AI Act: o que muda numa empresa de 50 a 500 pessoas?

Resposta rápida: No AI Act, uma empresa de 50 a 500 pessoas deve identificar se fornece ou utiliza cada sistema de IA. Proibições aplicáveis e literacia em IA vigoram desde 2 de fevereiro de 2025; a aplicação geral começa em 2 de agosto de 2026. Regras de risco elevado seguem prazos em 2027 e 2028.^1,3

Resumo em mapa mental

AI Act: o que muda numa empresa de 50 a 500 pessoas?
│
├─ Inventário e papel
│   ├─ Uma linha por sistema e utilização
│   ├─ Fornecedor ou responsável pela implantação
│   └─ A dimensão não substitui a análise
│
├─ Risco e calendário
│   ├─ Data geral: agosto de 2026
│   ├─ Anexo III: dezembro de 2027
│   └─ Anexo I: agosto de 2028
│
├─ Pessoas e utilização
│   ├─ Literacia ajustada ao contexto
│   ├─ Instruções ligadas ao processo
│   └─ Supervisão com autoridade e apoio
│
└─ Revisão contínua
    ├─ Monitorizar o funcionamento
    └─ Reabrir a decisão quando o uso muda

A primeira decisão da empresa

Uma empresa de serviços com 50 a 500 pessoas não precisa de começar por ler o regulamento como se todos os seus sistemas fossem iguais. Precisa de uma lista das aplicações de IA que desenvolve, oferece ou utiliza. Para cada aplicação, três colunas resolvem a primeira triagem: qual é o papel da empresa, para que serve o sistema e que pessoas ou processos são afetados. Sem esta identificação, uma política geral pode atribuir a mesma data e o mesmo responsável a situações juridicamente diferentes.

O artigo 3.º, n.º 4, define o responsável pela implantação como a pessoa ou entidade que utiliza um sistema de IA sob a sua autoridade, exceto quando o uso é pessoal e não profissional.¹ Assim, uma empresa que põe uma ferramenta a trabalhar no atendimento, na análise documental ou numa tarefa interna tem de avaliar o seu papel de utilizadora organizacional. A conclusão não depende de ter escrito o código. Por outro lado, uma empresa que desenvolve e coloca o próprio sistema no mercado pode ter o papel de fornecedor, segundo a definição do artigo 3.º, n.º 3.¹

Esta distinção não é apenas terminologia. O artigo 4.º dirige a obrigação de apoiar a literacia em IA a fornecedores e responsáveis pela implantação. O artigo 26.º estabelece deveres específicos para quem implanta sistemas de risco elevado.¹ Uma empresa pode, por isso, ser fornecedora num produto vendido a clientes e responsável pela implantação de uma ferramenta comprada para uso interno. A matriz de papéis deve ser feita por sistema, não por pessoa coletiva de forma abstrata.

O resultado desta etapa não é uma etiqueta definitiva para toda a empresa. É um inventário que permite perguntar, de modo verificável, quais regras correspondem a cada linha. A guia de criação de um registo de IA ajuda a estruturar o levantamento; a classificação jurídica deve seguir a realidade de cada sistema. Quando o mesmo sistema também trata dados pessoais, a guia de governo de IA e dados trata a relação entre os regimes.

Prazos de aplicação do AI Act

As proibições aplicáveis, as definições e as disposições de literacia em IA vigoram desde 2 de fevereiro de 2025, conforme explica a Comissão.³ A data geral de aplicação indicada no artigo 113 é 2 de agosto de 2026.¹ O mesmo artigo estabelece datas diferentes para grupos de requisitos relativos a sistemas de risco elevado. As secções 1 a 3 do capítulo III aplicam-se a partir de 2 de dezembro de 2027 aos sistemas abrangidos pelo artigo 6.º, n.º 2, e anexo III. Para os sistemas ligados ao artigo 6.º, n.º 1, e anexo I, a data indicada é 2 de agosto de 2028.¹

Um calendário interno útil não contém apenas datas. Deve incluir o sistema, a base de classificação, o papel da empresa e a tarefa que tem de estar pronta. Por exemplo, a equipa não deveria escrever “risco elevado: 2027” sem indicar por que razão colocou o caso no grupo do anexo III. A coluna com a justificação torna visível uma hipótese mal verificada antes de ela se transformar num plano de trabalho. Se a classificação mudar, muda também a linha temporal que dela depende.

O calendário não autoriza adiar a literacia até à data geral ou até aos prazos de risco elevado. A linha de cada sistema deve separar os deveres já aplicáveis dos requisitos futuros que dependem da sua classificação.^1,3

Literacia em IA das equipas

O artigo 4.º, n.º 1, exige a fornecedores e responsáveis pela implantação medidas que apoiem o desenvolvimento da literacia em IA do pessoal e de outras pessoas que operam ou utilizam sistemas em seu nome.¹ A palavra importante para a gestão é “medidas”: não basta afirmar que todos conhecem a tecnologia. A empresa tem de perceber quem interage com cada sistema, que decisões toma e de que conhecimentos precisa para o usar no contexto concreto.

A Comissão propõe considerar uma compreensão geral da IA, o papel de fornecedor ou responsável pela implantação, os riscos dos sistemas, os conhecimentos das pessoas e o contexto de utilização.² Isto permite desenhar percursos diferentes sem inventar uma certificação universal. A equipa que introduz dados precisa de reconhecer limites relevantes para a entrada; quem revê resultados precisa de compreender o significado e os erros possíveis da saída. A pessoa encarregada da supervisão de um sistema de risco elevado exige ainda competência, formação, autoridade e apoio adequados à função.¹

Uma ficha de formação pode ligar quatro elementos: sistema, utilizadores, tarefa e aprendizagem prevista. A prova da medida pode registar o conteúdo apresentado, quem participou e como a organização confirma que a prática mudou. O artigo 4.º não é satisfeito automaticamente por uma apresentação genérica com o título “Introdução à IA”. A Comissão recomenda que a ação tenha em conta o papel e os riscos específicos.² Ao mesmo tempo, o texto citado não exige que cada trabalhador alcance uma pontuação uniforme num exame.

O ponto de partida pode ser uma conversa com os responsáveis dos processos. Que decisões são tomadas com a ajuda do sistema? Quem identifica uma resposta inadequada? Quem consegue suspender a utilização quando o contexto sai do esperado? Estas perguntas transformam a literacia em capacidade operacional. Também mostram onde a formação deve ser repetida ou adaptada quando um sistema muda. A aprendizagem deve seguir as tarefas efetivas, não apenas o nome do fornecedor da ferramenta.

Como classificar risco elevado

A expressão “IA de risco elevado” não é sinónimo de ferramenta importante para o negócio. O artigo 6.º estabelece duas vias. Pelo n.º 1, devem verificar-se cumulativamente duas condições: o sistema é componente de segurança de um produto abrangido pela legislação de harmonização da secção A do anexo I, ou é ele próprio esse produto; e o produto ou sistema está sujeito a avaliação de conformidade por terceiro antes da colocação no mercado ou entrada em serviço.¹

Pelo n.º 2, a via é a utilização prevista num dos casos enumerados no anexo III. Aplicam-se também as condições e exceções do próprio artigo 6.º.¹ Uma ferramenta destinada a analisar e filtrar candidaturas a emprego é um exemplo identificado pela Comissão.³ Para a empresa que a usa na seleção, a finalidade concreta importa mais do que o nome comercial: a triagem de candidaturas aponta para a categoria de emprego do anexo III, ao passo que uma ferramenta que apenas ordena ficheiros administrativos não entra nessa categoria por usar IA.^1,3

Na via do anexo III, o artigo 6.º, n.º 3, prevê uma exceção quando o sistema não apresente risco significativo para a saúde, segurança ou direitos fundamentais, nomeadamente por não influenciar materialmente o resultado de uma decisão.¹ Há quatro situações possíveis. A primeira é uma tarefa processual restrita. Outra melhora o resultado de atividade humana já concluída. A terceira deteta padrões sem substituir ou influenciar a avaliação humana anterior sem revisão adequada. A quarta prepara uma avaliação de caso do anexo III.¹ A classificação de risco elevado mantém-se quando há definição de perfis de pessoas singulares.¹ No exemplo de recrutamento, a equipa deve verificar a função real do filtro, o seu efeito sobre a decisão e se há definição de perfis antes de invocar a exceção.

Uma ficha de classificação deve, por isso, registar a utilização prevista, a via do artigo 6.º, a condição de produto e avaliação por terceiro ou o caso do anexo III, a eventual exceção e os factos que sustentam a conclusão.¹ Este artigo não decide a classificação de um produto concreto sem essas características.

Deveres de quem implanta IA de risco elevado

Para um sistema de risco elevado, o artigo 26.º, n.º 1, exige ao responsável pela implantação medidas técnicas e organizativas adequadas para assegurar a utilização segundo as instruções que acompanham o sistema.¹ Isto muda a conversa com o fornecedor. Não basta receber um manual e arquivá-lo; é necessário comparar as condições de utilização com o processo real da empresa. Se a ferramenta é usada para uma finalidade diferente ou com dados de entrada não previstos, a equipa deve identificar essa diferença antes de confiar no resultado.

A Comissão resume deveres operacionais adicionais de quem implanta esses sistemas: seguir as instruções, monitorizar o funcionamento, atuar perante riscos ou incidentes graves, atribuir supervisão humana habilitada e assegurar que os dados de entrada fornecidos são relevantes e suficientemente representativos.³ Estas tarefas não cabem necessariamente à mesma pessoa. O plano operacional pode indicar quem prepara os dados, quem observa o funcionamento e quem recebe um alerta de quem supervisiona. A distribuição concreta depende do sistema e do processo.

Um exemplo de desenho de responsabilidades, sem substituir a análise jurídica, pode separar três momentos. Antes da utilização, a equipa verifica as instruções e a adequação dos dados que fornece. Durante a utilização, observa resultados e sinais de funcionamento anómalo. Depois de um problema, regista o que ocorreu e decide a resposta apropriada. Este encadeamento ajuda a transformar o artigo 26.º em tarefas identificáveis; não implica que o regulamento imponha exatamente este formulário ou esta divisão interna.^1,3

A empresa deve conservar a versão das instruções utilizadas e a sua ligação ao sistema real. Se o fornecedor alterar a interface, os limites ou a utilização prevista, o plano interno pode deixar de corresponder ao produto. Uma revisão então não é mera manutenção administrativa: pode mudar formação, supervisão, dados de entrada ou classificação. A regra legal é utilizar o sistema de acordo com as instruções; a documentação serve para verificar se essa regra foi aplicada no trabalho diário.¹

Supervisão humana com autoridade

O artigo 26.º, n.º 2, exige que o responsável pela implantação atribua a supervisão humana de sistemas de risco elevado a pessoas singulares com competência, formação, autoridade e apoio necessários.¹ Cada termo tem uma consequência prática. Competência e formação sem autoridade podem deixar a pessoa incapaz de intervir; autoridade sem acesso ao contexto pode produzir uma aprovação apenas formal. A empresa deve definir o que o supervisor vê, que decisão pode tomar e a quem recorre quando precisa de escalar um problema.

Antes de designar uma pessoa, vale a pena percorrer um caso de utilização completo. Em que momento surge a saída do sistema? Que informação contextual permite julgá-la? Que ação humana está disponível se a saída parecer inadequada? Quem substitui o supervisor quando está ausente? Estas perguntas não acrescentam um novo requisito legal; ajudam a verificar se os quatro elementos do artigo 26.º, n.º 2, existem na prática.¹

Uma política que afirma “há sempre revisão humana” pode esconder níveis muito diferentes de controlo. Uma pessoa que apenas recebe uma decisão depois de executada não tem necessariamente oportunidade de a supervisionar. A descrição do fluxo deve mostrar quando a intervenção é possível, o que a pessoa pode alterar e como a ação fica visível. A guia sobre o desenho da supervisão humana desenvolve este problema operacional.

O supervisor também precisa de saber quando parar. Isso exige uma via de comunicação com quem gere o sistema e com quem avalia riscos. A Comissão inclui entre os deveres de quem implanta sistemas de risco elevado a monitorização do funcionamento e a reação a riscos ou incidentes graves.³ A supervisão humana tem, portanto, uma ligação ao acompanhamento contínuo. O nome numa tabela de cargos é só o início da decisão organizativa.

Documentação e responsáveis

Um plano de conformidade útil não é uma coleção de políticas sem ligação aos sistemas. Pode começar com um registo em que cada linha identifica o sistema, a finalidade, o papel da empresa, a classificação, as instruções aplicáveis, os utilizadores e a pessoa responsável pela próxima revisão. Este formato não é imposto como modelo único pelas fontes; é uma maneira de conservar as decisões necessárias para aplicar os artigos 4.º, 26.º e 113.^1,2,3

Depois, cada dever deve apontar para uma prova adequada. Para a literacia, interessa saber que pessoas lidam com o sistema e que medidas foram tomadas para o seu contexto. Para o uso conforme às instruções, interessa a versão recebida e como foi incorporada no processo. Para a supervisão, interessa a designação de pessoas competentes com autoridade e apoio. Para o calendário, interessa a razão da categoria jurídica atribuída. Um único documento pode apontar para estes elementos, mas não os cria por simples referência.

A responsabilidade interna deve acompanhar a capacidade de agir. Quem pode atualizar o processo? Quem recebe a informação de que a ferramenta mudou? Quem compara uma nova finalidade com a classificação anterior? A empresa pode distribuir tarefas entre produto, operações, recursos humanos e direção, mas deve evitar uma situação em que todos figuram como responsáveis e ninguém pode corrigir uma utilização inadequada. A matriz de papéis precisa de ser verificável com um caso real, não apenas aprovada numa reunião.

A relação com o fornecedor merece uma linha própria. Quem implanta o sistema precisa das instruções que o acompanham para organizar o uso adequado.¹ Se as condições de operação não são claras, a empresa deve obter o esclarecimento necessário antes de transformar uma suposição numa rotina. A documentação interna não deve afirmar como o sistema foi concebido se essa informação não foi recebida. Distinguir factos verificados, decisões internas e perguntas abertas reduz a possibilidade de uma política mascarar uma lacuna operacional.

Um roteiro de conformidade

1. Inventarie e atribua um papel. Registe uma linha por sistema, com finalidade, utilizadores e pessoa que confirma se a empresa o fornece ou utiliza sob a sua autoridade. Guarde a versão das instruções recebidas, para que a linha se refira ao sistema efetivamente usado.¹
2. Associe a via e a data. Indique se a avaliação segue a condição de produto do artigo 6.º, n.º 1, ou um caso do anexo III pelo n.º 2. Na mesma linha, registe o facto decisivo e o marco aplicável: 2 de dezembro de 2027 ou 2 de agosto de 2028 para os respetivos grupos de requisitos.¹
3. Atribua medidas e pessoas. Identifique quem opera o sistema e a medida de literacia adequada à função. Se houver implantação de risco elevado, designe uma pessoa com competência, formação, autoridade e apoio para a supervisão, e documente a possibilidade real de intervir.^1,2
4. Confirme o uso e acompanhe-o. Compare a operação com as instruções, verifique a relevância dos dados de entrada fornecidos e defina quem acompanha o funcionamento e recebe alertas de risco ou incidente grave. Registe o resultado da verificação para que a direção saiba qual medida depende de correção.^1,3

Por palavras, o percurso é este: inventariar o sistema, identificar o papel da empresa e classificar a sua utilização. Se a classificação aponta para risco elevado, selecionar a via do artigo 6.º e a data correspondente do artigo 113; depois organizar as instruções, os dados de entrada e a supervisão humana. Em todos os casos pertinentes, definir medidas de literacia em IA para as pessoas que operam o sistema.^1,2,3

Próximos passos

Escolha um sistema já utilizado, identifique o papel da empresa, documente a finalidade, classifique a via legal e ligue-a ao prazo adequado. Depois confirme as medidas de literacia, as instruções de uso e, quando aplicável, a supervisão humana.^1,2,3 Para organizar a próxima etapa, consulte o EU AI Act Documentation Pack.