Artigos-Chave do AI Act

Artigo 2

Resumo: Define a quem e a que se aplica o AI Act, estabelecendo o alcance territorial e material do regulamento, incluindo o seu efeito extraterritorial.

Pontos-chave:

• Fornecedores que coloquem no mercado ou ponham em serviço sistemas de IA na UE, independentemente de estarem estabelecidos dentro ou fora da União
• Deployers (utilizadores profissionais) de sistemas de IA localizados na UE
• Efeito extraterritorial: aplica-se a fornecedores e deployers em países terceiros quando o output do sistema de IA é utilizado na UE
• Importadores e distribuidores de sistemas de IA no mercado da UE
• Exclusões: sistemas de IA para fins exclusivamente militares, de defesa ou segurança nacional; atividades de investigação e desenvolvimento puramente científicas; e pessoas singulares que utilizem IA para fins pessoais não profissionais
• Não se aplica a sistemas de IA colocados no mercado ao abrigo de legislação da União específica que preveja requisitos equivalentes

Implicações práticas:

Qualquer organização que opere em Portugal e utilize ou forneça sistemas de IA está potencialmente abrangida pelo regulamento. O efeito extraterritorial significa que fornecedores fora da UE cujos sistemas sejam utilizados em Portugal também estão sujeitos ao AI Act. Realize um mapeamento completo de todos os seus sistemas de IA para determinar quais estão no âmbito do regulamento.

Em vigor desde 1 de agosto de 2024

Artigo 3

Resumo: Estabelece 68 definições fundamentais para a interpretação uniforme do regulamento em toda a UE. A definição de "sistema de IA" está alinhada com a definição da OCDE.

Pontos-chave:

• Sistema de IA (Art. 3(1)): sistema baseado em máquina, concebido para funcionar com níveis variáveis de autonomia, que possa apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, infere, a partir dos dados de entrada que recebe, a forma de gerar outputs (previsões, conteúdos, recomendações ou decisões) que possam influenciar ambientes físicos ou virtuais
• Fornecedor (Art. 3(3)): pessoa singular ou coletiva que desenvolve ou manda desenvolver um sistema de IA ou um modelo de IA de propósito geral e o coloca no mercado ou põe em serviço sob o seu próprio nome ou marca
• Deployer/Utilizador (Art. 3(4)): pessoa singular ou coletiva que utiliza um sistema de IA sob a sua autoridade, exceto quando o sistema é utilizado no âmbito de uma atividade pessoal não profissional
• Responsável pela implantação (Art. 3(4)): termo oficial em português para "deployer"
• Risco sistémico (Art. 3(65)): risco específico das capacidades de modelos de IA de propósito geral, com impacto significativo no mercado interno devido ao seu alcance ou efeitos negativos reais ou razoavelmente previsíveis
• Dados de treino, validação e teste: definidos separadamente com requisitos específicos para cada tipo

Implicações práticas:

A definição ampla de "sistema de IA" pode abranger ferramentas que muitas organizações não consideram como IA. Recomenda-se um inventário completo de todos os sistemas utilizados, comparando cada um com a definição do Art. 3(1). Atenção especial à expressão "níveis variáveis de autonomia" e "capacidade de adaptação após a implantação", que são elementos diferenciadores face a software tradicional.

Em vigor desde 1 de agosto de 2024

Artigo 4

Resumo: Obriga fornecedores e utilizadores a tomar medidas que promovam a literacia no domínio da IA do seu pessoal e de quem opera sistemas de IA sob a sua autoridade. O Regulamento (UE) 2026/1744 reescreveu este artigo: deixou de exigir garantir um nível específico de literacia.

Pontos-chave:

• Aplica-se a todos os sistemas de IA, independentemente do nível de risco: é a obrigação mais transversal do regulamento
• Abrange formação, educação, sensibilização e conhecimentos práticos adequados ao contexto de utilização
• Deve ter em conta os conhecimentos técnicos, a experiência, a formação e o contexto em que os sistemas de IA serão utilizados
• Deve considerar as pessoas ou grupos de pessoas em relação aos quais os sistemas de IA serão utilizados
• A obrigação é proporcional: o nível de literacia exigido depende da complexidade e do impacto do sistema utilizado
• O AI Pact da Comissão Europeia já disponibiliza recursos e orientações para programas de literacia

Implicações práticas:

Todas as organizações que utilizem IA devem implementar programas de formação. Documente todas as ações de literacia realizadas, incluindo participantes, conteúdos, datas e avaliações de eficácia. Esta é uma obrigação já em vigor e frequentemente subestimada pelas organizações.

Em vigor desde 2 de fevereiro de 2025

Artigo 5

Resumo: Proíbe 8 práticas de IA consideradas inaceitáveis por violarem direitos fundamentais dos cidadãos europeus. Estas constituem o "piso" absoluto do regulamento.

As 8 práticas proibidas:

• Manipulação subliminar ou enganosa: técnicas que distorcem materialmente o comportamento de pessoas, causando danos significativos
• Exploração de vulnerabilidades: explorar a idade, deficiência ou situação socioeconómica para distorcer comportamento
• Social scoring: classificação social por autoridades públicas que conduza a tratamento prejudicial ou desproporcional
• Policiamento preditivo individual: avaliação de risco criminal baseada exclusivamente em profiling ou personalidade
• Scraping facial não direcionado: criação ou expansão de bases de dados de reconhecimento facial a partir da internet ou CCTV
• Reconhecimento de emoções: inferência de emoções no local de trabalho e instituições de ensino (exceto uso médico/segurança)
• Categorização biométrica sensível: categorização para inferir raça, opiniões políticas, filiação sindical, crenças religiosas ou orientação sexual
• Identificação biométrica remota em tempo real: em espaços públicos para aplicação da lei (com exceções muito limitadas)

Implicações práticas:

Violação implica multas até 35 milhões de euros ou 7% da faturação global (o que for superior). Audite imediatamente todos os sistemas de IA para garantir que nenhum se enquadra nestas categorias. Consulte a página de práticas proibidas para informação detalhada sobre cada uma.

Em vigor desde 2 de fevereiro de 2025

Artigo 53

Resumo: Define as obrigações para fornecedores de modelos de IA de propósito geral (GPAI), como modelos de linguagem de grande dimensão (LLMs) e modelos foundation.

Pontos-chave:

• Documentação técnica: elaborar e manter documentação técnica atualizada do modelo, incluindo processo de treino e avaliação
• Informação a jusante: disponibilizar informação e documentação adequada a fornecedores a jusante que integrem o modelo nos seus sistemas de IA
• Direitos de autor: implementar uma política para cumprir a legislação da União em matéria de direitos de autor, nomeadamente a Diretiva (UE) 2019/790
• Resumo de dados de treino: elaborar e disponibilizar publicamente um resumo suficientemente detalhado sobre os conteúdos utilizados no treino do modelo
• Risco sistémico (Art. 55): modelos com capacidades de alto impacto (limiar de 10²⁵ FLOP) ficam sujeitos a obrigações adicionais: avaliação de modelos, avaliação e mitigação de riscos sistémicos, reporte de incidentes e cibersegurança adequada
• Códigos de conduta: podem ser utilizados para demonstrar conformidade com as obrigações, conforme orientações do AI Office

Implicações práticas:

Se desenvolve ou treina modelos foundation/LLM, prepare documentação técnica completa e o resumo dos dados de treino. Se integra modelos GPAI de terceiros nos seus sistemas, verifique que o fornecedor a montante cumpre estas obrigações e que lhe disponibiliza a informação necessária. Consulte a página de GPAI para mais detalhes.

Em vigor desde 2 de agosto de 2025

Artigo 99

Resumo: Estabelece o regime sancionatório do AI Act, com coimas estruturadas em três níveis de gravidade, seguindo um modelo semelhante ao do RGPD mas com valores máximos superiores.

Estrutura de coimas:

• Nível 1: até 35M€ ou 7% da faturação global anual: violação das práticas proibidas (Art. 5)
• Nível 2: até 15M€ ou 3% da faturação global anual: violação de outras disposições do regulamento (requisitos de alto risco, obrigações de fornecedores, deployers, transparência, GPAI)
• Nível 3: até 7,5M€ ou 1% da faturação global anual: prestação de informação incorreta, incompleta ou enganosa a organismos notificados ou autoridades competentes

Pontos-chave adicionais:

• Regra PME: para PMEs e startups, aplica-se sempre o menor dos dois valores (montante fixo vs. percentagem)
• Fatores atenuantes: cooperação com autoridades, dimensão da empresa, medidas corretivas adotadas, infraces anteriores
• Estados-Membros: cada Estado-Membro define as regras específicas de aplicação e designa as autoridades competentes
• Portugal: a ANACOM é a autoridade de fiscalização do mercado; as 14 entidades do art. 77.º (direitos fundamentais) podem pedir a documentação dos sistemas de alto risco, mas não aplicam coimas do AI Act

Implicações práticas:

As penalizações são significativas e proporcionais ao modelo do RGPD. Invista em conformidade preventiva. Documente todos os esforços de conformidade como evidência de boa-fé. Consulte a página de penalizações para uma análise detalhada, incluindo cenários práticos e comparação com o RGPD.

Em vigor desde 2 de agosto de 2025

Artigo 6

Resumo: Define os critérios para classificar um sistema de IA como de alto risco, utilizando um sistema de classificação de dupla via que remete para os Anexos I e III, com um mecanismo de filtro para exclusões.

Pontos-chave:

• Via Anexo I (Art. 6(1)): sistemas de IA que são componentes de segurança de produtos já regulados pela legislação de harmonização da União (máquinas, dispositivos médicos, brinquedos, equipamento de rádio, aviação civil, veículos a motor, etc.) e que necessitam de avaliação de conformidade por terceiros
• Via Anexo III (Art. 6(2)): sistemas de IA em áreas sensíveis especificamente listadas: biometria, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, acesso a serviços essenciais, aplicação da lei, gestão de migração e asilo, e administração da justiça
• Mecanismo de filtro (Art. 6(3)): um sistema listado no Anexo III não é considerado alto risco se não representar um risco significativo de dano à saúde, segurança ou direitos fundamentais das pessoas, nomeadamente quando não influencia materialmente o resultado da tomada de decisão
• Exceção ao filtro: o mecanismo de filtro não se aplica a sistemas de IA que realizem profiling de pessoas singulares; estes são sempre de alto risco se listados no Anexo III
• Os fornecedores que invoquem o filtro devem documentar a avaliação antes da colocação no mercado e fornecer essa documentação às autoridades competentes mediante pedido

Implicações práticas:

Utilize o classificador de risco para determinar se o seu sistema é de alto risco. Se for classificado como tal, aplica-se o conjunto completo de obrigações dos Artigos 8 a 22. O mecanismo de filtro oferece flexibilidade, mas deve ser documentado e justificado rigorosamente.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 9

Resumo: Exige que os fornecedores de sistemas de IA de alto risco implementem um sistema de gestão de riscos contínuo e iterativo ao longo de todo o ciclo de vida do sistema, desde a conceção até à desativação.

Pontos-chave:

• Processo iterativo: o sistema de gestão de riscos deve ser um processo contínuo e planificado, executado ao longo de todo o ciclo de vida do sistema de IA, exigindo atualização e revisão periódica
• Identificação e análise: identificação e análise dos riscos conhecidos e razoavelmente previsíveis que o sistema pode representar para a saúde, segurança ou direitos fundamentais
• Estimativa e avaliação: estimativa e avaliação dos riscos que possam surgir quando o sistema é utilizado em conformidade com a sua finalidade prevista e em condições de utilização indevida razoavelmente previsível
• Pós-comercialização: avaliação de outros riscos que possam surgir com base na análise de dados recolhidos através do sistema de monitorização pós-comercialização
• Medidas de mitigação: adoção de medidas de gestão de risco adequadas e orientadas, tendo em conta os efeitos e a possível interação das medidas entre si
• Testes: realização de testes para identificar as medidas de gestão de risco mais adequadas e orientadas, incluindo testes em condições reais quando adequado
• Risco residual: os riscos residuais devem ser considerados aceitáveis, e as informações sobre os mesmos devem ser comunicadas ao deployer

Implicações práticas:

Implemente um sistema formal de gestão de riscos com documentação completa. Considere alinhar com a ISO 23894 (gestão de riscos de IA) e a ISO 42001 (sistema de gestão de IA). O sistema deve ser vivo e atualizado regularmente, não um exercício pontual de conformidade.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 10

Resumo: Estabelece requisitos rigorosos para a governança dos dados de treino, validação e teste utilizados no desenvolvimento de sistemas de IA de alto risco, visando garantir a qualidade, relevância e representatividade dos dados.

Pontos-chave:

• Práticas de governança: os conjuntos de dados de treino, validação e teste devem estar sujeitos a práticas adequadas de governança e gestão de dados
• Escolhas de conceção: as práticas devem abranger as escolhas de conceção relevantes, os processos de recolha de dados, a sua origem e finalidade original
• Operações de preparação: incluem anotação, rotulagem, limpeza, atualização, enriquecimento e agregação de dados
• Formulação de pressupostos: devem ser explicitados os pressupostos relativos à informação que os dados devem medir e representar
• Disponibilidade e quantidade: avaliação da disponibilidade, quantidade e adequação dos conjuntos de dados necessários
• Vieses: exame atento a possíveis enviesamentos (biases) que possam afetar a saúde, segurança ou direitos fundamentais, incluindo medidas para a sua deteção e correção
• Lacunas e deficiências: identificação de lacunas ou deficiências nos dados e forma de as colmatar
• Dados pessoais: quando o tratamento de dados pessoais for necessário para detetar e corrigir vieses, deve cumprir o RGPD, incluindo o recurso a dados sintéticos ou anonimizados quando possível

Implicações práticas:

Implemente processos formais de governança de dados para todos os sistemas de IA de alto risco. Documente a proveniência dos dados, os processos de limpeza e preparação, e as medidas tomadas para identificar e mitigar vieses. A conformidade com o Art. 10 exige coordenação estreita com as obrigações do RGPD.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 13

Resumo: Os sistemas de IA de alto risco devem ser concebidos e desenvolvidos de forma a garantir que o seu funcionamento é suficientemente transparente para permitir aos deployers interpretar e utilizar adequadamente os outputs do sistema.

Pontos-chave:

• Instruções de utilização: devem acompanhar o sistema de IA e incluir informação concisa, completa, correta e clara, relevante, acessível e compreensível para os deployers
• Identidade do fornecedor: nome, endereço e dados de contacto do fornecedor e, quando aplicável, do seu representante autorizado
• Características e capacidades: descrição das características, capacidades e limitações de desempenho do sistema, incluindo nível de precisão, robustez e cibersegurança
• Alterações previsíveis: quaisquer circunstâncias conhecidas ou previsíveis que possam afetar o desempenho esperado
• Medidas de supervisão humana: descrição das medidas de supervisão humana incorporadas, incluindo as medidas técnicas para facilitar a interpretação dos outputs
• Recursos computacionais: quando aplicável, especificação dos recursos computacionais, de hardware e de software necessários
• Vida útil e manutenção: vida útil esperada do sistema e quaisquer medidas de manutenção e assistência necessárias

Implicações práticas:

Prepare documentação técnica detalhada e instruções de utilização para todos os sistemas de alto risco. Inclua informação sobre as limitações conhecidas, cenários de utilização testados e níveis de desempenho aferidos. A documentação deve ser suficiente para que o deployer utilize o sistema de forma informada.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 14

Resumo: Os sistemas de IA de alto risco devem ser concebidos e desenvolvidos de forma a permitirem uma supervisão humana eficaz por pessoas singulares durante o período de utilização do sistema.

Pontos-chave:

• Compreensão: os supervisores humanos devem compreender adequadamente as capacidades e limitações do sistema de IA e ser capazes de monitorizar devidamente o seu funcionamento
• Monitorização: capacidade de monitorizar o funcionamento do sistema de IA, incluindo detetar e resolver anomalias, disfunções e desempenho inesperado
• Decisão de não utilizar: possibilidade de decidir não utilizar o sistema de IA ou de ignorar, anular ou reverter o output do sistema
• Interrupção: capacidade de intervir no funcionamento do sistema de IA ou de o interromper através de um "botão de paragem" ou procedimento semelhante
• Viés de automação: os supervisores devem estar conscientes da possível tendência para confiar excessivamente ou depender automaticamente dos outputs gerados pelo sistema (automation bias)
• Identificação biométrica: para sistemas de identificação biométrica remota, pelo menos duas pessoas singulares devem verificar separadamente os resultados antes de qualquer ação

Implicações práticas:

Designe pessoas responsáveis pela supervisão humana de cada sistema de IA de alto risco. Forme-as adequadamente sobre o funcionamento, capacidades e limitações do sistema. Documente os procedimentos de supervisão e implemente mecanismos técnicos de interrupção. Inclua sensibilização sobre o viés de automação nos programas de formação.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 26

Resumo: Define as obrigações específicas dos deployers (responsáveis pela implantação/utilizadores profissionais) de sistemas de IA de alto risco, abrangendo desde a utilização conforme até à realização de avaliações de impacto nos direitos fundamentais.

Pontos-chave:

• Utilização conforme: utilizar o sistema de IA em conformidade com as instruções de utilização fornecidas pelo fornecedor
• Dados de entrada: garantir que os dados de entrada são relevantes e suficientemente representativos à luz da finalidade prevista do sistema
• Monitorização: monitorizar o funcionamento do sistema com base nas instruções de utilização e informar o fornecedor de quaisquer riscos ou incidentes identificados
• Conservação de registos: manter os registos automáticos (logs) gerados pelo sistema durante um período mínimo de 6 meses, salvo disposição em contrário na legislação aplicável
• FRIA (avaliação de impacto nos direitos fundamentais): antes da colocação em serviço, os deployers de organismos de direito público ou entidades privadas que prestem serviços públicos devem realizar uma avaliação de impacto nos direitos fundamentais (Fundamental Rights Impact Assessment)
• Informação às pessoas afetadas: informar as pessoas singulares de que estão sujeitas à utilização de um sistema de IA de alto risco que toma decisões ou contribui para decisões que lhes dizem respeito
• Supervisão humana: garantir que as pessoas encarregadas da supervisão humana possuem as competências, formação e autoridade necessárias

Implicações práticas:

Mesmo que a sua organização não desenvolva IA, se a utiliza profissionalmente tem obrigações legais significativas. Implemente processos de monitorização, conservação de registos e informação aos utilizadores finais. Se é um organismo público ou presta serviços públicos, prepare-se para realizar a FRIA.

Aplicável a partir de 2 de dezembro de 2027 (adiado pelo Digital Omnibus; era 2 ago 2026)

Artigo 50

Resumo: Estabelece obrigações de transparência específicas para sistemas de IA que interagem diretamente com pessoas, geram ou manipulam conteúdos (texto, áudio, imagem, vídeo) ou realizam reconhecimento de emoções e categorização biométrica.

Pontos-chave:

• Chatbots e assistentes virtuais: os fornecedores devem garantir que as pessoas são informadas de que estão a interagir com um sistema de IA, exceto quando isso for evidente pelas circunstâncias e contexto de utilização
• Reconhecimento de emoções e categorização biométrica: os deployers devem informar as pessoas singulares expostas ao funcionamento desses sistemas e tratar os dados pessoais em conformidade com o RGPD
• Deepfakes (conteúdo gerado/manipulado): os fornecedores e deployers devem divulgar que o conteúdo (áudio, imagem, vídeo) foi gerado artificialmente ou manipulado por IA, de forma que não restrinja a liberdade de expressão
• Texto gerado por IA: texto publicado com o objetivo de informar o público sobre questões de interesse público deve ser marcado como gerado artificialmente, exceto quando sujeito a revisão editorial humana
• Formato da divulgação: a divulgação deve ser clara, distinguível, compreensível e acessível, em conformidade com o Art. 50(6), de forma legível por máquina e detetável
• Exceções: utilização autorizada por lei para fins de deteção, prevenção ou investigação criminal; obras de natureza artística, criativa, satírica ou ficcionada com salvaguardas

Implicações práticas:

Se utiliza chatbots, geradores de imagem, texto, vídeo ou qualquer sistema que interaja com o público, implemente avisos claros e acessíveis de que se trata de conteúdo gerado ou mediado por IA. Para deepfakes e conteúdo sintético, implemente marcações técnicas (watermarks) e rotulagem visível. Consulte a página de transparência para orientações detalhadas.

Em vigor desde 2 de agosto de 2026 Marcação de conteúdo (Art. 50(2)): transição até 2 dez 2026