Coloque os seus sistemas de IA em conformidade com o AI Act

As práticas proibidas e a literacia em IA aplicam-se desde 2 de fevereiro de 2025, as obrigações para modelos de uso geral desde 2 de agosto de 2025, e as obrigações de transparência do artigo 50.º — informar que um interlocutor é uma máquina, marcar conteúdos gerados, assinalar uma falsificação profunda (deepfake) — desde 2 de agosto de 2026. O Digital Omnibus, que entrou em vigor a 27 de julho de 2026, adiou, no entanto, as obrigações para sistemas de alto risco do anexo III para 2 de dezembro de 2027, e para 2 de agosto de 2028 para a IA integrada num produto já regulamentado.

Muda o calendário, não a carga de trabalho. Um inventário completo, a qualificação de cada sistema e a revisão da documentação levam vários meses, e as duas novas datas são definitivas: o Parlamento e o Conselho descartaram a ativação condicionada à publicação das normas harmonizadas, proposta pela Comissão. As obrigações de transparência, por sua vez, são exigíveis desde já.

O fornecedor desenvolve um sistema de IA e coloca-o no mercado; o implementador utiliza-o num contexto profissional sem o ter desenvolvido. Uma empresa que constrói um produto sobre a API de um modelo passa de implementador a fornecedor assim que comercializa um sistema distinto sob o seu nome. Esta qualificação é fundamental: é ela que determina o âmbito das suas obrigações.

O anexo III lista oito áreas: biometria, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, acesso a serviços essenciais — crédito, seguros, apoios sociais, serviços de emergência —, aplicação da lei, migração e controlo de fronteiras, administração da justiça e processos democráticos. Um sistema abrangido pelo anexo III pode ser excluído do alto risco, mas a avaliação deve ser fundamentada e registada na base de dados europeia.

Para uma organização que identifique dois a cinco sistemas de alto risco, conte com quatro a sete meses entre a definição do projeto e a conformidade documentada. O prazo aumenta quando há muitas utilizações fora do controlo do departamento de TI ou quando não existe um mapeamento prévio. Adaptamos o ritmo aos seus prazos.

Tem um interlocutor único do lado da Galadrim, que lidera a missão. A sociedade parceira intervém na qualificação dos papéis, nos contratos com os seus fornecedores e clientes, na articulação com o RGPD, na propriedade intelectual dos conteúdos produzidos e no regime de responsabilidade, em coordenação com as nossas equipas técnicas. Não tem de coordenar dois prestadores de serviços.

Três limites máximos, sendo retido o valor mais elevado dos dois: 35 M€ ou 7% do volume de negócios mundial para práticas proibidas, 15 M€ ou 3% para outros incumprimentos — incluindo a transparência —, e 7,5 M€ ou 1% por fornecimento de informações incorretas às autoridades. Aplicam-se limites reduzidos a PME e a pequenas empresas de média dimensão.

O AI Act não o impõe como tal: são o RGPD e, se aplicável, a sua regulamentação setorial que enquadram a localização. Na prática, a questão coloca-se sempre que um modelo externo trata dados pessoais ou sensíveis. Consoante o caso, anonimizamos os dados antes da chamada, alojamos na União Europeia ou implementamos um modelo open source auto-hospedado (self-hosted) — foi o que fizemos para o Ministério das Forças Armadas.