Maurice Müller
Senior Content Manager
Maurice Müller é jornalista e estratega de conteúdos com experiência em meios de comunicação impressos e digitais. Na Formalize, transforma temas complexos relacionados com a conformidade e com a regulamentação em conteúdos claros e práticos para profissionais das áreas da conformidade, do risco e da segurança em toda a Europa.
Pontos Chave:
As obrigações relativas à IA de alto risco para sistemas autónomos são adiadas de agosto de 2026 para dezembro de 2027. No caso da IA incorporada em produtos regulamentados, o prazo é adiado para agosto de 2028.
Os modelos de IA de uso geral (GPAI), os casos de utilização geralmente proibidos e as obrigações gerais de transparência continuam a aplicar-se de acordo com o calendário original. Apenas os requisitos de marca d'água previstos no artigo 50.º, n.º 2, foram ajustados, com um período de tolerância até 2 de dezembro de 2026 para os sistemas já existentes no mercado.
Apenas 5 a 15 % dos sistemas de IA implantados nas organizações se enquadram no âmbito de aplicação do Regulamento da Inteligência Artificial da UE, mas regulamentos adjacentes, como o RGPD, a NIS2 e a DORA, continuam a aplicar-se aos restantes.
O adiamento reflete a ausência de normas técnicas finalizadas, e não uma redução das expectativas regulamentares.
A inação não é uma estratégia: os trabalhos de inventário, classificação e governação já deveriam estar em curso.
O que é o Regulamento da Inteligência Artificial da UE?
O Regulamento da Inteligência Artificial da UE (Regulamento (UE) n.º 2024/1689) é um regulamento relativo à segurança dos produtos que define requisitos específicos para modelos e sistemas de IA implantados em toda a UE. Trata-se do primeiro quadro regulamentar abrangente para a IA na Europa e aplica-se diretamente em todos os Estados-Membros, ao contrário de uma diretiva, que requer transposição para o direito nacional.
O Regulamento da Inteligência Artificial adota uma abordagem baseada no risco, dividindo os sistemas de IA em quatro níveis: risco inaceitável (proibido), risco elevado, risco limitado e risco mínimo. A maioria das obrigações de conformidade centra-se na categoria de risco elevado.
Um dos erros mais comuns que as organizações cometem é tratar o Regulamento da Inteligência Artificial como um regulamento de cibersegurança. Não é o caso. Tem as suas raízes na legislação relativa à segurança dos produtos e inclui proteções explícitas dos direitos fundamentais. Esta distinção é importante para a forma como as organizações abordam a conformidade e para determinar quais as equipas internas que devem liderar esse processo. Uma equipa de cibersegurança, por si só, não será suficiente.
O que é o Digital Omnibus sobre IA e o que é que ele alterou?
O Omnibus Digital sobre IA é um conjunto de alterações específicas ao Regulamento da Inteligência Artificial, adotado formalmente em julho de 2026. Fazia parte de um esforço mais amplo de simplificação da UE, impulsionado em parte pelas preocupações com a complexidade regulamentar descritas no relatório de Mario Draghi de 2024 sobre a competitividade da UE.
A razão principal para a alteração foi de natureza prática: a maioria das normas técnicas necessárias para pôr em prática os requisitos do Regulamento da Inteligência Artificial relativos aos sistemas de alto risco ainda não tinham sido finalizadas. Sem essas normas, as organizações não dispunham de uma forma clara de demonstrar a conformidade. O Omnibus prorrogou os prazos para os alinhar com a data prevista para a disponibilização dessas normas.
Prazos prorrogados para sistemas de IA de alto risco
Os sistemas de IA autónomos de alto risco enumerados no Anexo III (que abrangem casos de utilização como ferramentas de recrutamento, avaliação de risco de crédito, aplicação da lei, educação e controlo de fronteiras) têm agora de estar em conformidade até 2 de dezembro de 2027, data que foi adiada em relação à data inicial de 2 de agosto de 2026.
Os sistemas de IA de alto risco incorporados em produtos regulamentados ao abrigo do Anexo I (tais como dispositivos médicos, máquinas e veículos) passam a ter como prazo 2 de agosto de 2028, prorrogado de 2 de agosto de 2027.
Foram adicionadas novas proibições
A Lei Omnibus introduz novas práticas proibidas no domínio da IA, abrangendo sistemas que geram imagens íntimas sem consentimento e material de abuso sexual de menores. Estas disposições entram em vigor imediatamente.
Obrigações de transparência ajustadas
Os requisitos relativos às marcas de água e à divulgação de conteúdos sintéticos previstos no n.º 2 do artigo 50.º passam a aplicar-se a partir de 2 de dezembro de 2026 aos sistemas já existentes no mercado. Os novos sistemas devem cumprir esses requisitos a partir da data em que forem colocados no mercado.
O que não mudou
A estrutura central do Regulamento da Inteligência Artificial mantém-se inalterada. O quadro de classificação baseado no risco, os quatro níveis, as obrigações relativas aos modelos de IA de uso geral (GPAI) e a função de supervisão do Serviço Europeu para a IA permanecem inalterados. A prorrogação do prazo não se aplica às obrigações relativas à GPAI nem aos casos de utilização proibida de carácter geral já em vigor.
A quem se aplica o Regulamento da Inteligência Artificial da UE?
O Regulamento da Inteligência Artificial distingue, essencialmente, duas funções ao longo da cadeia de valor da IA.
Os prestadores são organizações que desenvolvem um sistema de IA e o colocam no mercado ou o colocam em serviço sob o seu próprio nome ou marca registada. Isto inclui organizações que desenvolvem sistemas de IA exclusivamente para uso interno: se criar um sistema que nunca tenha sido comercializado anteriormente e o implantar internamente, é considerado um prestador nos termos do Regulamento da Inteligência Artificial.
Os responsáveis pela implantação são organizações que utilizam um sistema de IA num contexto profissional. Se utilizar uma ferramenta de IA desenvolvida por um fornecedor, é considerado um utilizador. As suas obrigações dependem da classificação de risco do sistema e das responsabilidades do seu fornecedor, conforme estabelecido no contrato.
Uma nuance importante: se um responsável pela implantação utilizar um sistema de IA de uma forma que o prestador não tenha previsto ou tenha proibido explicitamente nos seus termos de serviço (por exemplo, aplicando uma ferramenta de uso geral a um caso de utilização de alto risco), o responsável pela implantação pode tornar-se, por defeito, o prestador de um sistema de alto risco.
Determinar o seu papel em cada sistema que utiliza ou desenvolve é o primeiro passo em qualquer programa de conformidade em matéria de IA. A plataforma de conformidade com o Regulamento da Inteligência Artificial da Formalize foi concebida especificamente para os responsáveis pela implantação, ajudando as equipas a mapear sistemas de IA, a classificar casos de utilização e a manter documentação pronta para auditoria num único local.
Quais são os principais passos a seguir em matéria de conformidade?
A prorrogação do prazo não altera o trabalho de conformidade. Altera apenas o momento em que as obrigações passam a ser exigíveis.
1. Criar e manter um inventário de IA
Registe todos os sistemas de IA que a sua organização fornece ou implanta. Para cada sistema, responda: trata-se de um sistema de IA nos termos do Regulamento da Inteligência Artificial? Qual é o seu papel (prestador ou responsável pela implantação)? Consegue documentar e defender esse raciocínio perante um auditor?
2. Classifique cada sistema
Determine a classificação de risco de cada sistema de IA com base no seu caso de utilização e contexto. A classificação não é um exercício pontual. Se um sistema alterar a sua finalidade ou for utilizado num novo contexto, a sua classificação poderá mudar. Note-se que algumas orientações nacionais sobre a classificação ao abrigo do Regulamento da Inteligência Artificial têm sido alvo de críticas por a tratarem como um exercício de cibersegurança: as orientações a nível da UE emitidas pelo Serviço Europeu para a IA devem constituir a referência principal.
3. Avaliar as suas obrigações e acordar um RACI com os fornecedores
Para cada sistema, determine quais as obrigações aplicáveis e quem é responsável por cada aspeto. Se for responsável pela implantação de um sistema de IA de alto risco desenvolvido por um fornecedor, este deverá ser capaz de explicar o seu plano de conformidade tendo em vista o prazo de dezembro de 2027.
4. Traduzir os requisitos em governação operacional
Os requisitos têm de se traduzir em políticas, processos, programas de formação e procedimentos de acompanhamento. Não se trata de documentação por si só. É a base para a preparação para auditorias, a recolha de evidências e para supervisão contínua.
5. Monitorizar continuamente
A conformidade não é um projeto com uma data de conclusão. Os sistemas de IA mudam, os casos de utilização evoluem e as orientações regulamentares vão-se desenvolvendo. Integre a monitorização nas operações normais, e não apenas em sprints realizados antes do prazo.
Uma nota sobre as PME e as empresas de pequena capitalização média
Dado que a maioria das empresas da UE são PME, o Omnibus Digital alarga também as medidas de simplificação existentes. As PME e as startups, e não apenas as microempresas como anteriormente, podem agora demonstrar a conformidade com determinados elementos do sistema de gestão da qualidade obrigatório para sistemas de IA de alto risco de forma simplificada. Outras medidas de alívio foram alargadas à categoria Small Mid-Cap (SMC), recentemente criada, definida como organizações que não são PME, empregam menos de 750 pessoas e têm um volume de negócios anual não superior a 150 milhões de euros ou um total do balanço anual não superior a 129 milhões de euros.
E quanto aos sistemas de IA que não são abrangidos pelo Regulamento da Inteligência Artificial?
Este é um dos pontos mais importantes a ter em conta. De acordo com a própria avaliação de impacto da Comissão Europeia, apenas 5 a 15 % dos sistemas de IA responsáveis pela implantação nas organizações se enquadram no âmbito de aplicação do Regulamento da Inteligência Artificial.
Isso não significa que os restantes não estejam regulamentados.
O RGPD aplica-se a qualquer sistema de IA que trate dados pessoais, o que abrange a maioria das ferramentas de IA utilizadas nas operações empresariais do dia-a-dia. As organizações são responsáveis, na qualidade de responsáveis pelo tratamento e/ou subcontratantes de dados, pelo que introduzem nos sistemas de IA. No mínimo, isto exige a definição ou atualização de políticas internas, critérios de classificação de dados e instruções de utilização.
A NIS2 e a DORA aplicam-se às organizações abrangidas pelos respetivos âmbitos de aplicação, e os sistemas de IA que estejam relacionados com infraestruturas críticas, gestão de incidentes ou riscos de terceiros são provavelmente relevantes para essas obrigações de conformidade, embora a interação entre as regras setoriais e o Regulamento da Inteligência Artificial possa ser complexa e dependa do contexto.
A regulamentação específica de cada setor, como a que abrange os dispositivos médicos, os serviços financeiros e as infraestruturas críticas, pode também impor requisitos aos sistemas de IA que não se enquadram no âmbito de aplicação do Regulamento da Inteligência Artificial da UE.
Normas internacionais, como a ISO 42001 e o Framework de Gestão de Riscos de IA do NIST, proporcionam estruturas de governação úteis, mas não são equivalentes à conformidade com o Regulamento da Inteligência Artificial da UE. Uma organização com uma implementação madura da norma ISO 42001 terá mais facilidade no processo de conformidade com o Regulamento da Inteligência Artificial, mas as duas frameworks têm objetivos diferentes e não podem substituir-se mutuamente.
De que forma a governação da IA se relaciona com os frameworks de GRC existentes?
Para as organizações que já gerem a NIS2, a DORA, a ISO 27001 ou o RGPD, a governação da IA não é um programa separado. Trata-se de uma extensão da infraestrutura de conformidade existente.
As capacidades essenciais são as mesmas: avaliar riscos, mapear controlos, recolher evidências e estar preparado para auditorias. O que muda é o objeto em questão. Os sistemas de IA, os seus casos de utilização e a forma como são governados substituem os frameworks regulamentares com os quais as equipas de conformidade estão habituadas a trabalhar.
As organizações que já dispõem de fluxos de trabalho estruturados de GRC estão melhor posicionadas para integrar os requisitos de governação da IA, uma vez que o modelo operacional lhes é familiar. O desafio, muitas vezes, não reside em compreender o que é necessário fazer, mas sim em reunir as equipas certas e garantir que os sistemas de IA são inventariados e classificados antes da sua implantação, e não depois.
Como começar
O ponto de partida prático é fazer um inventário. Antes de se poder proceder a qualquer classificação, mapeamento de obrigações ou diligência prévia dos prestadores, é necessário ter uma visão clara dos sistemas de IA que a sua organização fornece ou implanta, do que estes fazem e de quem é responsável por eles.
A partir daí, o trabalho é, em grande parte, familiar a qualquer equipa de conformidade: classificar, avaliar obrigações, atribuir responsabilidades, documentar e reunir evidências de forma contínua, em vez de o fazer numa corrida de última hora antes do prazo.
O Formalize apoia a governação da IA como parte de uma estrutura mais ampla de GRC (Governação, Risco e Conformidade), incluindo o mapeamento de sistemas de IA, fluxos de trabalho de avaliação de riscos, gestão de incidentes e configurações pré-definidas tanto para responsáveis pela implantação do Regulamento da Inteligência Artificial da UE como para organizações que aplicam a norma ISO 42001. Para as organizações que já utilizam o Formalize para gerir a NIS2, a DORA ou a ISO 27001, a governação da IA enquadra-se na mesma estrutura, em vez de funcionar como um fluxo de trabalho separado.
Veja como o Formalize apoia a conformidade com o Regulamento da Inteligência Artificial da UE.