Quando entra em vigor o AI Act e o que muda para a sua PME

Atualizado a 12 de outubro de 2026. O Regulamento (UE) 2026/1744 (Omnibus Digital em matéria de IA), em vigor desde 27 de julho de 2026, mudou o calendário do AI Act e o texto do dever de literacia. Este artigo já segue a versão consolidada de 27 de julho de 2026.

O AI Act, o Regulamento (UE) 2024/1689, entrou em vigor a 1 de agosto de 2024, mas a sua aplicação está dividida em fases. Para a maioria das PME portuguesas, a data que já conta é 2 de fevereiro de 2025, quando passaram a aplicar-se as práticas proibidas e o dever de literacia em IA. As obrigações pesadas, as dos sistemas de risco elevado, foram adiadas para 2 de dezembro de 2027 e 2 de agosto de 2028. Não há uma data única para “cumprir o AI Act”: há um calendário, e cada fase pede coisas diferentes.

O que já está em vigor desde fevereiro de 2025?

Desde 2 de fevereiro de 2025 estão proibidas certas práticas de IA consideradas de risco inaceitável: manipulação subliminar de comportamento, exploração de vulnerabilidades de grupos específicos, sistemas de pontuação social e certas formas de identificação biométrica à distância em tempo real em espaços públicos. Poucas PME portuguesas usam este tipo de sistema. O Omnibus acrescentou novas práticas proibidas, que se aplicam a partir de 2 de dezembro de 2026.

A mesma data de fevereiro de 2025 trouxe outra obrigação que afeta praticamente todas as empresas: o artigo 4.º, sobre literacia em IA. Na redação em vigor desde 27 de julho de 2026, os prestadores e os responsáveis pela implantação (quem fornece ou utiliza sistemas de IA) “adotam medidas para promover a literacia no domínio da IA” do seu pessoal, tendo em conta os conhecimentos de cada pessoa e o contexto de uso. O texto diz também que esta obrigação não exige garantir que as pessoas atinjam um nível específico. Na prática: quem usa ChatGPT, Copilot ou outra ferramenta de IA generativa no trabalho deve perceber o que a ferramenta faz, onde falha e que decisões não deve delegar nela, e a empresa deve conseguir mostrar o que fez para isso.

O que mudou em agosto de 2025?

A 2 de agosto de 2025 entraram em aplicação as regras sobre modelos de IA de finalidade geral (os modelos que estão por trás do ChatGPT ou do Gemini), as regras de governação a nível europeu e o regime de sanções. Esta fase afeta sobretudo quem desenvolve modelos de base, não quem os usa. Para uma PME, o efeito indireto é que os fornecedores destas ferramentas passaram a ter deveres de transparência sobre dados de treino e riscos, o que torna mais fácil perceber o que está por trás da ferramenta que compra.

E agosto de 2026?

Desde 2 de agosto de 2026 aplica-se, como regra geral, o resto do regulamento. Mas a parte que mais preocupava as empresas, as obrigações dos sistemas de risco elevado, deixou de cair nesta data. O Omnibus adiou-as:

• 2 de dezembro de 2027 para os sistemas de risco elevado do Anexo III: recrutamento e gestão de recursos humanos, avaliação de crédito, educação, acesso a serviços essenciais, entre outros.
• 2 de agosto de 2028 para os sistemas de risco elevado do Anexo I, ligados a produtos já regulados por legislação europeia (máquinas, dispositivos médicos, brinquedos, por exemplo).

Se a sua PME usa uma ferramenta de IA para triagem de currículos, para pontuar clientes ou para decisões automatizadas sobre pessoas, é aqui que as obrigações ficam sérias: avaliação de conformidade, supervisão humana documentada e gestão de risco contínua. O adiamento dá tempo, não dá dispensa.

A minha PME usa chatbots ou IA generativa, estou em risco?

Na maioria dos casos, não no sentido de risco elevado. Um chatbot de apoio ao cliente, uma ferramenta de geração de conteúdo para redes sociais ou um assistente de escrita de emails ficam, em regra, fora do risco elevado, e o que se lhes aplica são sobretudo deveres de transparência: informar a pessoa de que está a falar com uma IA, por exemplo. O risco maior aparece quando a IA toma ou influencia decisões sobre pessoas concretas, como contratar, despedir, conceder crédito ou avaliar desempenho. Desde 2 de agosto de 2026, os deveres de transparência do artigo 50.º aplicam-se: o aviso no chatbot e nas imagens ou vídeos de IA que possam passar por reais, explicado caso a caso no artigo 50.º do AI Act para lojas e marcas.

O que devo fazer agora, na prática?

Três coisas, por ordem de urgência. Primeiro, mapear onde a empresa já usa IA, mesmo que informalmente, porque a maior parte das PME tem mais ferramentas de IA em uso do que pensa. Segundo, tomar e registar medidas de literacia em IA: formação, regras de utilização, quem recebeu o quê e quando. Este dever existe desde fevereiro de 2025 e continua a existir, só ficou mais claro no que pede. Terceiro, se alguma ferramenta toca em recrutamento, crédito ou decisões sobre clientes, usar o tempo até dezembro de 2027 para documentar a supervisão humana com calma, em vez de o fazer à pressa.

Na SO-MA acompanhamos este calendário de perto e ajudamos PME portuguesas a ligar as ferramentas de IA que já usam às obrigações que se aplicam, integrando essa preparação no trabalho que fazemos em IA na Prática.