AI Act: regulamentação europeia da IA
O AI Act é o primeiro quadro jurídico abrangente que regula a inteligência artificial na União Europeia. O seu princípio: adaptar as obrigações ao nível de risco de cada sistema de IA. Entrou em vigor a 1º de agosto de 2024 e aplica-se por fases: proibições desde 2 de fevereiro de 2025, modelos de finalidade geral desde 2 de agosto de 2025, sistemas de alto risco em 2 de dezembro de 2027 (anexo III) e em 2 de agosto de 2028 (anexo I), após o adiamento decidido pelo omnibus digital de 8 de julho de 2026. Eis o que a sua organização deve antecipar.
Porquê uma regulamentação baseada no risco?
Em vez de impor as mesmas regras a todos os sistemas de IA, o AI Act adota uma abordagem faseada: quanto maiores forem os riscos que um sistema representa para os direitos, a segurança ou a saúde das pessoas, mais rigorosas são as obrigações. Uma simples ferramenta de recomendação de conteúdos e um sistema de triagem de CV não são tratados da mesma forma.
O regulamento abrange tanto os fornecedores como os responsáveis pela implementação de sistemas de IA, desde que operem no mercado europeu. O regulamento (UE) 2026/1744 de 8 de julho de 2026 adiou as obrigações de «alto risco» do anexo III, de 2 de agosto de 2026 para 2 de dezembro de 2027, e as do anexo I para 2 de agosto de 2028: uma janela de 15 meses para se preparar metodicamente, idealmente com base na norma ISO 42001.
As sanções do artigo 99.º do regulamento (UE) 2024/1689 mantêm-se inalteradas: até 35 000 000 € ou 7 % do volume de negócios anual mundial por uma prática proibida, 15 000 000 € ou 3 % por outras infrações, 7 500 000 € ou 1 % por informações inexatas prestadas às autoridades. A obrigação de literacia em IA (artigo 4.º) aplica-se desde 2 de fevereiro de 2025:
«Os fornecedores e os responsáveis pela implementação de sistemas de IA tomam medidas para promover o desenvolvimento da literacia em IA do seu pessoal e de outras pessoas que se ocupam do funcionamento e da utilização dos sistemas de IA por sua conta» (regulamento (UE) 2024/1689, artigo 4.º, conforme alterado pelo regulamento (UE) 2026/1744).
Quais são os quatro níveis de risco?
Risco inaceitável
Algumas utilizações são proibidas (classificação social generalizada, manipulação comportamental, etc.) por serem incompatíveis com os valores fundamentais.
Alto risco
IA utilizadas nos 8 domínios do anexo III (biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração, justiça): obrigações reforçadas de gestão dos riscos, documentação, supervisão humana e rastreabilidade.
Risco limitado
Sistemas como os agentes conversacionais: obrigação de transparência (o utilizador deve saber que está a interagir com um sistema de IA).
Risco mínimo
A grande maioria das utilizações (filtros antisspam, sugestões, etc.): poucas ou nenhumas obrigações específicas, sendo recomendadas boas práticas.
Quem é abrangido pelo AI Act?
Qualquer organização que conceba, integre ou utilize um sistema de IA para o mercado europeu pode ser abrangida (incluindo quando a IA provém de um fornecedor terceiro). O primeiro passo consiste em mapear os seus sistemas de IA e classificá-los por nível de risco. É precisamente isso que um sistema de gestão da IA estrutura de acordo com ISO 42001, em linha com uma auditoria como aauditoria de segurança de IA & LLM.
Como antecipar em vez de reagir?
O AI Act não pode ser tratado na véspera do prazo. A abordagem correta consiste em inventariar os sistemas de IA, classificá-los, identificar os que são de alto risco e, em seguida, preparar a documentação e a governação exigidas: análise de riscos, supervisão humana, qualidade dos dados, rastreabilidade, gestão de incidentes. Uma abordagem que se articula naturalmente com um SGSI ISO 27001 e uma lógica de governação, risco & conformidade (GRC).
Como preparar-se para o AI Act, passo a passo?
Mapeie os seus sistemas de IA
Inventarie os sistemas de IA concebidos, integrados ou utilizados, as suas finalidades e os seus fornecedores.
Classifique por nível de risco
Determine, para cada sistema, a sua categoria ao abrigo do AI Act e as obrigações associadas.
Estruture a governação
Defina funções, supervisão humana e processos, idealmente através de um SGIA ISO 42001.
Documente e rastreie
Constitua o dossiê de conformidade: dados, testes, registos, gestão dos riscos e dos incidentes.
Proteja os sistemas de IA
Teste a robustez dos modelos através de uma auditoria de segurança de IA & LLM.
Mantenha a conformidade
Acompanhe os prazos, reavalie os sistemas e atualize a documentação à medida que evolui.
Porquê contar com o apoio da BCIT?
Uma leitura clara do quadro
Traduzimos o AI Act em obrigações concretas para os seus casos de utilização reais, sem jargão jurídico desnecessário.
Do âmbito à auditoria
Da classificação àauditoria de IA, cobrimos todo o percurso de conformidade.
Vamos antecipar-nos ao AI Act 🚀
Vamos dedicar 15 minutos a mapear as suas utilizações de IA e a definir um roteiro realista de conformidade com o AI Act.
AI Act: regulamentação europeia da IA
O AI Act é o primeiro quadro jurídico abrangente que regula a inteligência artificial na União Europeia. O seu princípio: adaptar as obrigações ao nível de risco de cada sistema de IA. Entrou em vigor a 1º de agosto de 2024 e aplica-se por fases: proibições desde 2 de fevereiro de 2025, modelos de finalidade geral desde 2 de agosto de 2025, sistemas de alto risco em 2 de dezembro de 2027 (anexo III) e em 2 de agosto de 2028 (anexo I), após o adiamento decidido pelo omnibus digital de 8 de julho de 2026. Eis o que a sua organização deve antecipar.
Porquê uma regulamentação baseada no risco?
Em vez de impor as mesmas regras a todos os sistemas de IA, o AI Act adota uma abordagem faseada: quanto maiores forem os riscos que um sistema representa para os direitos, a segurança ou a saúde das pessoas, mais rigorosas são as obrigações. Uma simples ferramenta de recomendação de conteúdos e um sistema de triagem de CV não são tratados da mesma forma.
O regulamento abrange tanto os fornecedores como os responsáveis pela implementação de sistemas de IA, desde que operem no mercado europeu. O regulamento (UE) 2026/1744 de 8 de julho de 2026 adiou as obrigações de «alto risco» do anexo III, de 2 de agosto de 2026 para 2 de dezembro de 2027, e as do anexo I para 2 de agosto de 2028: uma janela de 15 meses para se preparar metodicamente, idealmente com base na norma ISO 42001.
As sanções do artigo 99.º do regulamento (UE) 2024/1689 mantêm-se inalteradas: até 35 000 000 € ou 7 % do volume de negócios anual mundial por uma prática proibida, 15 000 000 € ou 3 % por outras infrações, 7 500 000 € ou 1 % por informações inexatas prestadas às autoridades. A obrigação de literacia em IA (artigo 4.º) aplica-se desde 2 de fevereiro de 2025:
«Os fornecedores e os responsáveis pela implementação de sistemas de IA tomam medidas para promover o desenvolvimento da literacia em IA do seu pessoal e de outras pessoas que se ocupam do funcionamento e da utilização dos sistemas de IA por sua conta» (regulamento (UE) 2024/1689, artigo 4.º, conforme alterado pelo regulamento (UE) 2026/1744).
Quais são os quatro níveis de risco?
Risco inaceitável
Algumas utilizações são proibidas (classificação social generalizada, manipulação comportamental, etc.) por serem incompatíveis com os valores fundamentais.
Alto risco
IA utilizadas nos 8 domínios do anexo III (biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração, justiça): obrigações reforçadas de gestão dos riscos, documentação, supervisão humana e rastreabilidade.
Risco limitado
Sistemas como os agentes conversacionais: obrigação de transparência (o utilizador deve saber que está a interagir com um sistema de IA).
Risco mínimo
A grande maioria das utilizações (filtros antisspam, sugestões, etc.): poucas ou nenhumas obrigações específicas, sendo recomendadas boas práticas.
Quem é abrangido pelo AI Act?
Qualquer organização que conceba, integre ou utilize um sistema de IA para o mercado europeu pode ser abrangida (incluindo quando a IA provém de um fornecedor terceiro). O primeiro passo consiste em mapear os seus sistemas de IA e classificá-los por nível de risco. É precisamente isso que um sistema de gestão da IA estrutura de acordo com ISO 42001, em linha com uma auditoria como aauditoria de segurança de IA & LLM.
Como antecipar em vez de reagir?
O AI Act não pode ser tratado na véspera do prazo. A abordagem correta consiste em inventariar os sistemas de IA, classificá-los, identificar os que são de alto risco e, em seguida, preparar a documentação e a governação exigidas: análise de riscos, supervisão humana, qualidade dos dados, rastreabilidade, gestão de incidentes. Uma abordagem que se articula naturalmente com um SGSI ISO 27001 e uma lógica de governação, risco & conformidade (GRC).
Como preparar-se para o AI Act, passo a passo?
Mapeie os seus sistemas de IA
Inventarie os sistemas de IA concebidos, integrados ou utilizados, as suas finalidades e os seus fornecedores.
Classifique por nível de risco
Determine, para cada sistema, a sua categoria ao abrigo do AI Act e as obrigações associadas.
Estruture a governação
Defina funções, supervisão humana e processos, idealmente através de um SGIA ISO 42001.
Documentar & rastrear
Constitua o dossiê de conformidade: dados, testes, registos, gestão dos riscos e dos incidentes.
Proteja os sistemas de IA
Teste a robustez dos modelos através de uma auditoria de segurança de IA & LLM.
Mantenha a conformidade
Acompanhe os prazos, reavalie os sistemas e atualize a documentação à medida que evolui.
Porquê contar com o apoio da BCIT?
Uma leitura clara do quadro
Traduzimos o AI Act em obrigações concretas para os seus casos de utilização reais, sem jargão jurídico desnecessário.
Do âmbito à auditoria
Da classificação àauditoria de IA, cobrimos todo o percurso de conformidade.
Vamos antecipar-nos ao AI Act 🚀
Vamos dedicar 15 minutos a mapear as suas utilizações de IA e a definir um roteiro realista de conformidade com o AI Act.