Em julho circulou um título cómodo: «Bruxelas adia o AI Act». Leu-se na diagonal, reenviou-se pelo Slack com um emoji de alívio e arquivou-se junto às coisas que só se vão ver em setembro. Três semanas depois, quase ninguém na empresa portuguesa média sabe que há uma parte do regulamento em vigor desde 2 de agosto que lhe toca diretamente.
A tese numa frase: o que foi adiado é a parte que quase nenhuma PME tinha em cima, e o que NÃO foi adiado é a parte que quase toda a gente tem —um chatbot no site, um gerador de imagens em marketing, um assistente interno—. O título do adiamento tranquilizou-te precisamente sobre o que não te afetava.
O que mudou mesmo no AI Act em agosto de 2026
O instrumento chama-se omnibus digital sobre IA —Regulamento (UE) 2026/1744— e entrou em vigor a 27 de julho de 2026, nove dias antes da data que há dois anos estava marcada a vermelho. O seu efeito não foi congelar o regulamento: foi mover umas datas e deixar outras exatamente onde estavam. O motivo declarado também não é misterioso: as normas harmonizadas e os guias de implementação que faziam falta para operar a lei não chegaram a tempo.
| Bloco | Data antes | Data agora |
|---|---|---|
| Sistemas de alto risco do Anexo III (emprego, educação, crédito, infraestrutura crítica…) | 2 de agosto de 2026 | 2 de dezembro de 2027 |
| Alto risco embutido em produtos regulados (Anexo I) | 2 de agosto de 2027 | 2 de agosto de 2028 |
| Transparência (artigo 50.º): chatbots, conteúdo sintético, deepfakes | 2 de agosto de 2026 | 2 de agosto de 2026 — sem alterações |
| Práticas proibidas (artigo 5.º) e literacia em IA (artigo 4.º) | 2 de fevereiro de 2025 | 2 de fevereiro de 2025 — já em vigor |
Lê-a outra vez e fica com a terceira linha. É a única que não se moveu e é, por acaso, a que mais empresas tocam sem saberem.
O artigo 50.º é a parte que quase ninguém leu, e é a que te toca
O artigo 50.º não fala de algoritmos que decidem despedimentos nem de scoring de crédito. Fala de algo muito mais banal: que as pessoas saibam quando estão a lidar com uma máquina e quando o que estão a ver foi gerado por uma máquina. Quatro obrigações, nenhuma exótica:
- O teu chatbot tem de dizer que é um chatbot. Se uma pessoa interage com um sistema de IA, tem de ser informada, salvo se for óbvio para alguém razoavelmente atento. «Olá, sou a Marta da equipa de apoio» sem mais contexto já não é uma decisão de copy: é uma decisão regulatória.
- O conteúdo sintético tem de ir marcado de forma legível por máquina. Texto, imagem, áudio ou vídeo gerados ou manipulados por IA levam uma marca que um sistema consiga detetar. Não basta que só tu saibas que foi um modelo a fazê-lo.
- Os deepfakes etiquetam-se. Se publicas conteúdo que parece uma pessoa, um lugar ou um facto reais e não é, tens de o dizer.
- O reconhecimento de emoções e a categorização biométrica informam-se. Se o teu sistema classifica alguém pela cara, pela voz ou pelo estado emocional, essa pessoa tem de o saber.
Nenhuma das quatro exige um projeto de seis meses. Todas exigem que alguém as olhe de frente. E aí está o problema real, que não é jurídico.
Por que é que isto é um problema de operação e não do departamento jurídico
O reflexo de quase todas as empresas perante uma sigla regulatória é mandá-la para o jurídico, receber um relatório de vinte páginas e guardá-lo. Com o artigo 50.º esse reflexo falha, porque a obrigação não vive num contrato: vive no produto. Vive na primeira linha do widget do teu site, no rodapé de uma imagem de campanha, no fluxo do assistente interno que alguém montou em março e que ninguém voltou a abrir.
E vive, sobretudo, num inventário que quase ninguém tem. A pergunta que afunda a maioria das reuniões não é «cumprimos?», é «quantos sistemas de IA de cara ao utilizador temos neste momento?». Se a resposta demora mais de um minuto, o problema não é de conformidade: é de governação e controlo da automatização com IA, e a conformidade é só o primeiro sítio onde se nota.
O que fazer esta semana se tens um bot, um gerador de conteúdo ou um assistente interno
- Faz a lista. Todos os sistemas de IA com os quais interage uma pessoa —cliente ou funcionário— e todos os que geram conteúdo publicável. Inclui o que uma agência montou, o que veio dentro de uma ferramenta que já pagavas e o que alguém ligou sem avisar.
- Revê a revelação. Cada ponto de contacto conversacional diz, antes da primeira resposta, que há uma IA por trás. Na língua do utilizador e sem letra pequena.
- Verifica a marcação. Pega numa imagem ou num áudio gerados na semana passada, olha para eles como uma máquina os vê e confirma que a marca continua lá depois de passarem pelo teu gestor de conteúdos.
- Escreve quem responde. Cada sistema da lista, com um nome ao lado. Não um departamento: uma pessoa. É metade do trabalho de qualquer auditoria futura e a única forma de a lista não envelhecer.
- Deixa rasto. Que versão do sistema estava viva, o que gerou e quando. Quando alguém perguntar por um caso concreto daqui a oito meses, a resposta não pode ser uma reconstrução: isso é rastreabilidade de decisões de IA, e monta-se antes de precisares dela, não depois.
Quatro dos cinco pontos são inventário e disciplina. Só o terceiro te pode obrigar a mudar de ferramenta. É, de longe, a obrigação regulatória mais barata que te vai chegar em anos —e é precisamente por isso que não há desculpa para chegar tarde.
O erro de ler «adiado» como «logo se vê»
Há uma segunda armadilha no título. O omnibus não foi só um atraso: também alargou a lista de práticas proibidas, com novas proibições que entram a 2 de dezembro de 2026. Quem leu «a regulação está a aliviar» leu mal. Moveu-se o calendário de uma parte, endureceu-se outra, e a da transparência ficou quieta.
Em Espanha junta-se um matiz que confunde muita gente: o projeto de lei que designa a autoridade nacional e fixa o regime sancionatório continua em tramitação parlamentar. Daí salta-se com demasiada facilidade para a conclusão de que «então não se passa nada». Não funciona assim. Um regulamento europeu aplica-se diretamente; o facto de o aparelho sancionatório nacional não estar fechado afeta quando e como se sanciona, não se a obrigação existe. E há um supervisor que não espera por nenhum projeto de lei: o teu cliente grande, que já te está a mandar questionários de fornecedor com estas perguntas lá dentro.
O que podes mesmo adiar, e até quando
Se o teu sistema cai no Anexo III —triagem de currículos, avaliação de estudantes, scoring de crédito, gestão de infraestrutura crítica— tens até 2 de dezembro de 2027. É mais um ano e meio, e é real: usa-o. Mas usa-o para construir, não para esperar, porque as obrigações de alto risco não são um formulário. São documentação técnica, gestão de riscos, qualidade do dado, registo de eventos e supervisão humana efetiva. Isso último, aliás, não é papelada: é uma decisão de design que tem de ser tomada enquanto se constrói, não no final —tens isto desenvolvido em humano no ciclo na automatização com IA.
E há uma parte que nunca foi adiada e que quase toda a gente continua a ignorar: a literacia em IA. Está em vigor desde fevereiro de 2025. Significa que quem usa estes sistemas na tua empresa tem de perceber o que fazem e o que não fazem. Na prática, a maioria dos incidentes que já vimos não vêm de um modelo mau: vêm de alguém que deu a um modelo um trabalho para o qual ele não servia.
O que levas daqui
- O AI Act em agosto de 2026 não foi todo adiado. Foi adiado o alto risco do Anexo III para dezembro de 2027 e o do Anexo I para agosto de 2028.
- O artigo 50.º —chatbot que se identifica, conteúdo sintético marcado, deepfake etiquetado, reconhecimento de emoções informado— é exigível desde 2 de agosto de 2026.
- É a obrigação que mais empresas tocam e a mais barata de cumprir, se souberes que sistemas tens vivos.
- O gargalo não é jurídico: é que ninguém tem o inventário nem o dono de cada sistema.
- «Adiado» não significa «desativado»: o mesmo omnibus alargou as práticas proibidas a partir de dezembro de 2026.
Se ao ler isto não conseguiste enumerar de memória os teus sistemas de IA de cara ao utilizador, o trabalho não começa pela revelação do chatbot: começa pelo inventário e por pôr um nome ao lado de cada linha. É isso que montamos em cumprir o AI Act operando IA, e o andaime de fundo —quem pode tocar em que dado, com que permissão e com que rasto— é governo do dado. O regulamento ofereceu-te dezasseis meses na parte cara. Seria um desperdício gastá-los à espera.