produtos CE |
Os 4 níveis de risco da IA
Risco Inaceitável (Proibido)
Pontuação social, manipulação subliminar, exploração de vulnerabilidades, identificação biométrica remota em tempo real em espaços públicos. Sanções: até €35M ou 7% do volume de negócios global.
Alto Risco (Obrigações)
IA em recrutamento, crédito, educação, saúde, infra-critica, aplicação da lei. Exige avaliação de conformidade, registo EU, supervisão humana e documentação técnica.
Risco Limitado (Transparência)
Chatbots, deepfakes, sistemas de recomendação. Obrigação de informar que o utilizador está a interagir com um sistema de IA.
Risco Mínimo (Livre)
Filtros de spam, jogos com IA, IA para optimização logística sem impacto em direitos. Sem obrigações específicas do AI Act (boas práticas voluntárias).
6 categorias de sistemas de IA proibidos desde fevereiro 2025
- Pontuação social por autoridades públicas — sistemas que avaliam cidadãos com base no comportamento e atribuem pontuações que afectam os seus direitos
- Manipulação subliminar — sistemas que influenciam decisões sem que a pessoa tenha consciência disso, causando danos
- Exploração de vulnerabilidades — sistemas que exploram fragilidades de grupos específicos (crianças, pessoas com deficiência, idosos)
- Identificação biométrica em tempo real em espaços públicos por autoridades (com excepções estreitas para segurança nacional)
- Inferência de emoções em locais de trabalho e estabelecimentos de ensino (excepto fins médicos ou de segurança)
- Categorização biométrica por características protegidas (raça, orientação sexual, opiniões políticas)
Checklist para PMEs portuguesas: 8 pontos essenciais
1. Inventário de sistemas de IA: mapeie todos os sistemas de IA utilizados internamente ou fornecidos a clientes
2. Classificação de risco: determine o nível de risco de cada sistema (inaceitável, alto, limitado, mínimo)
3. Verificar proibições: confirme que nenhum sistema utilizado cai nas 6 categorias proibidas (em vigor desde fev. 2025)
4. Transparência de chatbots: se usa chatbots ou assistentes virtuais, informe os utilizadores de que estão a interagir com um sistema de IA
5. Sistemas de alto risco: se usa IA no recrutamento, concessão de crédito ou avaliação de desempenho, prepare a documentação técnica (a obrigação vigora em agosto 2026)
6. Supervisão humana: para sistemas de alto risco, implemente mecanismos de supervisão humana efectiva e documente-os
7. Registo EU Database: sistemas de alto risco usados em contexto público devem ser registados na base de dados da UE
8. Responsável pela conformidade AI: designe um responsável interno (pode acumular funções com o DPO para sistemas que tratam dados pessoais)
Caso prático: empresa de recrutamento em Lisboa
Uma PME de recrutamento tecnológico com 35 colaboradores em Lisboa utilizava um sistema de triagem automática de CVs baseado em IA, fornecido por um SaaS americano. O sistema classificava candidatos por probabilidade de sucesso antes da primeira entrevista.
Em fevereiro de 2025, com o apoio da IgeraRegTech, a empresa realizou uma avaliação de conformidade: o sistema enquadra-se como IA de alto risco (Anexo III, ponto 4: recrutamento e gestão de trabalhadores). A empresa deveria ter documentação técnica, testes de viés e supervisão humana até agosto de 2026.
Resultado: a empresa exigiu ao fornecedor SaaS a documentação técnica exigida pelo AI Act (Art. 11-13). O fornecedor não conseguiu fornecê-la. A empresa substituiu o sistema por um alternativo certificado, evitando uma potencial sanção de até €15M.
As PMEs têm isenções no AI Act?
O AI Act prevê algumas simplificações para PMEs e startups: acesso prioritário às sandbox regulatórias nacionais, redução de taxas para avaliações de conformidade, e acesso a orientação específica das autoridades nacionais. No entanto, as obrigações substantivas (proibições, transparência, alto risco) aplicam-se igualmente a PMEs.
O ChatGPT ou Copilot que uso na minha empresa está abrangido?
O ChatGPT (OpenAI) e o Copilot (Microsoft) são modelos de IA de uso geral (GPAI) — os seus fornecedores têm obrigações desde agosto de 2025 (transparência, direitos de autor). Como utilizador (implementador) de um sistema de IA de risco limitado (chatbot de suporte), a sua principal obrigação é informar os utilizadores finais de que estão a interagir com IA. Se usar IA de terceiros para fins de alto risco (recrutamento, scoring de crédito), as obrigações de alto risco aplicam-se a si como implementador.
Como é que o IgeraRegTech ajuda com o cumprimento regulamentar?
O IgeraRegTech indexa regulamentos complexos como DORA, NIS2 ou a AI Act e responde a dúvidas de conformidade em segundos, citando o artigo e parágrafo exatos do texto legal.
O sistema alucina ou inventa artigos regulamentares?
Não. Graças à arquitetura RAG, o IgeraRegTech apenas responde com base nos textos oficiais das diretivas e regulamentos carregados na base de conhecimento.
É seguro carregar documentação corporativa sensível no sistema?
Totalmente. Os documentos são armazenados de forma segura em servidores encriptados na UE e processados sob rigorosos controlos de segurança que garantem a confidencialidade.
Que vantagens oferece face a uma pesquisa convencional?
Permite realizar pesquisas semânticas e complexas em linguagem natural, encontrando relações cruzadas entre diferentes regulamentos sem necessidade de conhecer os termos exatos.
Para mais informações e um guia de referência sobre esta vertical, visite a nossa página pilar da Igera.
Avalie a conformidade AI Act da sua empresa gratuitamente
IgeraRegTech mapeia os seus sistemas de IA, classifica o nível de risco e gera o plano de conformidade com datas e acções concretas para cumprir o AI Act antes dos prazos.
Explorar IgeraRegTechRevisado por: Equipa Legal Igera