Obriga a tomar medidas de literacia em IA, mas desde 27 de julho de 2026 já não obriga a garantir um nível concreto. O artigo 4.º do AI Act, o Regulamento (UE) 2024/1689, na redação dada pelo Regulamento (UE) 2026/1744 (Omnibus Digital em matéria de IA), exige que quem fornece ou utiliza sistemas de IA adote medidas para promover a literacia do seu pessoal e de quem opera esses sistemas em seu nome, e diz expressamente que não tem de garantir que cada pessoa atinja um nível específico. A versão aplicável desde 2 de fevereiro de 2025 pedia um nível suficiente de literacia. A lei não exige formação externa nem certificação por terceiros; na prática, convém guardar registo das medidas tomadas, para quem e quando.
A lei e a formação em IA
O AI Act aplica-se por fases, e o calendário mudou com o Regulamento (UE) 2026/1744 (Omnibus Digital em matéria de IA), em vigor desde 27 de julho de 2026. Desde 2 de fevereiro de 2025 aplicam-se as disposições gerais, incluindo o dever de literacia em IA, e as práticas de IA proibidas; as novas proibições acrescentadas pelo Omnibus aplicam-se a partir de 2 de dezembro de 2026. As obrigações dos sistemas de risco elevado passaram para 2 de dezembro de 2027 (Anexo III, por exemplo recrutamento ou crédito) e 2 de agosto de 2028 (Anexo I, produtos regulados). A maioria das PME portuguesas não constrói esses sistemas, apenas usa ferramentas correntes. Para essas, o que conta hoje é tomar medidas de literacia em IA e proteger os dados pessoais.
Prazos do AI Act
No escalão mais alto, as coimas do AI Act podem chegar a 35 milhões de euros ou 7% do volume de negócios anual mundial da empresa, consoante o que for maior, e esse escalão está reservado às práticas de IA proibidas. Os restantes incumprimentos têm tetos inferiores. Convém dizer o resto: para uma PME que use ferramentas correntes, o risco realista não é a coima do AI Act, é a violação de dados pessoais ao abrigo do RGPD.
Valores das multas
Só com dados anonimizados, ou com base legal e um contrato de subcontratação válido com o fornecedor. Colar uma lista de clientes numa conta pessoal gratuita é uma transferência de dados pessoais para um terceiro sem contrato, e é isso que constitui a infração, não o uso de IA em si. A saída prática é uma conta empresarial com condições que proíbam o treino com os vossos dados, mais uma regra interna escrita.
RGPD e ChatGPT
Dados pessoais de clientes e trabalhadores, contratos, salários, preços de custo e segredos comerciais, salvo anonimização prévia. A regra que funciona em equipas é uma pergunta única antes de colar: isto podia aparecer num email para fora da empresa? Se a resposta for não, não entra numa ferramenta pública.
Dados que não podem entrar
Em Portugal, conteúdo gerado por IA sem intervenção criativa humana não beneficia de proteção automática por direito de autor, porque a lei portuguesa protege criações intelectuais de pessoas. Na prática, quanto maior for a intervenção humana no resultado final, mais defensável é a proteção. Para uso comercial, o cuidado adicional é com o que entra: uma imagem gerada a partir de uma marca alheia continua a ser um problema de marca.
Propriedade do conteúdo gerado
Cinco pontos, por esta ordem. De quem são os dados que entram e o que sai. Onde ficam armazenados e por quanto tempo. Se podem ser usados para treinar modelos, o que deve ser proibido por escrito. Quem responde por erros do sistema perante terceiros. E como se sai do contrato, com que formato de exportação e em que prazo.
Cláusulas a verificar