Pensado para prestar contas ao público.

Regras baseadas no risco para os sistemas de IA. A IA usada para decidir o acesso a serviços públicos essenciais e a prestações, a migração, o asilo e o controlo das fronteiras, a justiça e a aplicação da lei está classificada como de risco elevado.

As entidades públicas que implantam sistemas de risco elevado têm de realizar uma avaliação de impacto sobre os direitos fundamentais (artigo 27.º), atribuir a supervisão humana e conservar registos. Na redação alterada em 2026, estas obrigações aplicam-se a partir de 2 de dezembro de 2027. Na lista da Comissão Europeia, a ANACOM surge como ponto de contacto único de Portugal para a fiscalização do Regulamento da IA, com a designação nacional ainda pendente (à data de novembro de 2026).

As entidades da administração pública central estão abrangidas, e os Estados-Membros podem incluir as administrações regionais e locais. As obrigações cobrem a gestão do risco, a segurança da cadeia de abastecimento e a notificação de incidentes por fases, começando por um alerta rápido no prazo de 24 horas. Em Portugal, a NIS2 foi transposta pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025), em vigor desde 3 de abril de 2026; o Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional de cibersegurança.

Cada Estado-Membro tem de disponibilizar pelo menos uma Carteira Europeia de Identidade Digital até 24 de dezembro de 2026. Os serviços públicos que exigem identificação eletrónica têm de a aceitar, ao lado dos meios nacionais, que em Portugal são o Cartão de Cidadão e a Chave Móvel Digital.

Aplica-se desde 12 de julho de 2024. Desde 12 de janeiro de 2025, as entidades públicas têm de realizar uma avaliação de interoperabilidade antes de decidirem sobre serviços públicos digitais transeuropeus novos ou substancialmente alterados, e são incentivadas a partilhar e reutilizar soluções, incluindo de código aberto.

Desde 12 de dezembro de 2023, quem utiliza os principais procedimentos transfronteiriços pode pedir que os comprovativos sejam trocados diretamente entre autoridades através do sistema técnico do princípio «só uma vez», em vez de os carregar.

Os sítios web e as aplicações móveis do setor público têm de cumprir a norma harmonizada EN 301 549, que assenta nas WCAG, e publicar uma declaração de acessibilidade com um mecanismo de contacto. Em Portugal, aplica-se o Decreto-Lei n.º 83/2018: a declaração de acessibilidade fica numa página com endereço terminado em /acessibilidade, e o acompanhamento cabe à ARTE, I. P. (antiga AMA).

Aplica-se desde 28 de junho de 2025 a produtos e serviços essenciais, como os serviços bancários, o comércio eletrónico, os livros eletrónicos e os serviços de transporte. Em Portugal, foi transposto pelo Decreto-Lei n.º 82/2022. Aplica-se aos operadores económicos e não diretamente às entidades públicas, mas a contratação pública utiliza os seus requisitos de acessibilidade e os serviços prestados com parceiros privados podem estar abrangidos.

Aplica-se desde 12 de setembro de 2025. As entidades públicas podem pedir dados detidos por empresas em situações de necessidade excecional, e os serviços de tratamento de dados têm de permitir a mudança de prestador, com a eliminação progressiva dos encargos de mudança até janeiro de 2027.