Por João Bonifácio
Imagine que a sua empresa usa uma ferramenta que faz a triagem prévia das candidaturas a emprego. Ou que mede a produtividade das equipas a partir dos registos de actividade. Ou, simplesmente, que tem um assistente automático a responder aos clientes no seu site na Internet.
Nenhum destes exemplos é exótico. Todos eles convocam obrigações legais que já estão em vigor, algumas desde 2023 e, que a generalidade das empresas portuguesas desconhece, em boa parte porque as notícias dos últimos meses garantiram que a regulação europeia da inteligência artificial tinha sido adiada para 2027.
Não foi. Convém esclarecer o equívoco, porque ele poderá sair caro.
O que mudou em Julho
O Regulamento (UE) 2026/1744, conhecido por Digital Omnibus on AI, foi publicado no Jornal Oficial da União Europeia a 24 de Julho de 2026 e entrou em vigor a 27 de Julho, alterando o Regulamento (UE) 2024/1689 – o AI Act.
Adiou-se uma parte do edifício: as obrigações relativas aos sistemas de risco elevado autónomos, previstos no Anexo III, passaram para 2 de Dezembro de 2027 e, as relativas aos sistemas incorporados em produtos, do Anexo I, para 2 de Agosto de 2028. Concedeu-se ainda prazo até 2 de Dezembro de 2026 para que os sistemas generativos já colocados no mercado antes de Agosto passem a marcar os conteúdos em formato legível por máquina, nos termos do disposto no n.º 4 do Art.º 111.º do Regulamento (UE) 2024/1689, na redacção que lhe foi dada pelo diploma de Julho.
Tudo o resto entrou em aplicação a 2 de Agosto de 2026, ou já antes o estava:
- As práticas proibidas do Art.º 5.º do Regulamento (UE) 2024/1689, aplicáveis desde Fevereiro de 2025, entre elas o reconhecimento de emoções em contexto laboral.
- O dever de literacia em IA, previsto no Art.º 4.º do mesmo diploma.
- As obrigações de transparência do Art.º 50.º, exigíveis desde 2 de Agosto de 2026.
- O regime sancionatório, com coimas até 35 milhões de euros ou 7 % do volume de negócios mundial no caso das práticas proibidas e até 15 milhões de euros ou 3 % nas restantes infracções.
Em Portugal, a fiscalização cabe à ANACOM, designada em Setembro de 2025 como autoridade nacional de fiscalização do mercado e ponto de contacto único, coordenando catorze autoridades sectoriais. A Comissão Nacional de Protecção de Dados conserva as suas competências quanto a dados pessoais e decisões automatizadas. Não existe, nem se prevê, lei nacional sobre a matéria: tratando-se de regulamento europeu, é directamente aplicável.
O mínimo que qualquer empresa tem de assegurar
Independentemente da dimensão, três pontos são hoje exigíveis:
Informar que do outro lado está uma máquina. Se utiliza um assistente no atendimento, o interlocutor tem de saber que interage com um sistema de IA, salvo se tal for evidente. Se produz textos, imagens ou vídeo com IA generativa, o resultado deve ser identificável como tal.
Cumprir os deveres laborais que já existiam. Nos termos do disposto na alínea s) do n.º 3 do Art.º 106.º do Código do Trabalho, na redacção introduzida pela Lei n.º 13/2023, de 3 de Abril, o empregador deve informar o trabalhador sobre os parâmetros, os critérios, as regras e as instruções em que se baseiam os algoritmos ou outros sistemas de inteligência artificial que afectem a tomada de decisões sobre o acesso e a manutenção do emprego, bem como sobre as condições de trabalho, incluindo a elaboração de perfis e o controlo da actividade profissional. Deveres paralelos de informação e consulta impendem perante a comissão de trabalhadores e, também, perante os delegados sindicais. Acrescem a proibição de discriminação, que abrange as decisões algorítmicas, e o Art.º 22.º do Regulamento Geral sobre a Protecção de Dados quanto às decisões exclusivamente automatizadas.
Este ponto merece sublinhado: não depende do AI Act, não foi adiado por ninguém e é fiscalizável pela Autoridade para as Condições do Trabalho desde 2023.
Saber o que se usa. Um inventário simples: que sistemas existem, quem os fornece, que decisões suportam, quem as valida. É a base de tudo o resto. Sem ele, nenhuma obrigação se cumpre com seriedade.
Para organizações com estrutura própria de conformidade
Quem tenha departamento jurídico ou de compliance tem duas frentes adicionais e ambas beneficiam de ser tratadas agora e não em 2027.
A primeira é contratual. Quase nenhuma empresa desenvolve os sistemas que utiliza: adquire-os. Os contratos de licenciamento distribuem frequentemente mal as responsabilidades de conformidade entre fornecedor e utilizador e raramente asseguram o acesso à documentação técnica de que o utilizador precisará para se defender perante o regulador. É matéria a rever nas renovações deste ano.
A segunda é a preparação da classificação de risco. As obrigações do Anexo III abrangem emprego, crédito, biometria, educação, serviços essenciais e administração da justiça. Dezembro de 2027 parece distante, mas o levantamento de sistemas, a documentação técnica, a supervisão humana e a formação das equipas não se organizam em três meses.
O risco real do adiamento não é jurídico. É de acomodação.
E para as pessoas?
Para o cidadão, o efeito imediato é o direito a saber: que a mensagem foi gerada por uma máquina, que o vídeo foi manipulado. E, quando entenda que um sistema o prejudicou, apresentar queixa junto da autoridade de fiscalização do mercado, faculdade prevista no Art.º 85.º do Regulamento (UE) 2024/1689.
O direito a obter explicação sobre decisões individuais, consagrado no Art.º 86.º do mesmo diploma, já consta do texto, embora só venha a ganhar expressão prática à medida que as obrigações de risco elevado se tornem exigíveis. Até lá, quem se sinta lesado por uma decisão automatizada, na candidatura a um emprego, na avaliação de desempenho, na concessão de crédito, encontra protecção sobretudo no Código do Trabalho e no Regulamento Geral sobre a Protecção de Dados. Instrumentos que, convém recordar, produzem efeitos há anos.
Deixe um comentário