Quem fiscaliza o Regulamento de IA em Portugal?

Já sabe que o Regulamento de IA provavelmente se aplica à sua empresa, e já sabe que as coimas do artigo 99.º podem chegar a valores de vários milhões de euros. A pergunta seguinte, muito mais prática, é: quem bateria mesmo à sua porta se algo corresse mal? A CNPD, tal como acontece com o RGPD? Um novo organismo de que ainda ninguém ouviu falar? A resposta honesta é que Portugal ainda está a acabar de desenhar este sistema — e a forma como o está a fazer já dá pistas sobre onde procurar respostas.

O que o regulamento exige a cada Estado-Membro

O artigo 70.º do Regulamento de IA obriga cada Estado-Membro a designar pelo menos uma autoridade notificadora e pelo menos uma autoridade de fiscalização do mercado, com um prazo formal fixado em 2 de agosto de 2025. O próprio texto não impõe uma estrutura única — um país pode criar um organismo novo, distribuir competências por instituições já existentes, ou combinar as duas abordagens. Portugal, como a generalidade dos Estados-Membros, não concluiu este desenho institucional até ao prazo — designar autoridades de fiscalização revelou-se, na prática, mais moroso do que o calendário do regulamento previa.

Uma lei nacional ainda por definir

Ao contrário do RGPD, que é diretamente aplicável sem necessidade de transposição, o Regulamento de IA deixa a cada Estado-Membro a tarefa de identificar, através de legislação nacional, quais os organismos concretos que exercem cada uma das funções previstas no artigo 70.º. À data em que este artigo foi escrito, não existe ainda em Portugal um diploma nacional que atribua, de forma definitiva e completa, essas competências. Isto significa que a resposta a "quem fiscaliza" pode continuar a evoluir nos próximos meses, e vale a pena confirmar o ponto da situação antes de tomar decisões que dependam de um organismo específico.

O papel da CNPD: ponto de partida, não organismo único

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade portuguesa de referência para o RGPD desde 2018, e continua competente sobre qualquer sistema de IA que trate dados pessoais — a situação mais comum entre as PME, que compram ferramentas de IA já prontas em vez de as desenvolverem, como já detalhámos no nosso guia sobre o Regulamento de IA para PME portuguesas. Na prática, sempre que um sistema de IA envolve dados pessoais — currículos de candidatos, dados de clientes, histórico de conversas com um chatbot —, a CNPD continua a ser o interlocutor mais provável, seja qual for o desenho final do resto do sistema de fiscalização.

Reguladores setoriais: quando outro nome importa mais

Para empresas de setores já regulados, é frequentemente o organismo que já conhecia o setor muito antes do Regulamento de IA que se torna o primeiro ponto de contacto, e não a CNPD:

• Serviços financeiros, incluindo scoring de crédito e avaliação de risco de seguros: Banco de Portugal e, para mercados de capitais, a CMVM, no âmbito dos respetivos mandatos já existentes.
• Proteção do consumidor e práticas de mercado, incluindo sistemas de IA que influenciam decisões de compra: Autoridade de Segurança Alimentar e Económica (ASAE), que já exerce funções de fiscalização de mercado para diversos produtos e serviços em Portugal.
• Recrutamento, avaliação de trabalhadores e outras aplicações de IA em contexto laboral: Autoridade para as Condições do Trabalho (ACT), a par da CNPD sempre que sejam tratados dados pessoais de candidatos ou trabalhadores — relevante em particular para empresas de turismo com forte rotatividade sazonal de pessoal.
• Nenhuma das anteriores parece encaixar na sua situação: nesse caso, a CNPD, como organismo com mais experiência acumulada na fiscalização de sistemas que tratam dados pessoais, continua a ser o ponto de partida mais razoável.

O que isto significa hoje para a sua empresa

Enquanto a legislação nacional que concretiza o artigo 70.º não for aprovada, nenhum organismo português tem ainda um mandato legal completo e definitivo dedicado exclusivamente ao Regulamento de IA. Isso não significa, porém, que não haja nada a fazer: o regulamento já se aplica hoje, com os níveis de risco e os valores de coima descritos no nosso guia para PME portuguesas, independentemente do ritmo a que avança o desenho institucional nacional. Para a maioria das PME, que compram ferramentas de IA em vez de as construírem, o desenho final do sistema de fiscalização mudará pouco no dia a dia: onde há dados pessoais, a CNPD continuará a ser o interlocutor mais provável, com o regulador setorial a somar-se sempre que o setor o justifique.

Checklist: a quem se dirigir

• O seu sistema de IA trata, ainda que indiretamente, dados pessoais de uma pessoa identificável? Nesse caso, a CNPD é o destinatário mais provável.
• O seu setor já tem um regulador próprio (serviços financeiros, proteção do consumidor, relações laborais)? Esse organismo tende a acrescentar competências relacionadas com IA ao mandato que já tem.
• Está em causa uma aplicação de risco elevado do Anexo III, como recrutamento ou avaliação de crédito? Conte com o interesse simultâneo da CNPD e do regulador setorial.
• Depois de responder às perguntas anteriores continua sem certezas? A CNPD, pela experiência acumulada na fiscalização de sistemas que tratam dados pessoais, continua a ser um ponto de partida razoável.

Informação geral, não uma consulta jurídica

Tudo o que precede é informação geral para orientação, não uma consulta jurídica sobre a situação específica da sua empresa. O desenho institucional da fiscalização do Regulamento de IA em Portugal está, à data de publicação deste artigo, ainda por concluir, e os organismos e mandatos aqui descritos podem mudar antes de a legislação nacional ser aprovada. Quando a Komplya publica este tipo de conteúdo, distinguimos claramente o que já foi revisto juridicamente do que continua a ser um documento de trabalho, para que possa usar esta informação com conhecimento de causa.

A forma mais rápida de passar desta lista de organismos para uma resposta concreta sobre a sua empresa é percorrer, caso a caso, os usos reais de IA no seu negócio. Responda a um breve questionário sobre a sua utilização de IA e receba uma leitura em linguagem simples de qual organismo provavelmente lhe diz respeito.