Regulamento (UE) 2026/1744: o texto final do Digital Omnibus, artigo a artigo

Por João Rodrigues · Better Skills · Publicado a 4 de agosto de 2026

Durante oito meses discutiu-se o Digital Omnibus como proposta, posição negocial e acordo político. Essa fase acabou. O Regulamento (UE) 2026/1744 do Parlamento Europeu e do Conselho, de 8 de julho de 2026, que altera os Regulamentos (UE) 2024/1689 (AI Act), (UE) 2018/1139 (aviação civil) e (UE) 2023/1230 (máquinas), foi publicado no Jornal Oficial da União Europeia a 24 de julho de 2026 e entrou em vigor a 27 de julho de 2026. É direito aplicável, com número, data e texto consolidado.

A entrada em vigor acelerada — poucos dias após a publicação, em vez do prazo habitual — não foi um detalhe processual. O AI Act tinha um bloco central de obrigações marcado para 2 de agosto de 2026, e o legislador europeu quis dar certeza jurídica antes dessa data, evitando que as empresas entrassem em aplicação sem saber qual das duas versões do calendário valia. Em Portugal, a ANACOM divulgou o regulamento no seu sítio no próprio dia da publicação.

O percurso legislativo foi rápido para os padrões da União: proposta da Comissão a 19 de novembro de 2025 (CELEX:52025PC0836), posição do Parlamento Europeu a 26 de março de 2026, acordo de trílogo a 7 de maio, voto do Parlamento a 16 de junho, aprovação do Conselho a 29 de junho, assinatura a 8 de julho e publicação a 24 de julho. Oito meses entre proposta e vigor.

Os prazos, antes e depois

A alteração com maior impacto operacional é o recuo do calendário de alto risco. Quatro datas mudaram:

Nota importante sobre o artigo 73.º: o que foi alinhado com o alto risco foi o início da obrigação de notificar. Os prazos de notificação em si — 15 dias na regra geral, 10 dias em caso de morte e 2 dias em incidentes generalizados — mantêm-se exactamente como estavam. O calendário completo, actualizado, está na página de prazos do AI Act.

Duas novas proibições no artigo 5.º

O Omnibus aliviou prazos, mas alargou o catálogo de práticas proibidas. O artigo 5.º, n.º 1, passou a ter duas alíneas novas:

• Alínea (ba) — sistemas de IA que geram ou manipulam material íntimo realista de pessoas identificáveis sem consentimento livre, específico, informado, inequívoco e explícito. A formulação abrange directamente as aplicações do tipo «nudifier».
• Alínea (bb) — material de abuso sexual de menores na acepção da Directiva 2011/93/UE, com excepções delimitadas para actividades lícitas do Estado e para red-teaming de segurança.

Ambas as proibições são aplicáveis a partir de 2 de dezembro de 2026 — quatro meses a contar de agora.

A parte que exige leitura atenta é a diferença de regime entre fornecedor e deployer, porque não é simétrica:

• Fornecedores não podem colocar no mercado sistemas em que o resultado proibido seja «razoavelmente previsível e reproduzível» sem salvaguardas adequadas. O teste não é a intenção declarada do produto: é o que o sistema faz de forma consistente quando alguém tenta. Um modelo generativo de uso geral que produza esse material com prompts triviais e sem filtro cai no âmbito, mesmo que a documentação diga o contrário.
• Deployers respondem pela utilização directa. Não há aqui teste de previsibilidade: quem usa um sistema de IA para gerar este material está a praticar a conduta proibida, independentemente do desenho do sistema ou das salvaguardas do fornecedor.

Para um fornecedor, a consequência prática é que a documentação das salvaguardas passa a ser prova. Filtros de moderação, bloqueio de prompts, testes adversariais e registo dos resultados desses testes deixam de ser boa prática e passam a ser a defesa. As coimas não mudaram: infracções ao artigo 5.º continuam sujeitas ao tecto máximo de 35 milhões de euros ou 7% do volume de negócios mundial; as restantes infracções, a 15 milhões ou 3%.

O artigo 4.º foi reescrito — e não é cálculo de palavras

A obrigação de literacia em IA mudou de natureza. O texto original exigia que fornecedores e deployers assegurassem um nível suficiente de literacia do seu pessoal. O texto em vigor exige que tomem medidas que apoiem o desenvolvimento de competências — e diz explicitamente que a obrigação não exige garantir qualquer nível específico.

Passou de obrigação de resultado a obrigação de meios. Para quem já tem um programa de literacia a correr, a leitura correcta não é «afinal não era preciso». É que a prova mudou de objecto: deixa de ser preciso demonstrar que os colaboradores atingiram um patamar de conhecimento — algo que ninguém sabia medir com segurança — e passa a ser preciso demonstrar que a organização tomou medidas sérias e adequadas ao seu contexto. Na prática, o que interessa guardar é o plano de formação, os registos de participação, os materiais e a adequação ao papel de cada equipa. Quem estava a construir testes de certificação interna para provar níveis pode redirigir esse esforço.

Registo: menos formulário, a mesma documentação

O Anexo VIII, secção B, perdeu dois requisitos de registo aplicáveis a sistemas que o fornecedor considere não serem de alto risco ao abrigo da derrogação do artigo 6.º, n.º 3. É uma simplificação administrativa real, mas limitada, e vale a pena perceber o que não mudou: as obrigações de documentação mantêm-se integralmente. A avaliação que fundamenta a auto-classificação como não-alto-risco continua a ter de existir, de estar escrita e de estar disponível para as autoridades. O que desapareceu foi a obrigação de carregar parte dessa informação na base de dados da UE, não a de a ter.

Transparência: uma única janela até dezembro

As obrigações do artigo 50.º aplicam-se desde 2 de agosto de 2026 — ou seja, desde anteontem. Chatbots têm de se identificar como IA, deepfakes têm de ser divulgados, sistemas de reconhecimento de emoções têm de informar as pessoas expostas.

A única concessão está no n.º 2: sistemas generativos já colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir a marcação técnica de conteúdo. Sistemas novos cumprem desde o primeiro dia. É um regime transitório estreito, aplicável a uma obrigação específica — não a um adiamento do artigo 50.º.

Máquinas: a opção sectorial

A alteração ao Regulamento (UE) 2023/1230 revela uma escolha de método. Em vez de manter a IA embebida em máquinas sob dupla verificação, o legislador determinou que a Comissão deve integrar os requisitos de segurança de IA no Anexo III do Regulamento Máquinas até 2 de agosto de 2028. A lógica é sectorial: os requisitos passam a viver na legislação do produto, aplicados pelas autoridades e organismos notificados que já conhecem o sector. Para fabricantes de maquinaria industrial, a data a marcar é 2028, e o interlocutor regulatório tende a continuar a ser o mesmo de sempre. O mesmo raciocínio explica a alteração ao Regulamento (UE) 2018/1139, da aviação civil.

O que isto significa para as empresas portuguesas

Três consequências concretas. Primeiro, a ANACOM, coordenadora nacional, e as 14 entidades sectoriais designadas ganham horizonte até dezembro de 2027 para montar a fiscalização do alto risco, e até agosto de 2027 para a sandbox nacional. Segundo, o regime sancionatório nacional continua por aprovar — as coimas do AI Act existem no texto europeu, mas Portugal ainda não legislou o processo, a competência e a graduação. Terceiro, e mais imediato: nada disto adia o que começou a 2 de agosto de 2026 nem o que começa a 2 de dezembro de 2026.

A recomendação que temos dado às organizações com que trabalhamos mantém-se: tratar as datas de 2026 como reais e usar o tempo adicional de 2027 para fazer bem a documentação técnica, a governação de dados e a supervisão humana. O standard não baixou — só a data mudou. O contexto completo do pacote está na página do Digital Omnibus 2026.

Fontes: Regulamento (UE) 2026/1744, EUR-Lex; Jornal Oficial da UE de 24 de julho de 2026; ANACOM (divulgação de 24 de julho de 2026); proposta da Comissão CELEX:52025PC0836. Este artigo é informativo e não constitui aconselhamento jurídico.