Em maio de 2026, a ANACOM (Autoridade Nacional de Comunicações) colocou em consulta pública um projecto de recomendações sobre a aplicação do artigo 5.º do Regulamento (UE) 2024/1689 - o artigo que enumera as práticas de inteligência artificial pura e simplesmente proibidas na União Europeia. O documento não cria obrigações novas: interpreta e concretiza aquilo que já está em vigor. Mas para as empresas portuguesas é um sinal importante de que a fiscalização começou a ganhar forma prática.
O papel da ANACOM como coordenadora nacional
A 19 de setembro de 2025, a ANACOM foi designada autoridade nacional coordenadora para o AI Act em Portugal. Na prática, isto significa que passa a ser o ponto de contacto central com a Comissão Europeia e com o AI Office, e assume funções de autoridade de fiscalização do mercado e de autoridade notificadora. Não é a única entidade envolvida - o modelo português repousa numa rede de autoridades sectoriais - mas cabe-lhe a coordenação global e a articulação entre elas.
A publicação de um projecto de recomendações é a primeira demonstração concreta desse papel. Ao clarificar como interpreta o artigo 5.º, a ANACOM dá às empresas previsibilidade: reduz a área cinzenta entre o que é permitido e o que é proibido, e sinaliza as prioridades de supervisão. Para quem toma decisões sobre sistemas de IA, este tipo de orientação vale tanto como o texto legal, porque revela como a autoridade vai ler os casos concretos.
As oito práticas proibidas
O artigo 5.º enumera oito categorias de utilização de IA consideradas incompatíveis com os valores da União e, por isso, banidas. Vale a pena conhecê-las, porque a maioria das empresas assume que "isto não me diz respeito" e, ao olhar em detalhe, descobre casos de uso na fronteira. São elas:
- Manipulação subliminar ou técnicas propositadamente enganosas que distorcem materialmente o comportamento e causam dano.
- Exploração de vulnerabilidades de pessoas por razão de idade, deficiência ou situação socioeconómica.
- Classificação social (social scoring) de pessoas com base em comportamento ou características, com efeitos adversos desproporcionados.
- Policiamento preditivo baseado exclusivamente na elaboração de perfis para avaliar o risco de uma pessoa cometer um crime.
- Recolha não direcionada de imagens faciais da internet ou de circuitos de videovigilância para criar ou expandir bases de reconhecimento facial.
- Reconhecimento de emoções nos locais de trabalho e nas instituições de ensino, salvo por razões médicas ou de segurança.
- Categorização biométrica que infira atributos sensíveis como raça, opiniões políticas, orição sindical, crenças ou orientação sexual.
- Identificação biométrica remota em tempo real em espaços acessíveis ao público para efeitos de aplicação da lei, salvo excepções muito estritas.
As duas primeiras categorias - manipulação e exploração de vulnerabilidades - são as que mais frequentemente apanham empresas comuns de surpresa, sobretudo em contextos de marketing, publicidade comportamental e desenho de interfaces persuasivas. Já o reconhecimento de emoções no trabalho toca directamente quem experimenta ferramentas de análise de desempenho ou de entrevistas assistidas por IA.
A nova proibição do Digital Omnibus
Às oito práticas originais junta-se agora uma nona, introduzida pelo Digital Omnibus, o pacote de simplificação digital aprovado definitivamente em 2026 (após acordo em trílogo a 7 de maio, votação do Parlamento Europeu a 16 de junho e do Conselho a 29 de junho, com entrada em vigor em julho de 2026). Trata-se da proibição de sistemas de IA concebidos para gerar material de abuso sexual de menores (CSAM) e imagens íntimas não consentidas (NCII).
Esta nova proibição é aplicável a partir de 2 de dezembro de 2026. O projecto de recomendações da ANACOM antecipa esse prazo ao chamar a atenção das empresas que desenvolvem ou disponibilizam geradores de imagem, para que revejam desde já as salvaguardas técnicas dos seus modelos.
O que as empresas devem fazer
As recomendações convergem para três ações concretas, todas ao alcance de qualquer organização que use IA, independentemente da dimensão:
1. Inventariar os sistemas de IA
Não é possível verificar conformidade com aquilo que não se conhece. O primeiro passo é um inventário de todos os sistemas de IA em uso - internos e de fornecedores externos, incluindo funcionalidades de IA embebidas em software que a empresa já usa. Muitas organizações descobrem, ao fazer este exercício, mais sistemas do que imaginavam.
2. Verificar os casos de uso contra o artigo 5.º
Para cada sistema inventariado, importa perguntar se alguma das suas finalidades toca uma das nove práticas proibidas. A nossa página dedicada às práticas proibidas detalha cada categoria, e o classificador de risco ajuda a enquadrar rapidamente um caso concreto. O ponto crítico é que a proibição incide sobre a utilização, não sobre a tecnologia em abstracto: o mesmo sistema pode ser legítimo num contexto e proibido noutro.
3. Implementar salvaguardas e documentar
Onde exista risco de fronteira, a empresa deve introduzir salvaguardas - restrições de finalidade, controlos de acesso, filtros técnicos, supervisão humana - e documentar as decisões tomadas. Perante uma fiscalização, a capacidade de demonstrar que a questão foi analisada e que foram adoptadas medidas é parte essencial da defesa.
O que esperar a seguir
Concluida a consulta pública, a ANACOM deverá publicar a versão final das recomendações. Ainda que não tenham a força vinculativa de um regulamento, estas orientações funcionarão como referência para a autoridade e para os tribunais na apreciação de casos concretos. Ignorá-las é assumir um risco desnecessário, sobretudo quando as coimas associadas ao artigo 5.º são as mais pesadas do regime.
Para as empresas, a mensagem é clara: o artigo 5.º deixou de ser texto legal abstracto para passar a ter um guia interpretativo nacional. Quem ainda não inventariou os seus sistemas nem os cruzou com a lista de práticas proibidas está em atraso - e o tempo para regularizar diminui à medida que a fiscalização amadurece.