Regulamento de IA em Portugal: o que a sua PME deve verificar

Alguém na sua equipa começou a usar o Copilot, ou o software de gestão que já paga há anos ganhou sozinho uma funcionalidade de previsão de procura baseada em IA, sem que ninguém a tivesse aprovado formalmente. Depois, numa reunião ou num artigo do setor, surgiram as palavras "regulamento de IA" com um tom que dava a entender que a sua empresa podia já estar em falta sem o saber. Esta página serve para esclarecer a situação, sem jargão jurídico e sem fingir que o tema é simples.

Um regulamento europeu que já se aplica, sem depender de uma lei portuguesa

O Regulamento (UE) 2024/1689, conhecido como Regulamento de IA ou AI Act, é um regulamento europeu, não uma diretiva: aplica-se por isso diretamente em Portugal, sem necessidade de uma lei nacional de transposição. As suas obrigações entraram em vigor de forma faseada — as práticas proibidas desde 2 de fevereiro de 2025, os deveres para modelos de IA de finalidade geral desde 2 de agosto de 2025. A maior parte das regras sobre sistemas de risco elevado deveria inicialmente aplicar-se a partir de 2 de agosto de 2026, mas o chamado pacote Digital Omnibus, que entrou em vigor a 27 de julho de 2026, adiou este prazo para 2 de dezembro de 2027. O que cabe a Portugal, tal como a qualquer Estado-Membro, é designar as autoridades responsáveis por fiscalizar o cumprimento no território nacional — um trabalho institucional que está a avançar a ritmos diferentes em toda a União.

Em Portugal, este enquadramento chega numa altura em que dois setores muito representados no tecido empresarial português já estão a testar IA no dia a dia. No turismo — que pesa de forma desproporcional na economia portuguesa, do alojamento local à gestão dinâmica de preços em hotelaria — ferramentas de IA são usadas para previsão de ocupação, chatbots de apoio ao cliente e motores de recomendação. No têxtil exportador, sobretudo no eixo Norte (Guimarães, Famalicão, Vale do Ave), a IA entra pelo controlo de qualidade visual em linha e pela otimização de encomendas para marcas internacionais, que cada vez mais pedem garantias contratuais sobre como os fornecedores usam estas ferramentas. Se a sua PME está numa destas cadeias, é provável que a pergunta sobre o Regulamento de IA lhe chegue primeiro por um cliente do que por uma autoridade.

Quem fiscaliza em Portugal: a CNPD, com o desenho institucional ainda em definição

A Comissão Nacional de Proteção de Dados (CNPD) é a autoridade portuguesa de referência para o RGPD desde 2018 e continua competente sobre qualquer sistema de IA que trate dados pessoais — a maioria dos casos que uma PME encontra na prática, entre seleção de candidatos, pontuação de clientes ou assistentes virtuais. Quanto à designação formal das autoridades de fiscalização do mercado exigidas pelo artigo 70.º do Regulamento de IA, o processo em Portugal, tal como em vários outros Estados-Membros, ainda não está encerrado à data em que este artigo foi escrito. Trate esta secção como o ponto da situação a rever periodicamente, não como a última palavra sobre o desenho final.

Os níveis de risco, em resumo

O regulamento não trata todos os sistemas de IA da mesma forma: distingue quatro níveis. Um número reduzido de práticas é proibido por risco inaceitável (como a pontuação social generalizada). Um nível de risco elevado disciplina usos sensíveis — seleção de pessoal, avaliação de trabalhadores, scoring de crédito — com obrigações reforçadas. Um nível de risco limitado impõe sobretudo deveres de transparência, como informar que um conteúdo é gerado por IA ou que o cliente está a falar com um chatbot. E um nível de risco mínimo, onde se enquadra a maioria das ferramentas do dia a dia, sem obrigações novas relevantes.

As coimas: valores que vale a pena conhecer

O regime sancionatório está fixado no artigo 99.º do regulamento e é idêntico em toda a União Europeia, Portugal incluído. O objetivo do texto não é arrecadar coimas, mas prevenir riscos concretos; ainda assim, vale a pena ter presentes as ordens de grandeza:

• Até 35 milhões de euros ou 7% do volume de negócios mundial anual, consoante o que for mais elevado, para práticas de IA proibidas.
• Até 15 milhões de euros ou 3% do volume de negócios mundial anual para a maioria das restantes infrações, incluindo obrigações de fornecedores e utilizadores (deployers) de sistemas de risco elevado.
• Até 7,5 milhões de euros ou 1% do volume de negócios mundial anual por informações inexatas ou enganosas prestadas às autoridades.

Um ponto relevante para uma PME: o artigo 99.º, n.º 6, prevê expressamente tetos proporcionados e mais favoráveis para PME e startups. O texto não foi pensado para tratar uma empresa de vinte trabalhadores como uma multinacional, ainda que os valores gerais acima indicados continuem a ser o quadro de referência.

O que a sua PME deve verificar na prática

Mais do que memorizar artigos de lei, compensa colocar algumas perguntas concretas sobre os usos reais de IA na sua empresa:

• A sua empresa é "fornecedora" (desenvolve ou manda desenvolver um sistema de IA) ou "utilizadora"/deployer (compra e usa ferramentas já prontas)? A grande maioria das PME é utilizadora, não fornecedora.
• Algum dos seus usos de IA cai num domínio listado como de risco elevado no anexo III, como seleção de candidatos, avaliação de trabalhadores ou avaliação de crédito?
• Usa um chatbot voltado para clientes, ou publica conteúdos gerados por IA sem o assinalar? Estes casos tipicamente geram deveres de transparência, mesmo sem serem de risco elevado.
• Sabe com certeza que software já usado na empresa ganhou uma funcionalidade de IA no último ano, sem que ninguém a tivesse avaliado formalmente?

Informação geral, não uma consulta jurídica

Tudo o que precede é informação geral para orientação, não uma consulta jurídica sobre a sua situação específica. O Regulamento de IA contém nuances que um artigo não consegue cobrir por inteiro, e a sua aplicação depende dos usos exatos de cada empresa — tal como o desenho final da fiscalização em Portugal, ainda em definição. Quando a Komplya publica este tipo de conteúdo, distinguimos claramente o que foi revisto juridicamente do que continua a ser um documento de trabalho, para que possa usar esta informação com conhecimento de causa.

A forma mais rápida de passar de "acho que isto nos diz respeito" para uma resposta clara é percorrer, caso a caso, os usos reais de IA na sua empresa. Responda a um breve questionário sobre a sua utilização de IA e receba uma leitura em linguagem simples da sua situação provável.