O AI Act para empresas continua a evoluir e a União Europeia ajustou recentemente o calendário de aplicação do regulamento. Embora algumas das obrigações mais exigentes para sistemas de IA de alto risco apenas entrem em vigor a partir de 2 de dezembro de 2027 e agosto de 2028, outras disposições já se aplicam desde 2025, nomeadamente as relacionadas com a literacia em Inteligência Artificial e os modelos de IA de finalidade geral.

Por isso, estas alterações dão às empresas mais tempo para se prepararem, mas não eliminam a necessidade de agir. Além disso, começar desde já permite rever processos, desenvolver competências e criar uma estratégia de governação da Inteligência Artificial de forma gradual.

Neste artigo, apresentamos cinco passos práticos para ajudar a sua empresa a preparar-se para o AI Act e responder às futuras exigências do regulamento.

Passo 1: Identifique os sistemas de IA utilizados pela empresa no âmbito do AI Act

O primeiro passo para preparar a sua empresa para o AI Act é identificar onde e como a Inteligência Artificial já está a ser utilizada. Sem este levantamento, torna-se difícil avaliar riscos, definir responsabilidades ou implementar medidas de conformidade.

Uma das maiores surpresas para muitas organizações é que o maior risco nem sempre está nas ferramentas oficialmente aprovadas, mas sim nas soluções que os próprios colaboradores começam a utilizar por iniciativa própria — o chamado Shadow AI.

Estudos recentes mostram que apenas cerca de uma em cada cinco empresas afirma ter uma visão completa sobre a utilização da IA internamente. Além disso, menos de metade das organizações já implementou políticas de governação para estas tecnologias.

Ao realizar este levantamento, deve considerar:

• Ferramentas de IA generativa utilizadas no dia a dia (ChatGPT, Microsoft Copilot, Gemini, entre outras), mesmo quando não são contratadas pela empresa;
• Funcionalidades de IA já integradas em software utilizado pela organização, como CRM, plataformas de Recursos Humanos ou ferramentas de marketing;
• Integrações e automatizações desenvolvidas internamente que recorrem a modelos de IA;
• Subscrições contratadas diretamente por equipas ou colaboradores, sem conhecimento do departamento de IT.

Em vez de proibir indiscriminadamente estas ferramentas, é preferível definir regras claras sobre o que é permitido, o que necessita de aprovação prévia e quais as soluções autorizadas pela organização. Este levantamento não deve ser um exercício pontual. A utilização da Inteligência Artificial evolui rapidamente e, por isso, o mapeamento deve ser atualizado de forma regular.

Comece por aqui: Faça uma lista de todas as ferramentas de IA utilizadas na empresa, identifique quem as utiliza e para que finalidade.

Passo 2: Classifique os sistemas de IA segundo o AI Act

Depois de identificar os sistemas de IA utilizados, importa perceber qual o papel da empresa perante o AI Act. As responsabilidades previstas no regulamento variam consoante a forma como a organização desenvolve, comercializa ou utiliza sistemas de Inteligência Artificial.

O AI Act distingue quatro intervenientes principais:

• Fornecedor – Desenvolve um sistema de IA ou manda desenvolvê-lo e coloca-o no mercado sob o seu próprio nome.
• Utilizador (Deployer) – Utiliza um sistema de IA desenvolvido por terceiros no âmbito da sua atividade profissional.
• Importador – Introduz no mercado europeu sistemas de IA provenientes de países terceiros.
• Distribuidor – Disponibiliza sistemas de IA no mercado europeu sem ser o fornecedor.

A maioria das PME portuguesas enquadra-se na categoria de utilizador, mas isso não significa que esteja isenta de obrigações. Sempre que um sistema de IA é utilizado para apoiar decisões relacionadas com recrutamento, avaliação de desempenho, concessão de crédito ou outras áreas sensíveis, a empresa mantém responsabilidades próprias.

Existe ainda uma situação frequentemente esquecida. Se uma organização adaptar ou configurar um modelo de IA de finalidade geral (como um LLM) para uma utilização específica prevista no Anexo III do AI Act, poderá passar a ser considerada fornecedora de um sistema de alto risco, assumindo novas obrigações legais.

Comece por aqui: Identifique o papel da sua empresa relativamente a cada sistema de IA utilizado.

Passo 3: Classifique os sistemas segundo o AI Act

Nem todos os sistemas de Inteligência Artificial apresentam o mesmo nível de risco. Depois de identificar os sistemas utilizados e o papel da empresa, o passo seguinte consiste em classificá-los de acordo com as categorias previstas no AI Act.

O regulamento distingue quatro níveis de risco:

• Risco mínimo;
• Risco limitado;
• Alto risco;
• Risco inaceitável.

Este é um dos aspetos mais técnicos do AI Act e também um dos que mais evoluiu recentemente. Em maio de 2026, a Comissão Europeia publicou orientações práticas para apoiar esta classificação, clarificando a aplicação do artigo 6.º e apresentando exemplos concretos.

Entre os principais aspetos destacados encontram-se:

• A finalidade prevista para o sistema é determinante para a sua classificação;
• Sistemas compostos por vários componentes de IA podem ser avaliados como um único sistema;
• Áreas como biometria, emprego, educação e acesso a serviços essenciais recebem especial atenção.

Como estas orientações continuam a evoluir, é recomendável documentar sempre o processo utilizado para classificar cada sistema, mesmo quando este é considerado de risco mínimo.

Comece por aqui: Classifique cada sistema de IA utilizado na empresa e documente os critérios utilizados nessa avaliação.

Passo 4: Reveja os contratos com fornecedores de IA

A conformidade com o AI Act também depende da relação estabelecida com os fornecedores de tecnologia. Por esse motivo, é aconselhável rever os contratos existentes e garantir que contemplam as responsabilidades previstas no regulamento.

Ao analisar os contratos, confirme se incluem:

• Evidência da avaliação de conformidade realizada pelo fornecedor;
• Obrigação de comunicar alterações relevantes ou incidentes relacionados com o sistema;
• Definição clara dos casos de utilização autorizados;
• Acesso à documentação necessária para demonstrar conformidade.

Sempre que possível, utilize normas reconhecidas, como a ISO/IEC 42001 ou o NIST AI Risk Management Framework, como referência para estruturar estes requisitos.

Comece por aqui: Reveja os contratos com fornecedores de IA e confirme que incluem cláusulas relacionadas com conformidade, documentação e comunicação de alterações.

Passo 5: Crie uma estratégia de governação da IA para responder ao AI Act

Preparar a empresa para o AI Act não passa apenas por cumprir obrigações legais. É também uma oportunidade para criar uma estrutura de governação que permita acompanhar a evolução da Inteligência Artificial de forma consistente.

Dois aspetos merecem especial atenção:

Promova a literacia em Inteligência Artificial

Desde fevereiro de 2025, o AI Act prevê que as organizações assegurem que os colaboradores envolvidos na utilização de sistemas de IA possuem conhecimentos adequados sobre o seu funcionamento, potencial e riscos. Isto implica investir em formação e definir orientações internas claras.

Utilize a ISO/IEC 42001 como referência

A norma ISO/IEC 42001 disponibiliza um modelo de gestão específico para sistemas de Inteligência Artificial, abrangendo temas como gestão do risco, competências, documentação e responsabilidades. Embora não substitua o cumprimento do AI Act, constitui uma base sólida para implementar boas práticas de governação.

Comece por aqui: Defina um responsável interno pela governação da IA e estabeleça um plano de sensibilização e formação para as equipas.

Mais do que cumprir, é preparar o futuro

O AI Act não pretende travar a inovação. Pelo contrário, procura criar um enquadramento que permita desenvolver e utilizar a Inteligência Artificial com maior segurança, transparência e confiança, promovendo uma adoção responsável desta tecnologia em toda a União Europeia.

O adiamento de alguns prazos dá às empresas mais tempo para se prepararem, mas não elimina a necessidade de agir. Pelo contrário, este é o momento ideal para rever processos, desenvolver competências e criar uma estratégia de governação da IA.

As organizações que começarem hoje estarão mais bem preparadas para responder às novas exigências e transformar a conformidade numa vantagem competitiva.

Fontes

• Regulamento (UE) 2024/1689 — Jornal Oficial da União Europeia
• Digital Gov Portugal — Estratégia Digital / AI Act
• artificialintelligenceact.eu — Implementation Timeline
• Gibson Dunn — EU AI Act Omnibus Agreement
• Comissão Europeia — Draft Commission guidelines on classification of high-risk AI systems
• DLA Piper — EU Commission draft guidelines on classification of high-risk AI systems