Os termos por trás da IA, do software e da regulação digital da UE.

Software que usa um modelo de linguagem para planear e executar passos em direção a um objetivo, como consultar um registo, preencher um formulário ou chamar uma API. Um agente atua dentro das permissões e ferramentas que lhe são atribuídas, e cada passo pode ficar registado.

Um resultado da IA que parece seguro mas não tem apoio nas fontes ou nos factos. Reduz-se, sem se eliminar, apoiando as respostas em fontes recuperadas, exigindo citações, permitindo que o sistema diga que não sabe e medindo a taxa na avaliação.

Testes sistemáticos de um sistema de IA com um conjunto de referência de perguntas ou documentos e critérios acordados, como a correção, o apoio nas fontes, a completude e a recusa quando a resposta é desconhecida. A avaliação corre antes da entrada em produção e de novo após cada alteração ao modelo, ao prompt ou aos dados.

Uma plataforma de dados que guarda os dados em formatos abertos de ficheiros e tabelas, em armazenamento de objetos de baixo custo, como um data lake, e acrescenta por cima funcionalidades de data warehouse: transações, esquemas, controlo de acessos e SQL. Formatos de tabela abertos como o Apache Iceberg e o Delta Lake tornam isto possível.

Um padrão em que o sistema começa por ir buscar passagens relevantes a fontes aprovadas, como procedimentos, políticas ou processos, e só depois deixa o modelo de linguagem responder com base nessas passagens. A resposta pode citar o documento e a secção, e os direitos de acesso do utilizador são respeitados no momento da pesquisa.

Uma conceção em que uma pessoa revê, corrige ou aprova um resultado da IA antes de este produzir efeitos. Para os sistemas de IA de risco elevado, o Regulamento da IA exige uma supervisão humana eficaz por pessoas com a competência e a autoridade para intervir.

As práticas que mantêm fiáveis em produção os sistemas de machine learning e de modelos de linguagem: controlo de versões de modelos, prompts e dados, avaliação automatizada, pipelines de implementação e monitorização da qualidade, do custo e da latência.

Uma rede neuronal treinada com quantidades muito grandes de texto para prever a palavra seguinte. Consegue redigir, resumir, classificar e extrair texto em muitas línguas, mas não é uma base de dados de factos: sem se apoiar nas fontes da sua organização, pode produzir respostas fluentes que estão erradas.

Pesquisa pelo significado e não pelas palavras exatas. O texto é convertido em vetores numéricos (embeddings), e o sistema encontra as passagens cujos vetores estão próximos da pergunta. Na prática, costuma ser combinada com a pesquisa por palavras-chave, porque códigos, nomes e números de artigos precisam de correspondência exata.

Ler, classificar e extrair dados de documentos como formulários, faturas, certidões e cartas digitalizadas, combinando reconhecimento de texto, análise da estrutura da página e modelos de linguagem. Cada valor extraído tem um grau de confiança, e os valores abaixo do limiar seguem para revisão por uma pessoa.

Um conjunto de dados gerido como um produto: tem um responsável designado, um esquema documentado, medidas de qualidade publicadas, regras de acesso claras e tempos de atualização acordados, para que outras equipas o possam usar sem perguntar como foi construído.

Controlos à volta de um modelo de linguagem que mantêm a sua utilização dentro de limites acordados: verificações à entrada e à saída, restrições de temas, ocultação de dados pessoais, verificação de permissões antes de chamar uma ferramenta e passos de aprovação para ações com consequências.

Uma abordagem em que a interface de um sistema é desenhada e acordada primeiro, normalmente como especificação OpenAPI ou AsyncAPI, e implementada depois. Outros sistemas, parceiros e front-ends integram-se então através de APIs documentadas e com versões, em vez de acederem diretamente à base de dados.

Uma arquitetura em que os sistemas publicam eventos, factos como «requerimento recebido» ou «leitura do contador validada», num broker, e outros sistemas reagem a eles ao seu ritmo. Desacopla os sistemas, para que um possa mudar ou falhar sem parar os outros.

Serviços cloud em que a localização dos dados, a operação do serviço e a jurisdição que se lhe aplica ficam sob controlo europeu ou nacional. As definições variam: regimes nacionais como o SecNumCloud, em França, acrescentam requisitos explícitos de proteção contra a aplicação de leis de fora da UE.

A família de normas IEC (IEC 61970, IEC 61968 e IEC 62325) que descreve as redes elétricas, os ativos e a comunicação de mercado num único modelo de dados partilhado. Os operadores de rede usam-na para que os sistemas de planeamento, de operação e de mercado descrevam a rede da mesma forma.

Uma representação digital de um ativo, processo ou rede física que se mantém sincronizada com os dados do original. Serve para acompanhar o estado, testar alterações antes de as fazer e planear a manutenção. Um modelo 3D sem dados em tempo real não é um gémeo digital.

A norma aberta de dados para a modelação da informação da construção (BIM), publicada pela buildingSMART e como ISO 16739-1. A versão IFC 4.3 acrescenta a infraestrutura: ferrovia, estradas, portos, vias navegáveis e pontes, para que os dados dos ativos passem do projeto à construção e à exploração sem serem reescritos.

Um ambiente cloud preparado, com a estrutura de contas ou subscrições, a identidade, a rede, as políticas, os registos e a base de segurança definidos antes da chegada da primeira carga de trabalho. Torna mais rápido cada projeto seguinte e mantém os controlos coerentes.

Uma lista legível por máquina dos componentes e dependências de um software, normalmente no formato SPDX ou CycloneDX. Mostra rapidamente se uma vulnerabilidade acabada de publicar afeta a sua organização. O Regulamento de Ciber-Resiliência exige que os fabricantes a elaborem para os seus produtos.

Uma forma de substituir um sistema legado passo a passo. Coloca-se uma fachada à frente do sistema antigo, as funções passam uma a uma para novos serviços por trás dela, e o sistema antigo é desativado quando já nada passa por ele. Evita uma mudança única de alto risco.

Uma plataforma alojada na cloud para construir e operar integrações, com conectores prontos, mapeamento de dados, orquestração e monitorização num só lugar. O SAP Integration Suite e o MuleSoft são exemplos.

Um padrão de arquitetura na indústria em que um broker de eventos central guarda o estado atual da fábrica, organizado por local, área, linha e máquina. Os sistemas publicam nele e subscrevem-no, em vez de serem ligados uns aos outros um a um.

Um modelo de segurança em que nenhum utilizador, dispositivo ou serviço é considerado de confiança por causa da sua localização na rede. Cada pedido é autenticado, autorizado e avaliado com base na identidade, no estado do dispositivo e no contexto, e o acesso limita-se ao que a tarefa exige.

A Autoridade Nacional de Comunicações. Na lista da Comissão Europeia, surge como ponto de contacto único de Portugal para a fiscalização do Regulamento da IA, com a designação nacional ainda pendente (à data de novembro de 2026).

A Agência para a Reforma Tecnológica do Estado, I.P., reestruturada a partir da Agência para a Modernização Administrativa (AMA) em 2025. Lidera a transformação tecnológica do Estado, tem a seu cargo a Chave Móvel Digital e acompanha a acessibilidade dos sites públicos ao abrigo do Decreto-Lei n.º 83/2018.

A diretiva da UE que exige que certos produtos e serviços sejam acessíveis a pessoas com deficiência, incluindo o comércio eletrónico, os serviços bancários aos consumidores, os livros eletrónicos e os sites, aplicações e bilhetes eletrónicos dos serviços de transporte de passageiros. Aplica-se através de leis nacionais desde 28 de junho de 2025; em Portugal, através do Decreto-Lei n.º 82/2022.

Uma aplicação de carteira, prevista no Regulamento eIDAS revisto, em que as pessoas podem guardar os seus dados de identidade e atestados como diplomas ou cartas de condução, partilhar apenas o que um serviço precisa e assinar documentos. Cada Estado-Membro tem de disponibilizar pelo menos uma carteira, e muitos serviços públicos e privados vão ter de a aceitar.

A identidade digital nacional, a par do Cartão de Cidadão (Lei n.º 37/2014, desenvolvida pelo Decreto-Lei n.º 88/2021). Permite aceder a vários portais públicos e privados e assinar documentos digitais com o mesmo PIN; é gratuita e está a cargo da ARTE, I. P.

O código que regula a contratação pública em Portugal, aprovado pelo Decreto-Lei n.º 18/2008, na redação em vigor. É também no código que assenta o dever de faturação eletrónica nos contratos públicos.

O decreto-lei que estabelece as regras dos serviços públicos digitais: as entidades públicas usam a autenticação do Estado, incluindo a Chave Móvel Digital, salvo autorização em contrário.

O decreto-lei que transpõe o Ato Europeu da Acessibilidade, com os requisitos técnicos na Portaria n.º 220/2023. Aplica-se a produtos e serviços desde 28 de junho de 2025 (as obrigações relativas às comunicações de emergência para o 112 a partir de 28 de junho de 2027); o Instituto Nacional para a Reabilitação (INR, I.P.) acompanha a sua aplicação.

O decreto-lei sobre a acessibilidade dos sítios web e aplicações móveis dos organismos públicos, que transpõe a Diretiva (UE) 2016/2102. A declaração de acessibilidade fica numa página com endereço terminado em /acessibilidade; o acompanhamento cabe à ARTE, I. P. (antiga AMA).

A diretiva da UE sobre a resiliência física e organizacional das entidades críticas em onze setores, incluindo a energia, os transportes, a saúde, a água potável e as infraestruturas digitais. Os Estados-Membros identificam as suas entidades críticas até 17 de julho de 2026; essas entidades avaliam depois os riscos e adotam medidas de resiliência.

As diretrizes do W3C para conteúdos web acessíveis, organizadas em critérios de sucesso nos níveis A, AA e AAA. O nível AA é o objetivo habitual na contratação pública e na lei; a versão atual é a WCAG 2.2, e a norma europeia EN 301 549 baseia-se nestas diretrizes.

A Entidade de Serviços Partilhados da Administração Pública, I.P. Coordena a faturação eletrónica nos contratos públicos, emite os requisitos técnicos e funcionais e disponibiliza uma solução para receber e tratar as faturas das entidades públicas. Na lista da OpenPeppol, é a autoridade Peppol para Portugal.

O dever dos fornecedores de entidades públicas de emitir faturas eletrónicas na execução de contratos públicos (artigo 299.º-B do Código dos Contratos Públicos). Um PDF enviado por e-mail não é uma fatura eletrónica. As grandes empresas cumprem este dever desde 1 de janeiro de 2021; as PME, as microempresas e as entidades públicas cocontratantes a partir de 1 de janeiro de 2027. A eSPap define os requisitos técnicos; o formato é o CIUS-PT, conforme com a norma europeia EN 16931.

A série de normas internacionais para a segurança dos sistemas de automação e controlo industrial. Divide uma instalação em zonas ligadas por condutas, define níveis de segurança e atribui responsabilidades aos proprietários dos ativos, aos integradores de sistemas e aos fornecedores de produtos.

A norma internacional para sistemas de gestão da segurança da informação. Uma organização certificada tem um sistema auditado para identificar riscos de segurança, escolher controlos e melhorá-los ao longo do tempo. A FromNine tem certificação ISO/IEC 27001.

A diretiva da UE sobre a cibersegurança das entidades essenciais e importantes em setores como a energia, os transportes, a saúde, as infraestruturas digitais e a administração pública. Exige medidas de gestão de riscos, segurança da cadeia de abastecimento e notificação de incidentes: um alerta rápido no prazo de 24 horas e uma notificação no prazo de 72 horas. Aplica-se através de leis nacionais, que variam de país para país; em Portugal, através do Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025).

Uma rede internacional e um conjunto de especificações para trocar documentos comerciais estruturados, como faturas e encomendas, através de pontos de acesso certificados. Em Portugal, os fornecedores de entidades públicas têm de emitir faturas eletrónicas nos contratos públicos (as PME a partir de 1 de janeiro de 2027), e a eSPap é a autoridade Peppol para Portugal.

O portal onde são publicados os contratos públicos.

O regime português de cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que transpõe a Diretiva NIS2 e revoga a Lei n.º 46/2018 e o Decreto-Lei n.º 65/2021. Está em vigor desde 3 de abril de 2026; o Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança e o ponto de contacto único.

O regulamento da UE sobre inteligência artificial. Classifica os sistemas de IA por risco: algumas práticas são proibidas, os sistemas de risco elevado têm de cumprir requisitos de dados, documentação, supervisão humana e exatidão, e alguns sistemas têm deveres de transparência. As proibições aplicam-se desde 2 de fevereiro de 2025, os deveres de transparência a partir de 2 de agosto de 2026 e as obrigações de risco elevado do anexo III a partir de 2 de dezembro de 2027, nos termos da alteração de 2026.

O regulamento da UE que define requisitos de cibersegurança para produtos com elementos digitais, hardware e software, colocados no mercado da UE. Os fabricantes têm de gerir as vulnerabilidades durante o período de suporte e notificar as que são ativamente exploradas a partir de 11 de setembro de 2026; as principais obrigações aplicam-se a partir de 11 de dezembro de 2027.

O regulamento da UE sobre o acesso equitativo aos dados e a sua utilização, aplicável desde 12 de setembro de 2025. Dá aos utilizadores de produtos conectados acesso aos dados que esses produtos geram, facilita a mudança entre serviços de cloud e de tratamento de dados e limita cláusulas contratuais abusivas na partilha de dados.

O regulamento da UE sobre a interoperabilidade transfronteiriça dos serviços do setor público. As entidades públicas têm de avaliar o impacto na interoperabilidade dos serviços públicos digitais transeuropeus novos ou alterados, e podem partilhar e reutilizar soluções de interoperabilidade através de um portal comum.

O regulamento da UE sobre o tratamento de dados pessoais, aplicável desde 25 de maio de 2018. Estabelece princípios como a limitação das finalidades e a minimização dos dados, direitos para os titulares dos dados e deveres para os responsáveis pelo tratamento e os subcontratantes, incluindo avaliações de impacto para tratamentos de risco elevado. Em Portugal, a Lei n.º 58/2019 assegura a sua execução e a Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo.

O regulamento da UE sobre a resiliência operacional digital do setor financeiro, aplicável desde 17 de janeiro de 2025. Abrange a gestão do risco de TIC, a notificação de incidentes, os testes de resiliência e a gestão dos terceiros prestadores de serviços de TIC, incluindo requisitos contratuais e um registo de informações. Em Portugal, as autoridades competentes são o Banco de Portugal, a ASF e a CMVM, cada uma relativamente às entidades que supervisiona (Lei n.º 73/2025).

O sistema da UE, criado ao abrigo do regulamento relativo à plataforma digital única, através do qual as autoridades públicas trocam comprovativos oficiais além-fronteiras a pedido expresso de um cidadão ou de uma empresa, para que as pessoas não tenham de entregar documentos que a administração já tem. As suas obrigações aplicam-se desde 12 de dezembro de 2023.