AI Act: muitas PME ainda não estão preparadas

Por: Daniela Felício com Ana Marisa Vieira

A partir do próximo domingo, 2 de agosto, entram em aplicação novas obrigações do Regulamento Europeu da Inteligência Artificial (AI Act), a legislação da União Europeia que estabelece um quadro comum para regular o desenvolvimento e utilização de sistemas de inteligência artificial. Especialistas alertam que muitas PME ainda não fizeram um levantamento das ferramentas que utilizam e podem desconhecer as responsabilidades que assumem.

Para perceber o que muda para as PME e avaliar o seu nível de preparação, a PME Magazine falou com Magda Coco, advogada especializada em direito digital e tecnologia, e com Carlos Ribeiro, fundador da Coalex AI, empresa que desenvolve infraestrutura para governação e controlo de sistemas de inteligência artificial.

A data de 2 de agosto marca uma nova fase na aplicação da legislação, embora algumas obrigações já estejam em vigor desde fevereiro de 2025, como “a proibição de práticas de IA consideradas inaceitáveis e a obrigação de literacia em IA”, explica Magda Coco.

A advogada, sócia da VdA – Vieira de Almeida, sublinha que o que passa a aplicar-se a partir de 2 de agosto de 2026 são, entre outras, obrigações de transparência previstas no artigo 50.º do AI Act.

Na prática isto significa três coisas, explica a advogada. Primeiro, “as empresas devem informar os clientes quando estão a interagir com um chatbot ou assistente virtual baseado em IA”.

Depois, têm de “identificar claramente conteúdos gerados por IA que possam ser confundidos com conteúdos reais (deep fakes), bem como textos gerados por IA destinados a informar o público sobre matérias de interesse público”, acrescenta. E, além disso, devem “informar as pessoas sempre que utilizem sistemas de reconhecimento de emoções ou categorização biométrica”.

A advogada explica que, “para a maioria das PME que utilizam IA internamente (seja para redigir textos, resumir documentos, analisar dados ou automatizar tarefas) o impacto destas obrigações é relativamente reduzido”.

Ainda assim, há duas áreas que as empresas devem ter em atenção: a transparência na relação com clientes e a literacia dos trabalhadores. “O mais importante é garantir que: quando há interação direta com clientes através de IA, esta é claramente identificada; e que os colaboradores que utilizam estas ferramentas compreendem o seu funcionamento e limitações.”

Muitas PME podem não saber que estão a utilizar IA

A ideia de que o AI Act é sobretudo uma legislação dirigida às grandes tecnológicas é, no entanto, errada. “Não de todo!”, afirma Magda Coco. O regulamento aplica-se às entidades públicas e privadas que coloquem sistemas de IA no mercado ou que utilizem sistemas de IA contratados a terceiros.

“Uma PME que desenvolva ou utilize sistemas de IA, por exemplo para gerir caixas de email, produção de conteúdos de marketing, gestão de processos de recrutamento e ou análise de dados de performance, também tem de cumprir as obrigações do AI Act”, salienta a advogada. 

Isto significa que uma PME que compre uma ferramenta de IA e a utilize no seu negócio pode também assumir responsabilidades enquanto utilizadora desses sistemas.

Carlos Ribeiro, fundador da Coalex AI, identifica precisamente este desconhecimento como um dos principais problemas que tem encontrado nas empresas. “Muitas PME ainda não começaram a adoção e quando começam o desconhecimento é total, começando sempre pela execução (pilotos/demos) antes das preocupações legais”, afirma.

O empresário  desmistifica a ideia de que uma empresa que não desenvolve diretamente inteligência artificial “não tem IA”, alertando que “quase sempre têm”. Isto porque muitas funcionalidades de inteligência artificial já estão integradas em ferramentas utilizadas diariamente pelas empresas. “Software de recrutamento é quase sempre alto risco”, acrescenta.

Segundo Carlos Ribeiro, outra das ideias erradas mais comuns é a de que o AI Act “é para quem faz IA”. Carlos Ribeiro explica que “se a empresa comprou um chatbot ou uma ferramenta de triagem, é dela a obrigação de supervisão e de transparência perante os seus próprios clientes”.

Magda Coco corrobora a ideia, dizendo que “o AI Act distribui obrigações e responsabilidade ao longo da cadeia de valor.”

No entanto, isto não quer dizer que as PME têm a mesma carga de obrigações que as restantes entidades, de acordo com Magda Coco. “O AI Act prevê medidas específicas de apoio, como documentação técnica simplificada, acesso prioritário a sandboxes regulatórias e proporcionalidade no regime sancionatório”, explica.

Regras para sistemas de alto risco foram adiadas

Uma PME pode, por exemplo, utilizar uma ferramenta de inteligência artificial para fazer uma primeira triagem de currículos ou filtrar candidatos. Neste caso, pode estar perante um sistema classificado como de alto risco, dependendo da utilização concreta da tecnologia.

O AI Act classifica como de alto risco determinados sistemas utilizados em áreas sensíveis, incluindo “a biometria, as infraestruturas críticas, gestão de emprego, e o acesso a serviços essenciais”, explica Magda Coco.

Neste aspeto, o calendário de aplicação das regras sofreu alterações. O Conselho da União Europeia deu, a 29 de junho, luz verde final ao chamado AI Omnibus, um pacote de simplificação das regras digitais que adiou a aplicação das obrigações relativas aos sistemas de inteligência artificial de alto risco.

As novas datas ficaram fixadas em 2 de dezembro de 2027, para determinados sistemas de alto risco autónomos, e 2 de agosto de 2028, para sistemas de alto risco incorporados em produtos. O adiamento não significa, contudo, que as empresas possam deixar a preparação para mais tarde.

“O adiamento das obrigações com a aprovação do AI Omnibus é uma oportunidade que deve ser aproveitada pelas empresas, incluindo as PME, para se preparem para as novas obrigações”, afirma Magda Coco.

Carlos Ribeiro alerta igualmente para o risco de as empresas interpretarem o adiamento como uma suspensão geral das regras. “O AI Omnibus, adotado em junho, adiou de facto as regras dos sistemas de alto risco (…) Mas não adiou o resto”, afirma.

Na sua perspetiva, o adiamento pode mesmo contribuir para aumentar o desconhecimento entre as empresas, numa altura em que muitas ainda estão a dar os primeiros passos na adoção de inteligência artificial.

Preparação passa por organização e transparência

Se o primeiro problema é não saber que ferramentas de IA já estão a ser utilizadas, outro é não existirem regras internas para controlar essa utilização.

“Outro erro muito frequente nas empresas é simultaneamente não terem regras próprias sobre a utilização interna de ferramentas de AI e não saberem quais é que já estão a ser utilizadas pelos seus colaboradores”, explica.

“Colaboradores podem estar acidentalmente a partilhar know-how confidencial ou dados pessoais de clientes com terceiros, sem se aperceberem”, alerta ainda Magda Coco.

Carlos Ribeiro identifica este fenómeno como um dos principais riscos e preocupações entre as empresas: “a IA sombra”.

“O problema é não saberem quantos agentes os próprios colaboradores já colocaram em produção, nem a que sistemas esses agentes têm acesso”, afirma. “Nas grandes empresas isto preocupa; nas PME é pior, porque não há ninguém a olhar.”

A resposta passa, em primeiro lugar, por saber o que existe dentro da organização. Magda Coco recomenda que as empresas façam um inventário dos sistemas de IA utilizados, sejam ferramentas desenvolvidas internamente ou soluções contratadas a terceiros, “classificando o nível de risco de cada”.

A advogada sugere ainda a nomeação de um responsável pelo acompanhamento desta matéria, um “AI officer“. No caso das PME, “pode fazer sentido colocar estas funções numa pessoa do departamento jurídico que tenha acesso fácil à administração”.

Carlos Ribeiro deixa uma recomendação semelhante: “Comecem por um inventário. Uma folha de cálculo onde sejam listadas todas as ferramentas e funcionalidades de IA utilizadas na empresa”, incluindo aquelas que já vêm incorporadas em softwares contratados.

O empresário defende ainda que a classificação deve ser feita “por utilização, não por ferramenta”. O mesmo software pode apresentar um risco reduzido quando utilizado para resumir emails, mas assumir um nível de risco diferente quando é utilizado para filtrar candidaturas, explica.

Acrescenta ainda que as empresas devem garantir a transparência nas interações com clientes e definir claramente em que momentos deve existir intervenção humana. “Definir onde entra uma pessoa. Para cada utilização com consequência para alguém: quem decide, com que informação, e onde é que essa decisão fica registada”, diz o fundador da Coalex AI.

Literacia em IA também é uma obrigação

Outra área que as PME não devem ignorar é a literacia em inteligência artificial, uma obrigação que já se encontra em aplicação desde fevereiro de 2025. A regra implica que as pessoas que trabalham diretamente com sistemas de IA compreendam o seu funcionamento, limitações e riscos.

“Não se trata de transformar todos os colaboradores em especialistas em AI”, esclarece Magda Coco, mas de garantir que estes “não utilizam AI de forma imprudente, sem validar resultados, por desconhecimento dos riscos destas ferramentas”.

Na prática, uma PME deverá adaptar a formação às funções desempenhadas pelos trabalhadores e estabelecer regras claras sobre quais as ferramentas autorizadas e proibidas.

Para Carlos Ribeiro, esta é uma das medidas mais importantes que uma PME pode tomar. “Formar as equipas” está entre as cinco prioridades que recomenda às empresas.

PME também podem ser sancionadas

A preocupação com as possíveis sanções parece ser inevitável. O AI Act prevê coimas que podem atingir valores elevados, chegando, nos casos mais graves, a 35 milhões de euros ou 7% do volume de negócios mundial. 

No entanto, Magda Coco sublinha que existem mecanismos de proporcionalidade para as PME.

“Quanto às coimas para as PME, não só o AI Act reduz o montante máximo das mesmas, como o próprio cálculo deve considerar uma variedade de fatores que podem atenuar o seu impacto em PMEs. Estas devem ser proporcionais à gravidade, à dimensão da empresa e às circunstâncias do caso, incluindo os esforços de conformidade demonstrados”, explica.

A Autoridade Nacional de Comunicações (ANACOM) deverá assumir a supervisão do AI Act em Portugal. No entanto, a advogada explica que a organização “está numa fase de estruturação interna da sua atividade de fiscalização para os ambientes digitais e o AI Act em particular” e que “ainda não há uma lei formal” de designação.

A advogada considera, por isso, que as empresas devem aproveitar o atual período para se adaptarem às novas regras.