Quando entra em vigor o AI Act e o que muda para a sua PME

O AI Act entrou em vigor a 1 de agosto de 2024, mas a sua aplicação está dividida em fases. Para a maioria das PME portuguesas, a data que já conta é 2 de fevereiro de 2025 (proibições e literacia em IA obrigatória), e a data que vai obrigar a trabalho real é 2 de agosto de 2026, quando entram em vigor as regras para sistemas de risco elevado. Não há uma data única para “cumprir o AI Act”: há um calendário, e cada fase pede coisas diferentes.

O que já está em vigor desde fevereiro de 2025?

Desde 2 de fevereiro de 2025 estão proibidas certas práticas de IA consideradas de risco inaceitável: manipulação subliminar de comportamento, exploração de vulnerabilidades de grupos específicos, sistemas de pontuação social e certas formas de reconhecimento biométrico em tempo real em espaços públicos. Poucas PME portuguesas usam este tipo de sistema, mas a mesma data trouxe outra obrigação que afeta praticamente todas: o artigo 4º do regulamento exige que qualquer empresa que use IA garanta um nível suficiente de literacia em IA aos seus colaboradores. Na prática, isto significa que quem usa ChatGPT, Copilot ou qualquer ferramenta de IA generativa no trabalho tem de perceber, ainda que de forma básica, o que a ferramenta faz, onde falha e que decisões não deve delegar nela.

O que muda em agosto de 2025?

A 2 de agosto de 2025 entraram em aplicação as regras sobre modelos de IA de finalidade geral (os chamados GPAI, como os modelos que estão por trás do ChatGPT ou do Gemini), as regras de governação a nível europeu e o regime de sanções. Esta fase afeta sobretudo quem desenvolve modelos de fundação, não quem os usa. Para uma PME, o efeito indireto é que os fornecedores destas ferramentas passaram a ter obrigações de transparência sobre dados de treino e riscos, o que deve tornar mais fácil perceber o que está por trás da ferramenta que compra.

Porque é que agosto de 2026 é a data que interessa às PME?

A 2 de agosto de 2026 entra em aplicação geral o regulamento, incluindo as obrigações para sistemas de IA de risco elevado listados no Anexo III: recrutamento e gestão de recursos humanos, avaliação de crédito, sistemas usados em educação, em infraestruturas críticas, ou para determinar acesso a serviços essenciais. Se a sua PME usa uma ferramenta de IA para triagem de currículos, para scoring de clientes, ou para decisões automatizadas sobre pessoas, é aqui que as obrigações ficam sérias: avaliação de conformidade, registo em base de dados europeia, supervisão humana documentada e gestão de risco contínua. É a data para marcar no calendário e para começar a preparar já, não em julho de 2026.

A minha PME usa chatbots ou IA generativa, estou em risco?

Na maioria dos casos, não no sentido de risco elevado. Um chatbot de apoio ao cliente, uma ferramenta de geração de conteúdo para redes sociais ou um assistente de escrita de emails são, em regra, classificados como risco limitado, o que implica sobretudo deveres de transparência: informar a pessoa que está a falar com uma IA, por exemplo. O risco maior aparece quando a IA toma ou influencia decisões sobre pessoas concretas, como contratar, despedir, conceder crédito ou avaliar desempenho.

O que devo fazer agora, na prática?

Três coisas, por ordem de urgência. Primeiro, mapear onde a empresa já usa IA, mesmo que informalmente, porque a maior parte das PME tem mais ferramentas de IA em uso do que pensa. Segundo, garantir que há formação básica registada sobre literacia em IA, algo que já devia estar feito desde fevereiro de 2025. Terceiro, se alguma ferramenta usada toca em recrutamento, crédito ou decisões sobre clientes, começar a documentar o processo de supervisão humana antes de agosto de 2026, porque montar isso à pressa custa mais caro do que fazer com tempo.

Na SO-MA acompanhamos este calendário de perto e ajudamos PME portuguesas a mapear as ferramentas de IA que já usam às obrigações que se aproximam, integrando essa preparação no trabalho que fazemos em IA na Prática.