IA Act: O Que as Empresas Precisam de Fazer

O IA Act — o regulamento europeu de inteligência artificial — já está em vigor e a aplicar-se por fases. Para a maioria das empresas portuguesas, a reação tem oscilado entre o pânico desinformado ("vamos ter de parar de usar ChatGPT?") e a ignorância confortável ("isso é para as big tech"). Ambas erradas. Eis o que o regulamento realmente exige a uma empresa normal — sem juridiquês.

A lógica do regulamento: risco, não tecnologia

O IA Act não regula "a IA" em bloco — classifica usos por nível de risco:

• Risco inaceitável (proibido): manipulação subliminar, social scoring, reconhecimento de emoções no trabalho e na escola, entre outros. Proibições em vigor desde fevereiro de 2025.
• Risco elevado: IA em recrutamento e gestão de trabalhadores, avaliação de crédito, educação, infraestruturas críticas... Obrigações pesadas: gestão de risco, supervisão humana, documentação, registo.
• Risco limitado: chatbots e conteúdo gerado — essencialmente obrigações de transparência (as pessoas devem saber que interagem com IA / que o conteúdo é sintético).
• Risco mínimo: o resto — a esmagadora maioria dos usos quotidianos (escrever emails com ChatGPT, resumir documentos). Sem obrigações específicas.

O que se aplica a (quase) todas as empresas

1. Literacia em IA — já em vigor

Desde fevereiro de 2025, quem usa sistemas de IA deve garantir que o pessoal tem literacia suficiente, proporcional ao contexto de uso. Na prática: formação documentada. É a obrigação mais transversal e a mais ignorada — explicámo-la em detalhe aqui.

2. Transparência

Chatbot para clientes? Tem de ser identificável como IA. Conteúdo sintético em certas condições? Deve ser assinalado. Regra prática: não esconda IA de quem interage com ela.

3. Saber o que se usa

Nenhum artigo do regulamento diz "faça um inventário" — mas todas as obrigações o pressupõem. Se não sabe que IA a empresa usa e para quê, não consegue sequer saber que regras se lhe aplicam.

Atenção redobrada se usa IA para...

Recrutamento e gestão de pessoas. Triagem de CVs, avaliação de candidatos, monitorização de desempenho — é a categoria de risco elevado mais provável numa empresa comum. Se um fornecedor vos vende "IA para RH", exijam a documentação de conformidade dele e garantam supervisão humana efetiva das decisões. (E o RGPD aplica-se em simultâneo.)

O plano de ação em cinco passos

1. Inventarie — que ferramentas de IA se usam (incluindo as não oficiais — o shadow AI conta), para quê, com que dados.
2. Classifique — algum uso toca nas categorias proibidas ou de risco elevado? Para a maioria das empresas a resposta é "não, exceto talvez RH".
3. Forme e documente — literacia em IA para todos, registada. É a obrigação universal já em vigor.
4. Transparência — reveja chatbots e conteúdo gerado voltados para o público.
5. Exija aos fornecedores — a maior parte das obrigações técnicas recai sobre quem desenvolve os sistemas; a sua tarefa é escolher fornecedores conformes e guardar a documentação. Como avaliá-los.

As coimas (para os céticos internos)

Até 35 milhões de euros ou 7% da faturação global para violações das proibições; até 15 milhões ou 3% para outras obrigações. Não vai acontecer à PME que usa ChatGPT para emails — mas o argumento orçamental para levar o tema a sério está feito. O custo real de ignorar o IA Act não é a coima: é descobrir tarde que o vosso processo de recrutamento assenta num sistema não conforme.