Regulamento (UE) 2026/1744: o texto final do Digital Omnibus, artigo a artigo

Por João Rodrigues · Better Skills · Publicado a 4 de agosto de 2026

Durante oito meses discutiu-se o Digital Omnibus como proposta, posição negocial e acordo político. Essa fase acabou. O Regulamento (UE) 2026/1744 do Parlamento Europeu e do Conselho, de 8 de julho de 2026, que altera os Regulamentos (UE) 2024/1689 (AI Act), (UE) 2018/1139 (aviação civil) e (UE) 2023/1230 (máquinas), foi publicado no Jornal Oficial da União Europeia a 24 de julho de 2026 e entrou em vigor a 27 de julho de 2026. É direito aplicável, com número, data e texto consolidado.

A entrada em vigor acelerada — poucos dias após a publicação, em vez do prazo habitual — não foi um detalhe processual. O AI Act tinha um bloco central de obrigações marcado para 2 de agosto de 2026, e o legislador europeu quis dar certeza jurídica antes dessa data, evitando que as empresas entrassem em aplicação sem saber qual das duas versões do calendário valia. Em Portugal, a ANACOM divulgou o regulamento no seu sítio no próprio dia da publicação.

O percurso legislativo foi rápido para os padrões da União: proposta da Comissão a 19 de novembro de 2025 (CELEX:52025PC0836), posição do Parlamento Europeu a 26 de março de 2026, acordo de trílogo a 7 de maio, voto do Parlamento a 16 de junho, aprovação do Conselho a 29 de junho, assinatura a 8 de julho e publicação a 24 de julho. Oito meses entre proposta e vigor.

Os prazos, antes e depois

A alteração com maior impacto operacional é o recuo do calendário de alto risco. Quatro datas mudaram:

Nota importante sobre o artigo 73.º: o Regulamento (UE) 2026/1744 não alterou expressamente a data de aplicação deste artigo no artigo 113.º. Como a obrigação de notificar recai sobre prestadores de sistemas de risco elevado, na prática só produz efeitos quando esses sistemas ficarem sujeitos ao capítulo III (2 de dezembro de 2027 para o anexo III). Os prazos de notificação em si — 15 dias na regra geral, 10 dias em caso de morte e 2 dias em incidentes generalizados — mantêm-se exactamente como estavam. O calendário completo, actualizado, está na página de prazos do AI Act.

Duas novas proibições no artigo 5.º

O Omnibus aliviou prazos, mas alargou o catálogo de práticas proibidas. O artigo 5.º, n.º 1, passou a ter duas alíneas novas:

• Alínea b-A) — sistemas de IA que geram ou manipulam material íntimo realista de pessoas identificáveis sem consentimento livre, específico, informado, inequívoco e explícito. A formulação abrange directamente as aplicações do tipo «nudifier».
• Alínea b-B) — sistemas que gerem, manipulem ou reproduzam materiais ou espectáculos na acepção do artigo 2.º, alíneas c) e e), da Directiva 2011/93/UE (material de abuso sexual de menores). O texto ressalva apenas os casos em que, ao abrigo do direito nacional, seja aplicável uma causa de exclusão da ilicitude.

Ambas as proibições são aplicáveis a partir de 2 de dezembro de 2026 — quatro meses a contar de agora.

A parte que exige leitura atenta é a diferença de regime entre fornecedor e deployer, porque não é simétrica:

• Fornecedores não podem colocar no mercado sistemas em que o resultado proibido seja «razoavelmente previsível e reprodutível» sem salvaguardas adequadas. O teste não é a intenção declarada do produto: é o que o sistema faz de forma consistente quando alguém tenta. Um modelo generativo de uso geral que produza esse material com prompts triviais e sem filtro cai no âmbito, mesmo que a documentação diga o contrário.
• Deployers respondem pela utilização directa. Não há aqui teste de previsibilidade: quem usa um sistema de IA para gerar este material está a praticar a conduta proibida, independentemente do desenho do sistema ou das salvaguardas do fornecedor.

Para um fornecedor, a consequência prática é que a documentação das salvaguardas passa a ser prova. Filtros de moderação, bloqueio de prompts, testes adversariais e registo dos resultados desses testes deixam de ser boa prática e passam a ser a defesa. As coimas não mudaram: infracções ao artigo 5.º continuam sujeitas ao tecto máximo de 35 milhões de euros ou 7% do volume de negócios mundial; as restantes infracções, a 15 milhões ou 3%.

O artigo 4.º foi reescrito — e não é cálculo de palavras

A obrigação de literacia em IA mudou de natureza. O texto original exigia que fornecedores e deployers assegurassem um nível suficiente de literacia do seu pessoal. O texto em vigor exige que tomem medidas que promovam a literacia no domínio da IA — e diz explicitamente que a obrigação não exige garantir qualquer nível específico.

Passou de obrigação de resultado a obrigação de meios. Para quem já tem um programa de literacia a correr, a leitura correcta não é «afinal não era preciso». É que a prova mudou de objecto: deixa de ser preciso demonstrar que os colaboradores atingiram um patamar de conhecimento — algo que ninguém sabia medir com segurança — e passa a ser preciso demonstrar que a organização tomou medidas sérias e adequadas ao seu contexto. Na prática, o que interessa guardar é o plano de formação, os registos de participação, os materiais e a adequação ao papel de cada equipa. Quem estava a construir testes de certificação interna para provar níveis pode redirigir esse esforço.

Um artigo novo: o 4.º-A, sobre dados sensíveis e enviesamento

A alteração menos comentada é também das mais úteis na prática. O Omnibus criou um artigo 4.º-A que dá base legal expressa ao tratamento de categorias especiais de dados pessoais quando isso for estritamente necessário para detectar e corrigir enviesamentos. Antes, esta possibilidade estava no artigo 10.º, n.º 5 (agora suprimido) e limitava-se aos sistemas de risco elevado; passa a estar num artigo autónomo e a abranger também outros sistemas e modelos de IA e os próprios responsáveis pela implantação.

As condições são exigentes e cumulativas: a detecção não pode ser feita eficazmente com outros dados (incluindo sintéticos ou anonimizados); os dados têm limitações técnicas de reutilização e medidas de segurança e privacidade do estado da arte, incluindo pseudonimização; o acesso é rigorosamente controlado e documentado; os dados não são transmitidos a terceiros; são eliminados assim que o enviesamento for corrigido; e os registos de tratamento têm de explicar porque foi estritamente necessário. O texto acrescenta ainda, expressamente, que nada disto obriga a fazer essa detecção.

Simplificações para PME que passaram despercebidas

• Documentação técnica simplificada (art. 11.º) — PME, empresas em fase de arranque e pequenas empresas de média capitalização podem apresentar os elementos do Anexo IV de forma simplificada, num formulário que a Comissão tem de criar. Os organismos notificados são obrigados a aceitá-lo.
• Sistema de gestão da qualidade proporcionado (art. 17.º) — a aplicação deve ser proporcionada à dimensão da organização, sem baixar o grau de rigor necessário à conformidade.
• FRIA menos duplicada (art. 27.º) — quem já fez uma avaliação de impacto sobre a protecção de dados pode remeter para as suas secções pertinentes ou integrá-las na FRIA. O Serviço para a IA fica encarregado de criar um modelo de questionário.
• Cibersegurança com presunção de conformidade (art. 42.º) — sistemas abrangidos pelo Cyber Resilience Act (Regulamento (UE) 2024/2847) que cumpram as condições do seu artigo 12.º, n.º 1 presumem-se conformes com o artigo 15.º do AI Act.
• Novas definições (art. 3.º) — entram no regulamento as noções de PME e de «pequena empresa de média capitalização», e a de componente de segurança foi reescrita.

Registo: menos formulário, a mesma documentação

O Anexo VIII, secção B, perdeu dois requisitos de registo (foram suprimidos os pontos 7 e 9) aplicáveis a sistemas que o fornecedor considere não serem de alto risco ao abrigo da derrogação do artigo 6.º, n.º 3. É uma simplificação administrativa real, mas limitada, e vale a pena perceber o que não mudou: as obrigações de documentação mantêm-se integralmente. A avaliação que fundamenta a auto-classificação como não-alto-risco continua a ter de existir, de estar escrita e de estar disponível para as autoridades. O que desapareceu foi a obrigação de carregar parte dessa informação na base de dados da UE, não a de a ter.

Transparência: uma única janela até dezembro

As obrigações do artigo 50.º aplicam-se desde 2 de agosto de 2026 — ou seja, desde anteontem. Chatbots têm de se identificar como IA, deepfakes têm de ser divulgados, sistemas de reconhecimento de emoções têm de informar as pessoas expostas.

A única concessão está no n.º 2: sistemas generativos já colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir a marcação técnica de conteúdo. Sistemas novos cumprem desde o primeiro dia. É um regime transitório estreito, aplicável a uma obrigação específica — não a um adiamento do artigo 50.º.

Máquinas: a opção sectorial

A alteração ao Regulamento (UE) 2023/1230 revela uma escolha de método. Em vez de manter a IA embebida em máquinas sob dupla verificação, o legislador determinou que a Comissão deve integrar os requisitos de segurança de IA no Anexo III do Regulamento Máquinas até 2 de agosto de 2028. A lógica é sectorial: os requisitos passam a viver na legislação do produto, aplicados pelas autoridades e organismos notificados que já conhecem o sector. Para fabricantes de maquinaria industrial, a data a marcar é 2028, e o interlocutor regulatório tende a continuar a ser o mesmo de sempre. O mesmo raciocínio explica a alteração ao Regulamento (UE) 2018/1139, da aviação civil.

O que isto significa para as empresas portuguesas

Três consequências concretas. Primeiro, a ANACOM, coordenadora nacional, e as 14 entidades sectoriais designadas ganham horizonte até dezembro de 2027 para montar a fiscalização do alto risco, e até agosto de 2027 para a sandbox nacional. Segundo, o regime sancionatório nacional continua por aprovar — as coimas do AI Act existem no texto europeu, mas Portugal ainda não legislou o processo, a competência e a graduação. Terceiro, e mais imediato: nada disto adia o que começou a 2 de agosto de 2026 nem o que começa a 2 de dezembro de 2026.

A recomendação que temos dado às organizações com que trabalhamos mantém-se: tratar as datas de 2026 como reais e usar o tempo adicional de 2027 para fazer bem a documentação técnica, a governação de dados e a supervisão humana. O standard não baixou — só a data mudou. O contexto completo do pacote está na página do Digital Omnibus 2026.

Fontes: Regulamento (UE) 2026/1744, EUR-Lex; Jornal Oficial da UE de 24 de julho de 2026; ANACOM (divulgação de 24 de julho de 2026); proposta da Comissão CELEX:52025PC0836. Este artigo é informativo e não constitui aconselhamento jurídico.