EU AI Act em agosto de 2026: o checklist mínimo para uma PME
A 2 de agosto as obrigações-núcleo entram em vigor. Este é o checklist prático para uma PME não ser apanhada de surpresa — sem consultoras a €500/hora.
A 2 de agosto de 2026 entram em vigor as obrigações-núcleo do EU AI Act. As multas vão até €35 milhões ou 7% da faturação global. Não, isto não é uma preocupação apenas de grandes empresas — a maioria das obrigações aplica-se a PMEs, ainda que o Digital Omnibus tenha prometido uma redução de 35% no encargo administrativo para este segmento.
Aqui vai o checklist que uso com clientes que ainda não começaram.
1. Inventariar todos os sistemas de IA em uso
Isto inclui ferramentas SaaS com IA (assistente de reuniões, chatbot no site, escrita assistida), agentes internos, e qualquer modelo próprio. Sem inventário, não há conformidade possível.
2. Classificar cada sistema por risco
Quatro categorias no EU AI Act:
- Risco inaceitável — proibido (ex.: manipulação subliminar, scoring social).
- Risco alto — obrigações substanciais (ex.: seleção de candidatos, decisões de crédito).
- Risco limitado — obrigações de transparência (chatbots, geração de conteúdo).
- Risco mínimo — sem obrigações específicas.
A maioria das ferramentas de PME cai em risco limitado. As de RH e de decisão financeira frequentemente caem em risco alto — nesses casos, prepare-se para trabalho sério.
3. Cumprir o Artigo 4: literacia em IA
Em vigor desde 2 de fevereiro de 2025, exige que todo o pessoal que usa IA tenha "literacia suficiente" para a usar de forma responsável. Na prática: formação documentada para toda a equipa. Não precisa de ser cara — precisa de existir e estar registada.
4. Transparência ao utilizador
Se o cliente está a interagir com IA, tem de saber. Um simples "Está a falar com um assistente automático — quer falar com uma pessoa?" resolve a maioria dos casos.
5. Documentação técnica e supervisão humana
Para sistemas de risco alto: documentação técnica completa, registo de atividade, supervisão humana efetiva, robustez e cibersegurança, e monitorização pós-mercado. Autonomia total sem humano no loop deixa de ser aceitável em muitos casos.
O que não precisa de fazer amanhã
- Contratar consultoras a €500/hora antes de ter o inventário.
- Descartar ferramentas úteis por medo de "não ser compliant" — a maior parte é de risco limitado.
- Reescrever tudo do zero. As obrigações da Annex III (sistemas autónomos de risco alto) foram adiadas para dezembro de 2027. Há espaço para trabalhar de forma ordenada.
O checklist real cabe numa folha. A resistência é o hábito, não o texto legal.