O Regulamento da IA nas entidades públicas: o que preparar até dezembro de 2027

01Onde estamos no outono de 2026

O Regulamento da Inteligência Artificial (abre um site externo) (Regulamento da IA), Regulamento (UE) 2024/1689, entrou em vigor em 1 de agosto de 2024 e aplica-se por etapas. Em julho de 2026, a UE adotou o Omnibus Digital sobre a IA, o Regulamento (UE) 2026/1744 (abre um site externo), que adiou as regras de risco elevado e alterou várias outras disposições. Entrou em vigor em 27 de julho de 2026, poucos dias antes da data original das regras de risco elevado.

O resultado é um calendário em que algumas obrigações já se aplicam, outras chegam no fim deste ano e as mais pesadas para as entidades públicas que utilizam sistemas de IA chegam em dezembro de 2027.

O Omnibus reescreveu também o artigo 4.º sobre a literacia no domínio da IA. Os prestadores e os responsáveis pela implantação têm agora de tomar medidas para apoiar a literacia em IA do seu pessoal, em vez de assegurar um nível suficiente dessa literacia. O dever mantém-se; o que é preciso demonstrar mudou. Formação adequada a cada função, com registo, continua a ser a resposta sensata.

02Prestador ou responsável pela implantação?

A maioria das entidades públicas é responsável pela implantação: utiliza um sistema de IA sob a sua própria autoridade. Uma entidade é prestador quando desenvolve um sistema de IA, ou o manda desenvolver, e o coloca em serviço em seu próprio nome. Isso inclui sistemas construídos internamente ou por um contratante segundo as especificações da entidade.

Os papéis também podem mudar. Nos termos do artigo 25.º, um responsável pela implantação que modifique substancialmente um sistema de risco elevado, ou altere a sua finalidade prevista de modo que passe a ser de risco elevado, assume as obrigações de prestador. Escreva os papéis previstos no caderno de encargos e nos contratos, para que ninguém os descubra numa auditoria.

03Que casos de utilização são de risco elevado?

O anexo III enumera os domínios em que os sistemas de IA são considerados de risco elevado. Para as entidades públicas, os mais relevantes são:

• Acesso a serviços públicos essenciais e a prestações: avaliar a elegibilidade e conceder, reduzir, revogar ou recuperar prestações e serviços.
• Migração, asilo e controlo das fronteiras, aplicação da lei e administração da justiça.
• Educação e formação profissional: admissão, avaliação dos resultados da aprendizagem, vigilância durante as provas.
• Emprego: recrutamento, promoção, atribuição de tarefas e monitorização dos trabalhadores. As entidades públicas também são empregadoras.
• Infraestruturas críticas: componentes de segurança na gestão de infraestruturas digitais, do tráfego rodoviário e dos serviços de abastecimento.

Estar num domínio do anexo III não encerra a análise. Nos termos do artigo 6.º, n.º 3, um sistema nesse domínio não é de risco elevado quando não representa um risco significativo de danos, por exemplo porque executa uma tarefa processual restrita, melhora o resultado de uma atividade humana já concluída, deteta padrões sem substituir a avaliação humana ou executa uma tarefa preparatória. Um sistema que define perfis de pessoas é sempre de risco elevado. Se invocar esta exceção, documente o raciocínio.

Muitas ferramentas úteis não são de risco elevado: apoio à redação, pesquisa de conhecimento interno, tradução, resumos. As obrigações de transparência e o RGPD continuam a aplicar-se, mas o regime de risco elevado não. Numa câmara municipal, por exemplo, um assistente que ajuda os serviços a encontrar o regulamento municipal aplicável é muito diferente de um sistema que decide quem recebe um apoio social.

04O que têm de fazer os responsáveis pela implantação

A partir de 2 de dezembro de 2027, uma entidade pública que utilize um sistema de risco elevado do anexo III tem obrigações ao abrigo do artigo 26.º (abre um site externo). As principais:

• Utilizar o sistema de acordo com as instruções de utilização do prestador, com medidas técnicas e organizativas adequadas.
• Atribuir a supervisão humana a pessoas com a competência, a formação e a autoridade necessárias, e dar-lhes apoio.
• Garantir que os dados de entrada sob o seu controlo são pertinentes e suficientemente representativos tendo em vista a finalidade prevista.
• Acompanhar o funcionamento e informar sem demora injustificada o prestador e as autoridades sobre riscos e incidentes graves.
• Conservar os registos gerados automaticamente durante, pelo menos, seis meses, salvo disposição em contrário do direito da União ou nacional.
• Informar os representantes dos trabalhadores e os trabalhadores afetados antes de utilizar um sistema de risco elevado no local de trabalho.
• Enquanto autoridade pública, registar a utilização do sistema na base de dados da UE antes de o pôr em utilização (artigo 26.º, n.º 8, e artigo 49.º). Um sistema não registado não pode ser utilizado.
• Informar as pessoas quando um sistema de risco elevado é utilizado para tomar, ou ajudar a tomar, decisões que lhes digam respeito (artigo 26.º, n.º 11). As pessoas têm também direito a uma explicação das decisões individuais (artigo 86.º).

A avaliação de impacto sobre os direitos fundamentais

Nos termos do artigo 27.º (abre um site externo), os organismos de direito público e as entidades privadas que prestam serviços públicos fazem uma avaliação de impacto sobre os direitos fundamentais antes da primeira utilização da maioria dos sistemas do anexo III. Os sistemas para infraestruturas críticas estão excluídos. A avaliação descreve:

1. 01os processos em que o sistema será utilizado, de acordo com a sua finalidade prevista;
2. 02o período e a frequência de utilização;
3. 03as categorias de pessoas e grupos suscetíveis de serem afetados;
4. 04os riscos específicos de danos para essas pessoas;
5. 05a forma como a supervisão humana é aplicada;
6. 06o que acontece se os riscos se concretizarem, incluindo a governação interna e os mecanismos de reclamação.

Os resultados são comunicados à autoridade de fiscalização do mercado. A avaliação complementa, e pode aproveitar, uma avaliação de impacto sobre a proteção de dados nos termos do artigo 35.º do RGPD, pelo que convém fazer as duas em conjunto; em Portugal, a autoridade de controlo para a proteção de dados é a Comissão Nacional de Proteção de Dados (CNPD). O artigo 27.º, n.º 5, pede ao Serviço para a IA que disponibilize um modelo de questionário; confirme o seu estado antes de conceber um modelo próprio. Alguns países já têm métodos, como o Impact Assessment Mensenrechten en Algoritmes (IAMA) do governo neerlandês.

05Obrigações de transparência que já se aplicam

Desde 2 de agosto de 2026, aplica-se o artigo 50.º. Os prestadores têm de conceber os sistemas que interagem com pessoas de modo que estas sejam informadas de que estão a interagir com um sistema de IA, salvo se isso for óbvio, e têm de marcar o conteúdo sintético num formato legível por máquina. Os responsáveis pela implantação têm de divulgar os deepfakes e o texto gerado ou manipulado por IA publicado para informar o público sobre questões de interesse público, salvo se uma pessoa o tiver revisto e alguém detiver a responsabilidade editorial.

Numa entidade pública, o caso mais comum é um assistente de conversação num site ou num canal de atendimento, por exemplo no portal de uma câmara municipal. Diga claramente que se trata de um sistema de IA, explique em que pode e não pode ajudar e ofereça um caminho para falar com uma pessoa.

06Um plano de preparação para 2026 e 2027

1. 01Inventário, já. Liste todos os sistemas de IA em utilização ou em contratação, incluindo as funcionalidades de IA dentro de plataformas já licenciadas. Registe o responsável, a finalidade, o prestador, os dados utilizados e as pessoas afetadas.
2. 02Classificação, até ao início de 2027. Proibido, de risco elevado (com o raciocínio do artigo 6.º, n.º 3, documentado), apenas com obrigações de transparência ou de risco mínimo. Registe, para cada sistema, se a entidade é prestador ou responsável pela implantação.
3. 03Contratos, durante 2027. Peça aos prestadores as instruções de utilização, a documentação de conformidade e o acesso aos registos. Faça do apoio à avaliação de impacto e à notificação de incidentes uma cláusula contratual, também nos procedimentos de contratação ao abrigo do Código dos Contratos Públicos.
4. 04Supervisão. Designe as funções, dê-lhes formação, autoridade para contrariar o sistema e uma via de escalonamento. Conceba contra o excesso de confiança na automatização; o nosso artigo sobre onde os agentes de IA precisam de aprovação humana mostra como.
5. 05Registos e monitorização. Conserve os registos durante, pelo menos, seis meses, defina o que conta como incidente grave e quem o notifica.
6. 06Antes da primeira utilização. Faça a avaliação de impacto sobre os direitos fundamentais em conjunto com a avaliação de impacto sobre a proteção de dados, registe o sistema na base de dados da UE e informe os trabalhadores e as pessoas afetadas.
7. 07Literacia contínua. Formação por função para utilizadores, revisores e decisores, atualizada quando os sistemas mudam, com registo de quem foi formado.

07Sanções e fiscalização

Os Estados-Membros estabelecem as regras relativas às sanções. O artigo 99.º, n.º 8, permite a cada Estado-Membro decidir se, e em que medida, podem ser aplicadas coimas às autoridades e organismos públicos estabelecidos no seu território. Isso não é razão para esperar. As autoridades de fiscalização do mercado podem exigir medidas corretivas, e a legitimidade de uma decisão pública depende de poder ser explicada e contestada.

Em Portugal, a ANACOM integra a lista de entidades que supervisionam a proteção dos direitos fundamentais (abre um site externo) prevista no artigo 77.º. Na lista da Comissão Europeia (abre um site externo), a ANACOM surge como ponto de contacto único de Portugal para a fiscalização do Regulamento da IA, com a designação nacional ainda pendente (à data de novembro de 2026).

08O que acompanhar nos próximos meses

• As orientações da Comissão sobre a classificação dos sistemas de risco elevado (artigo 6.º, n.º 5) e as orientações já publicadas sobre práticas proibidas (abre um site externo).
• As normas harmonizadas para os requisitos de risco elevado, que os prestadores vão usar para demonstrar a conformidade.
• A designação nacional das autoridades de fiscalização do mercado em Portugal, ainda pendente à data de novembro de 2026, e as primeiras orientações da ANACOM e das restantes autoridades para as entidades públicas.
• O modelo do Serviço para a IA para a avaliação de impacto sobre os direitos fundamentais.

O AI Act Service Desk (abre um site externo) da Comissão Europeia mantém atualizados o calendário oficial e as explicações artigo a artigo. Guarde-o nos favoritos e indique a data em todas as notas internas que escrever sobre o Regulamento: é um texto que continua a mudar.