EU AI Act: o que vale para a sua empresa desde agosto de 2026

Depois da NIS-2 e do DORA, alinha-se com o EU AI Act a próxima regulação orientada por prazos que alcança as médias empresas. Desde 2 de agosto de 2026, o Regulamento (UE) 2024/1689 vale em grande parte de forma imediata – e, diferentemente da NIS-2, não há delimitação setorial: quem emprega ou oferece IA está, por princípio, no âmbito de aplicação. Ao mesmo tempo, o chamado Digital-Omnibus empurrou para trás as obrigações politicamente mais delicadas. Isso leva a um mal-entendido difundido: «adiado» não significa «resolvido», e o que vale desde agosto de 2026 vale com rigor.

Este artigo classifica o que, desde 2 de agosto de 2026, é de facto aplicável, o que o Omnibus adiou – e o que uma média empresa deve fazer agora concretamente.

A situação de prazos, ordenada com sobriedade

O AI Act entrou em vigor em 1 de agosto de 2024 e torna-se aplicável de forma escalonada. As etapas relevantes:

2 de fevereiro de 2025: as proibições (art. 5) para práticas de IA inaceitáveis, bem como a obrigação de competência em IA («AI literacy», art. 4), valem.
2 de agosto de 2025: as regras de governação e as obrigações para prestadores de modelos de IA de finalidade geral (GPAI, art. 51 e seguintes) valem.
2 de agosto de 2026: a aplicabilidade geral passa a valer – em particular as obrigações de transparência segundo o art. 50, bem como o regime de sanções e execução.
2 de dezembro de 2027: as obrigações para sistemas de risco elevado segundo o Anexo III (aplicações autónomas como triagem de candidatos, avaliação de solvência, biometria).
2 de agosto de 2028: as obrigações para sistemas de risco elevado integrados em produtos regulados (Anexo I).

As duas últimas datas são o resultado do Digital-Omnibus: as obrigações de risco elevado do Anexo III foram adiadas do original 2 de agosto de 2026 para 2 de dezembro de 2027, e as do Anexo I de 2 de agosto de 2027 para 2 de agosto de 2028. Esse adiamento alivia empresas que operam ou desenvolvem sistemas de risco elevado – mas não altera nada do que vale imediatamente desde 2 de agosto de 2026.

O que está em vigor com rigor desde 2 de agosto de 2026: transparência segundo o art. 50

As obrigações de transparência do art. 50 não foram adiadas. Atingem praticamente toda a empresa que emprega IA generativa no contacto com clientes ou na produção de conteúdo:

Divulgação de chatbot (art. 50, n.º 1): quem interage com um sistema de IA deve ser informado sobre isso – reconhecível na própria interação, não escondido nos termos e condições. Um bot de suporte sem indicação clara deixa, com isso, de estar em conformidade.
Marcação de conteúdos gerados por IA (art. 50, n.º 2): as saídas de sistemas generativos devem ser marcadas de forma legível por máquina como geradas ou editadas artificialmente. Para sistemas já existentes, o regulamento prevê um prazo de transição até 2 de dezembro de 2026; sistemas novos devem disponibilizar a marcação imediatamente.
Marcação de deepfakes e de assuntos de interesse público (art. 50, n.º 4): conteúdos multimédia sintéticos que representam pessoas ou eventos reais devem ser marcados de forma visível. Textos gerados por IA sobre assuntos de interesse público também – a menos que passem por uma revisão editorial documentada com responsabilidade nomeada.

Essas obrigações soam técnicas, mas na prática são sobretudo uma questão de disciplina de processo: quem sabe onde, na própria casa, a IA generativa produz textos, imagens ou respostas de chat para clientes?

Prestador ou responsável pela implantação – a questão do papel decide sobre as obrigações

O AI Act distingue dois papéis básicos, e a diferença tem consequências. Um prestador («provider») desenvolve um sistema de IA ou um modelo GPAI e coloca-o no mercado sob o próprio nome. Um responsável pela implantação («deployer») emprega tal sistema sob a própria responsabilidade – ou seja, a típica média empresa que usa na operação uma ferramenta adquirida.

A classificação não é estática: quem modifica substancialmente um modelo adquirido, o ajusta finamente ou o revende sob o próprio nome pode tornar-se, ele próprio, prestador com as obrigações correspondentes. Para a maioria das médias empresas vale, de início, o papel de responsável pela implantação – mas é justamente aqui que vale a pena a verificação documentada, em vez de deixar a questão em aberto.

O que custam as infrações

O regime de sanções segundo o art. 99 é executável desde 2 de agosto de 2026 e é escalonado em vários níveis:

Infrações contra as proibições do art. 5 podem ser punidas com até 35 milhões de euros ou 7% do volume de negócios anual a nível mundial – conforme o valor que for maior.
Infrações contra a maioria das demais obrigações materiais, incluindo as obrigações de transparência do art. 50, situam-se num nível inferior de até 15 milhões de euros ou 3% do volume de negócios anual a nível mundial.
Para informações falsas ou incompletas a autoridades vale um terceiro nível de até 7,5 milhões de euros ou 1%.
Para prestadores de modelos de IA de finalidade geral (GPAI) não vale o art. 99, mas o art. 101: a Comissão pode aplicar coimas de até 15 milhões de euros ou 3% do volume de negócios anual a nível mundial – conforme o valor que for maior –, aplicável desde 2 de agosto de 2026 e sem uma regra para PMEs como a do art. 99, n.º 6.

Para pequenas e médias empresas, incluindo startups, o art. 99, n.º 6, do AI Act aplica em cada caso o menor valor entre a percentagem e a quantia, em vez do maior. Desde o Digital Omnibus (Regulamento (UE) 2026/1744), o novo n.º 6-A estende essa regra às pequenas empresas de média capitalização, mas apenas para o segundo e o terceiro nível. As coimas, porém, permanecem executáveis, e a ordem de grandeza deixa claro que não se trata de uma formalidade.

O que uma média empresa deve fazer agora concretamente

A pressão de ação não está na trabalhosa conformidade de risco elevado – essa está adiada para 2027 e 2028. Ela está em quatro trabalhos de base, que de qualquer forma são o pré-requisito para qualquer compliance posterior:

1. Elaborar o inventário de IA

Obtenha uma visão completa de onde, na empresa, a IA é empregada – incluindo a «IA sombra», ou seja, as ferramentas que departamentos individuais usam sem aprovação central. Sem esse inventário, nenhuma obrigação pode ser atribuída de forma limpa.

2. Classificação de risco por caso de uso

Atribua cada caso de uso às categorias do regulamento: proibido (art. 5), de risco elevado (Anexo III/I), sujeito à transparência (art. 50) ou de risco mínimo. Só essa classificação lhe diz quais obrigações e quais prazos valem para qual sistema.

3. Estabelecer transparência

Implemente as obrigações do art. 50 onde elas já valem hoje: indicações de chatbot, marcação de conteúdos gerados, processos de revisão editorial. Essa é a parte que, desde agosto de 2026, é imediatamente verificável.

4. Ancorar governação e higiene de dados

A competência em IA segundo o art. 4 não é um extra, mas obrigação desde fevereiro de 2025: os seus colaboradores devem compreender os sistemas que utilizam. A isso pertencem diretrizes de uso claras, responsabilidades nomeadas e – muitas vezes subestimada – a higiene de dados. Pois muitos riscos de governação surgem não pela regulação, mas pelo escoamento descuidado de dados confidenciais para modelos externos.

Classificação: obrigação com benefício estratégico colateral

Como já com a NIS-2, vale: o AI Act não exige, em essência, malabarismos exóticos, mas um trato consciente e documentado com uma tecnologia que de qualquer forma já está há muito na casa. O inventário, a classificação e a higiene de dados que o regulamento impõe são, ao mesmo tempo, a base para sequer usar IA de forma controlada e económica. Um classificador cheio de assinaturas de ferramentas sem governação não é nem conforme às regras nem produtivo.

Como a sector7 apoia

Como empresa gerida pelo proprietário, de Solingen, acompanhamos empresas da NRW pelo inventário de IA, pela classificação de risco e pela construção de uma governação robusta – a nossa consultoria de prontidão e governação de IA combina esse trabalho com a consultoria de compliance sobre AI Act, NIS-2, DORA e ISO 27001 de uma só fonte. Para o ponto mais delicado – o escoamento de dados para modelos de terceiros – oferecemos, com IA Soberana, ambientes privados e protegidos de LLM e RAG no nosso próprio parque de servidores alemão: os seus dados não deixam o ambiente controlado, o que facilita estruturalmente a higiene de dados e as obrigações de transparência.

Para uma classificação honesta pertence também o que não fazemos: não treinamos modelos foundation próprios, não vendemos uma «força de trabalho digital» autónoma e não praticamos preços abaixo dos hyperscalers. A nossa operação de Managed AI Ops com SLA fixo está em construção. O que entregamos hoje é consultoria, governação e a operação segura de IA privada em infraestrutura própria – certificados para Juniper, Cisco, HPE, F5, Fortinet e Palo Alto Networks.

Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.

Correção e esclarecimento de 1 de outubro de 2026: Na primeira versão, as obrigações de GPAI apareciam no nível do art. 99; as coimas a prestadores de GPAI, porém, seguem o art. 101. Além disso, dizia-se apenas que o regulamento prevê «proporcionalidade» para PMEs. Concretamente, segundo o art. 99, n.º 6, aplica-se às PMEs, incluindo startups, o menor dos dois valores e, segundo o n.º 6-A, inserido pelo Regulamento (UE) 2026/1744, também às pequenas empresas de média capitalização no segundo e no terceiro nível; acrescentamos isso.

Correção de 2 de outubro de 2026: O resumo apresentava também as obrigações de GPAI como aplicáveis desde 2 de agosto de 2026. Nos termos do art. 113, alínea b), do AI Act, aplicam-se desde 2 de agosto de 2025; desde 2 de agosto de 2026 aplica-se o poder da Comissão de aplicar coimas aos prestadores de GPAI (art. 101).