IA conforme à lei: EU AI Act, ANACOM e CNPD

1. Três normas, um quadro

Não existe uma única «lei da IA»: há um regulamento europeu de aplicação direta, uma autoridade nacional que o supervisiona e regras de proteção de dados que se aplicam em paralelo sempre que o sistema trate informação sobre pessoas.

Regulamento Europeu de IA (EU AI Act)

O Regulamento (UE) 2024/1689, de 13 de junho de 2024, é a primeira norma integral sobre inteligência artificial do mundo. Foi publicado no JOUE em 12 de julho de 2024 e entrou em vigor em 1 de agosto de 2024, com um calendário de aplicação escalonado. Classifica os sistemas de IA por nível de risco e impõe obrigações proporcionais a esse risco: gestão de riscos, governação de dados, documentação técnica, registo de atividade, supervisão humana, exatidão, solidez e cibersegurança.

Em julho de 2026 o Regulamento foi modificado pelo Regulamento (UE) 2026/1744, de 8 de julho de 2026 («ómnibus digital sobre IA», JOUE de 24 de julho de 2026), que simplifica parte dos requisitos e difere as obrigações dos sistemas de risco elevado. As obrigações de transparência, em contrapartida, não foram diferidas.

Supervisão em Portugal: ANACOM

Cada Estado-Membro designa as suas autoridades. Em Portugal, o Governo designou em setembro de 2025 a ANACOM (Autoridade Nacional de Comunicações) como autoridade de supervisão do Regulamento de IA e ponto de contacto único para empresas e cidadãos, com a missão de coordenar uma rede de catorze autoridades setoriais (entre outras, a Autoridade para as Condições do Trabalho, a Entidade Reguladora da Saúde, a Inspeção-Geral de Finanças e a Polícia Judiciária). É também a entidade que fiscaliza as práticas proibidas do artigo 5, cujas coimas podem chegar a 7% do volume de negócios anual mundial.

Proteção de dados: RGPD e CNPD

Se o sistema de IA trata dados pessoais — no treino, na inferência ou nos registos —, aplica-se além disso o Regulamento (UE) 2016/679 (RGPD), executado em Portugal pela Lei n.º 58/2019, sob a vigilância da Comissão Nacional de Proteção de Dados (CNPD). A designação da ANACOM não alterou isto: a CNPD mantém as suas competências sobre dados pessoais e biometria. O Regulamento de IA não substitui o RGPD: soma-se a ele.

2. Calendário de aplicação

O Regulamento de IA não se aplicou de uma só vez. Estas são as datas relevantes, já atualizadas com a reforma de julho de 2026:

• 1 de agosto de 2024 Entrada em vigor do Regulamento (UE) 2024/1689.
• 2 de fevereiro de 2025 São aplicáveis as práticas de IA proibidas (art. 5) e a obrigação de literacia em IA do pessoal (art. 4).
• 2 de agosto de 2025 Obrigações para os modelos de IA de finalidade geral (GPAI), estrutura de governação europeia e nacional, e regime sancionatório.
• 2 de agosto de 2026 Aplicação geral do Regulamento, incluindo as obrigações de transparência do artigo 50: avisar de que se interage com uma IA, marcar o conteúdo gerado ou manipulado artificialmente e informar nos casos de reconhecimento de emoções ou categorização biométrica.
• 2 de dezembro de 2026 Fim do período transitório que a reforma concede para a marcação de conteúdo sintético em sistemas já colocados no mercado antes de 2 de agosto de 2026.
• 2 de dezembro de 2027 Obrigações dos sistemas de risco elevado do anexo III (emprego, educação, biometria, serviços essenciais, infraestruturas críticas…). O prazo original era 2 de agosto de 2026: foi diferido pelo Regulamento (UE) 2026/1744.
• 2 de agosto de 2028 Obrigações dos sistemas de risco elevado integrados em produtos sujeitos a legislação setorial da UE (máquinas, brinquedos, ascensores, dispositivos médicos…).

A Comissão Europeia mantém uma cronologia oficial e ferramentas interativas no AI Act Service Desk, incluindo um verificador de conformidade para determinar que obrigações o alcançam.

3. Os quatro níveis de risco

O Regulamento não regula «a IA» em abstrato, mas cada uso concreto. A classificação determina que obrigações se aplicam:

• Risco inaceitável — proibido

  Práticas vedadas na UE desde fevereiro de 2025 (art. 5): manipulação subliminar, exploração de vulnerabilidades, pontuação social, previsão de crimes com base em perfis de personalidade, extração indiscriminada de imagens faciais, reconhecimento de emoções no trabalho ou em estabelecimentos de ensino, e categorização biométrica de dados sensíveis, entre outras.

• Risco elevado — requisitos exigentes

  Sistemas que decidem ou influenciam em domínios sensíveis: recrutamento e gestão de pessoal, acesso à educação, avaliação de solvência, seguros de vida e saúde, serviços públicos essenciais, biometria, infraestruturas críticas, justiça ou migração. Exigem sistema de gestão de riscos, governação de dados, documentação técnica, rastreabilidade, supervisão humana efetiva, avaliação de conformidade e registo na base de dados europeia.

• Risco de transparência — dever de informar

  Chatbots e assistentes conversacionais, geração de texto, imagem, áudio ou vídeo, deepfakes, reconhecimento de emoções. A obrigação central é que a pessoa saiba que está diante de uma IA e que o conteúdo sintético esteja marcado de forma legível por máquina. É o nível em que encaixa a maioria dos projetos empresariais.

• Risco mínimo — sem obrigações específicas

  Recomendadores internos, filtros antispam, previsão de procura, classificação documental, otimização de rotas ou manutenção preditiva. Não acrescentam obrigações ao abrigo do Regulamento de IA, embora continuem sujeitos ao RGPD se tratarem dados pessoais e aos códigos de conduta voluntários.

4. Quem supervisiona em Portugal

O regulamento europeu deixa a cada Estado-Membro a designação das suas autoridades. Em Portugal a repartição é a seguinte:

• ANACOM — autoridade de supervisão do Regulamento de IA e ponto de contacto único para empresas e cidadãos. Fiscaliza o cumprimento, coordena as autoridades setoriais e é quem responde a dúvidas e reclamações. Foi designada pelo Governo em setembro de 2025; a escolha justificou-se pela sua experiência reguladora no mercado digital.
• CNPD — tudo o que se refere ao tratamento de dados pessoais, incluindo os usos biométricos. Mantém as suas competências intactas: a designação da ANACOM não lhe retirou nada.
• Catorze autoridades setoriais coordenadas pela ANACOM, cada uma no seu domínio — entre outras a Autoridade para as Condições do Trabalho (uso de IA no emprego), a Entidade Reguladora da Saúde, a Inspeção-Geral de Finanças, a Polícia Judiciária e a ERSE. Na prática, é a autoridade do seu setor a que decide sobre o seu caso de uso.

A ANACOM já está a exercer essa função: em junho de 2026 colocou em consulta pública um projeto de recomendações sobre a aplicação do artigo 5 (práticas proibidas), cujas coimas podem chegar a 7% do volume de negócios anual mundial. Publica também uma lista das entidades que supervisionam a proteção dos direitos fundamentais ao abrigo do artigo 77 do Regulamento.

5. RGPD e IA: o que exigem as autoridades

Quando um sistema de IA trata dados pessoais convivem duas camadas de conformidade. A do RGPD chega primeiro e costuma ser a que passa ao lado: base jurídica do tratamento, minimização dos dados, informação aos titulares, prazos de conservação, as regras do artigo 22 sobre decisões automatizadas e, em muitos casos, uma avaliação de impacto sobre a proteção de dados (AIPD) prévia.

Em Portugal, a CNPD publica orientações e recomendações por área (segurança, trabalho, saúde, educação) e é a quem se dirige a consulta prévia quando a avaliação de impacto a exige. Não tem, à data desta revisão, um corpo de guias dedicado especificamente à IA.

Por isso, como referência técnica complementar — não como autoridade competente em Portugal — vale a pena conhecer o material da AEPD espanhola, que é o mais desenvolvido do espaço ibérico e interpreta o mesmo RGPD:

• Adequação ao RGPD de tratamentos que incorporam inteligência artificial (PDF, em espanhol) — o documento base para desenhar um tratamento com IA conforme ao RGPD.
• Orientações sobre IA agêntica e proteção de dados (PDF, em espanhol) — determinante se o sistema não só responde, mas executa ações de forma autónoma.
• Requisitos para auditorias de tratamentos que incluam IA (PDF, em espanhol).

6. O que implica para a sua empresa

A primeira pergunta não é «cumpro?», mas «em que papel estou?». O Regulamento distribui obrigações muito distintas conforme a posição de cada ator:

• Prestador — quem desenvolve um sistema de IA e o coloca no mercado ou em serviço em seu próprio nome. É quem carrega a maior parte das obrigações.
• Responsável pela implementação — quem utiliza um sistema de IA sob a sua autoridade no exercício de uma atividade profissional. É o papel habitual de uma empresa que adota IA: usá-la segundo as instruções, assegurar a supervisão humana, informar os trabalhadores afetados e, nos sistemas de risco elevado, conservar registos.

A partir daí, um plano de conformidade sensato para uma PME resume-se a cinco passos:

1. Inventariar os sistemas de IA em uso, incluindo os que chegam dentro de ferramentas de terceiros (a «shadow AI» do dia a dia).
2. Classificar cada uso por nível de risco e estabelecer o seu papel: prestador ou responsável pela implementação.
3. Documentar finalidade, dados utilizados, limitações conhecidas, pontos de supervisão humana e o responsável interno.
4. Informar: sinalizar as interações com IA, marcar o conteúdo gerado e atualizar o registo de atividades de tratamento e as políticas de privacidade.
5. Formar a equipa. Depois da reforma de 2026, o artigo 4 passou a estar redigido como uma obrigação de promover a literacia em IA do pessoal, tendo em conta o seu conhecimento técnico, sem exigir um nível concreto a ninguém em particular. Continua a obrigar — e na prática é o que evita a maioria dos incidentes.

7. Como o aplicamos na CAPTIA tech

A conformidade não é uma camada acrescentada no final: orienta decisões de arquitetura desde o primeiro sprint. Em cada projeto entregamos:

• Classificamos o caso de uso por nível de risco antes de escrever uma linha de código, e registamo-lo no plano de trabalho.
• Documentamos que modelo se usa, sobre que dados, com que limitações conhecidas e onde intervém uma pessoa.
• Aplicamos a minimização dos dados e, quando o caso o exige, implementamos na infraestrutura do próprio cliente ou com fornecedores de retenção zero de dados. Os seus dados nunca são usados para treinar modelos de terceiros.
• Implementamos os deveres de transparência do artigo 50 desde o primeiro dia: avisos de interação com IA e marcação do conteúdo gerado.
• Deixamos rastreabilidade e registo suficientes para auditar decisões, e formamos a equipa que vai operar o sistema.

8. Ligações oficiais

Todas as referências desta página, ligadas à sua fonte primária:

• União Europeia · EUR-Lex Regulamento (UE) 2024/1689 — Regulamento da Inteligência Artificial

  Texto oficial do Regulamento Europeu de IA no Jornal Oficial da União Europeia.

• União Europeia · EUR-Lex Regulamento (UE) 2026/1744 — ómnibus digital sobre IA

  A reforma de julho de 2026 que simplifica requisitos e difere as obrigações de risco elevado.

• Comissão Europeia Quadro normativo da IA — Shaping Europe's digital future

  Página de referência da Comissão sobre o Regulamento de IA e o seu calendário.

• Comissão Europeia AI Act Service Desk e Plataforma Única de Informação

  Explorador do Regulamento, verificador de conformidade, cronologia e o serviço oficial de apoio a dúvidas.

• Portugal · ANACOM ANACOM — Inteligência Artificial

  Área de IA da autoridade de supervisão do Regulamento em Portugal e ponto de contacto único. Inclui as recomendações sobre o artigo 5 (práticas proibidas), em consulta pública desde junho de 2026.

• Portugal · ANACOM Entidades que supervisionam os direitos fundamentais (art. 77)

  Lista oficial das autoridades portuguesas competentes para a proteção dos direitos fundamentais no âmbito do Regulamento de IA.

• Portugal · CNPD Comissão Nacional de Proteção de Dados

  Autoridade de controlo de dados pessoais em Portugal. Inclui as suas orientações e recomendações para organizações.

• União Europeia · EUR-Lex Regulamento (UE) 2016/679 — RGPD

  O Regulamento Geral sobre a Proteção de Dados, aplicável em paralelo com o Regulamento de IA.

• Espanha · AEPD AEPD — Inovação e tecnologia

  Guias, infografias e ferramentas da Agência Espanhola de Proteção de Dados sobre IA e RGPD. Não é a autoridade competente em Portugal, mas interpreta o mesmo RGPD e é a referência técnica mais desenvolvida do espaço ibérico.