Perspectivas de engenharia
AI Act em Portugal (2026): inventário, transparência e checklist de conformidade para PME e equipas de produto
O que já é obrigatório, o que espera até 2027, e como produzir evidência auditável por IT e jurídico.
5 de novembro de 2026 · 5 min de leitura
O Regulamento Europeu de Inteligência Artificial (Regulamento (UE) 2024/1689) aplica-se directamente em Portugal — não é necessária transposição nacional para as obrigações centrais. Desde 2 de agosto de 2026, as regras de transparência afectam chatbots, assistentes e conteúdo sintético. Muitas PME só descobrem a IA quando o jurídico pede inventário: Copilot no Word, scoring no CRM, filtro de recrutamento, widget no site. Este artigo é o checklist técnico-jurídico mais prático para produto, IT e compliance: o que fazer já, o que pode esperar até 2027, e como equipas de software produzem evidência. Liga a shadow AI, IA em RH, segurança LLM e dados para IA. A Damascode apoia inventários, integrações e IA face ao cliente conforme via consultoria IT e cibersegurança.
Índice
- Quem o AI Act abrange em Portugal
- Calendário até 2028 (incl. Digital Omnibus)
- Papéis: fornecedor, deployer, importador
- Passo 1 — Inventário de sistemas de IA (modelo)
- Passo 2 — Classificação de risco em linguagem clara
- Passo 3 — Transparência (Art. 50) desde agosto 2026
- Passo 4 — Práticas proibidas (Art. 5)
- Passo 5 — Literacia em IA (Art. 4)
- Passo 6 — Alto risco Anexo III
- Passo 7 — GPAI e contratos
- Passo 8 — RGPD e AIPD
- Passo 9 — Pack documental para auditorias
- Notas sectoriais
- Sandboxes e ANIA
- FAQ
- Referências
Quem o AI Act abrange em Portugal
Aplica-se se colocar no mercado, pôr em serviço ou utilizar sistemas de IA na UE — incluindo fornecedores EUA/Reino Unido quando o output afecta pessoas na UE.
| Tipo | Contactos típicos |
|---|---|
| PME com Copilot | Deployer; transparência em bots configurados para clientes |
| Vendor SaaS com LLM | Provider ou deployer consoante customização |
| Integrador de chatbot | Deployer para o cliente |
| RH com triagem SaaS | Deployer de caso alto risco (calendário 2027) |
| Agência com media sintética | Transparência e marcação |
O tamanho não isenta de práticas proibidas, transparência ou literacia.
Calendário até 2028
| Data | Marco |
|---|---|
| 2 fev 2025 | Práticas proibidas; literacia |
| 2 ago 2025 | GPAI; sanções |
| 2 ago 2026 | Art. 50 transparência |
| 2 dez 2026 | Fim transição marcação conteúdo existente |
| 2 dez 2027 | Muitas obrigações Anexo III (emprego, crédito, etc.) |
| 2 ago 2028 | IA em produtos Anexo I |
Prioridade hoje: inventário + transparência + literacia + cláusulas contratuais.
Contexto oficial: digital.gov.pt.
Papéis: fornecedor, deployer, importador
| Papel | Provavelmente é… | Deveres (simplificado) |
|---|---|---|
| Fornecedor (provider) | Desenvolve/marca IA para terceiros | Documentação, conformidade, CE quando aplicável |
| Deployer | Usa IA de terceiros nos processos | Instruções de uso, supervisão humana, logs |
| Importador | Traz produto IA de fora da UE | Verificar conformidade do provider |
A maioria das empresas portuguesas médias são deployers de Copilot, ATS, widgets. Software à medida com modelos embebidos pode torná-las provider — envolver jurídico cedo.
Passo 1 — Inventário (modelo)
Sprint de duas semanas:
| Coluna | Capturar |
|---|---|
| Nome | Produto + funcionalidade |
| Fornecedor / equipa | Dono do contrato |
| Finalidade | Processo de negócio |
| Utilizadores | Equipas; exposição a clientes |
| Dados de entrada | Dados pessoais? |
| Uso da saída | Decisão automática ou revisão humana? |
| Face ao cliente? | S/N |
| Risco (rascunho) | Mínimo / limitado / alto / inaceitável |
| Pasta de evidência | DPA, testes |
IA escondida: autocomplete CRM, priorização support, tradução, actas, assistentes de código, geradores de imagem, RPA com ML.
Engenharia: grep openai, anthropic, azure.*openai, LangChain; rever n8n/Zapier.
Passo 2 — Classificação de risco
| Nível | Exemplos | Foco deployer |
|---|---|---|
| Inaceitável | Social scoring, certas biometrias em massa | Parar — Art. 5 com jurídico |
| Alto risco | Triagem/ranking CV, scoring crédito | Conformidade até prazo aplicável |
| Risco limitado | Chatbots com pessoas, deepfakes Art. 50 | Transparência |
| Mínimo | Spam interno, detecção anómala | Boas práticas |
Não auto-rebaixar ferramentas de RH porque o vendor diz «assistente». Ordenar candidatos por adequação é tipicamente alto risco (Anexo III emprego).
Passo 3 — Transparência (Art. 50) — agosto 2026
| Cenário | Acção |
|---|---|
| Chatbot no site | Primeira mensagem: informar que é IA |
| Imagem/vídeo sintético | Divulgar origem artificial quando exigido |
| Copilot interno | Sem dever Art. 50 ao cliente; governar shadow use |
Checklist técnico:
- Listar touchpoints IA face ao utilizador
- Strings PT + EN
- DPA do widget terceiro
- Formação support
- Versão das strings registada
Passo 4 — Práticas proibidas (Art. 5)
Cruzar inventário com lista de proibições. Documentar conclusão negativa datada e assinada.
Coimas até 7% do volume de negócios global para práticas proibidas.
Passo 5 — Literacia (Art. 4)
Medidas proporcionadas para quem lida com IA entender capacidades e limites.
| Público | Conteúdo mínimo |
|---|---|
| Todos | Ferramentas aprovadas, dados, incidentes |
| Gestores | Supervisão, enviesamento |
| Engenharia | Logs, desenho seguro |
| RH | Guia recrutamento |
Registar presenças e versões dos materiais.
Passo 6 — Alto risco Anexo III
Se inventário assinalar alto risco, planear já:
- Gestão de risco
- Governação de dados e testes de enviesamento
- Documentação e logs (mín. seis meses em muitos casos)
- Supervisão humana com poder de override
- Informação a trabalhadores/candidatos
- Exactidão, robustez, cibersegurança
Recrutamento: cruzar com Lei 13/2023 e RGPD.
Passo 7 — GPAI e contratos
Deployers devem:
- Pedir system cards, uso aceitável, avisos de update
- Exigir notificação de incidentes
- Mapear subcontratantes
- Clarificar quem é provider em RAG/fine-tuning
Cláusula tipo em renovações SaaS:
Fornecedor declara conformidade AI Act para o seu papel; documentação em 30 dias após alteração material de modelo; apoia logs e transparência do deployer.
Passo 8 — RGPD e AIPD
AI Act não substitui RGPD:
- Dados pessoais em RAG → base legal, minimização
- Decisões automatizadas → Art. 22 RGPD
- Alto risco → AIPD frequente
Um registo de tratamentos por sistema IA.
Passo 9 — Pack documental
Por sistema relevante:
- Linha inventário + memo de risco
- DPA + declaração AI Act
- Capturas de transparência
- Formação
- Procedimento supervisão humana
- Testes (exactidão, enviesamento)
- Log incidentes
- Changelog de versão de modelo
Custom: diagrama, testes prompt injection, linhagem dados.
Sandboxes e ANIA
ANIA 2026–2030 — iniciativas PME, sandboxes regulatórias (disponibilidade UE 2 ago 2027). Sandboxes testam alto risco com supervisor — não substituem inventário e transparência hoje.
FAQ
Só usamos Copilot — estamos isentos?
Não. Literacia, inventário, transparência em usos com clientes, diligência RH.
Lista Excel chega?
Para começar; evoluir para registo vivo owned by IT.
Relação com NIS2?
Entidades essenciais devem proteger IA em fluxos críticos — guia NIS2.
A Damascode certifica?
Entregamos preparação técnica, não certificação legal.
Referências
- Regulamentos (UE) 2024/1689 e 2026/1744
- digital.gov.pt
- ANIA 2026–2030
- Damascode: shadow AI, RH
Mapear sistemas de IA com apoio de engenharia
Partilhe SaaS e bots face ao cliente. Entregamos inventários, desenho de logs e integrações conformes — sem certificação legal.