AI Act: o adiamento do alto risco não é um alívio

No calendário original do AI Act, o dia 2 de agosto de 2026 devia marcar a entrada em aplicação da maior parte das obrigações sobre sistemas de alto risco: gestão de riscos documentada, governação dos dados de treino, documentação técnica, controlo humano, registo na base de dados europeia. Com sanções que podiam chegar aos 15 milhões de euros ou 3% do volume de negócios mundial.

Depois, o pacote de simplificação Digital Omnibus passou do acordo político ao direito: o regulamento (UE) 2026/1744, publicado no Jornal Oficial a 24 de julho e em vigor desde 27 de julho de 2026, adia estas obrigações para 2 de dezembro de 2027 no caso dos sistemas do anexo III, e para agosto de 2028 no caso dos sistemas de alto risco integrados em produtos regulamentados.

A história regulatória recente já representou esta mesma cena. O RGPD deixou dois anos entre a adoção e a aplicação; parte das organizações usou esse prazo para construir o seu dispositivo, a outra parte viu-o passar. Em maio de 2018, as primeiras estavam prontas; as segundas improvisaram à pressa, e algumas ainda hoje improvisam.

Um adiamento regulatório nunca é tempo ganho: é tempo atribuído. A pergunta certa não é «para quando é o prazo?» mas sim «o que é preciso ter construído até lá?», porque o conteúdo das obrigações, esse, não muda: inventário dos sistemas, qualificação dos riscos, governação, documentação, provas.

O anexo III cobre usos que muitas organizações praticam sem sequer pensar nisso: triagem de candidaturas e decisões de RH, scoring de crédito, acesso à educação, biometria, gestão de infraestruturas críticas, serviços públicos essenciais. E as obrigações não recaem apenas sobre os fornecedores destes sistemas: os implementadores, ou seja, as organizações que os utilizam, têm as suas próprias obrigações, do controlo humano à supervisão do funcionamento.

Muitas empresas são, assim, implementadoras de sistemas de alto risco sem o saberem, através de uma ferramenta de RH ou de um módulo de scoring comprado pronto a usar. A primeira pergunta não é jurídica mas factual: que sistemas, comprados ou construídos, estão realmente a funcionar na nossa organização, e para que usos?

O debate sobre o adiamento não deve ofuscar o essencial: parte do regulamento já se aplica. As práticas proibidas, desde a notação social a certas identificações biométricas, estão proibidas desde fevereiro de 2025. As obrigações de transparência dos modelos de uso geral vigoram desde agosto de 2025. E a exigência de literacia em IA das equipas já se aplica a qualquer entidade empregadora que utilize estes sistemas. Quanto à transparência do artigo 50, aplicável a partir de 2 de agosto de 2026, a Comissão Europeia adotou a 20 de julho as suas orientações finais: sistemas conversacionais que se identificam logo na primeira interação, conteúdos gerados assinalados num formato legível por máquina, sem retroatividade para conteúdos anteriores.

Ou seja, o adiamento em discussão diz respeito apenas ao bloco do alto risco; a base, essa, está em vigor. Uma organização que espera «a clarificação do calendário» para começar a agir já está atrasada na parte estabilizada do texto.

A abordagem racional não muda, portanto, nem um dia: mapear os usos de IA, incluindo os que entram através de ferramentas do mercado; medir a maturidade da governação com base num referencial estruturado; e converter os desvios num plano de ação datado, alinhado com o calendário que vier a ser finalmente adotado. Quem mede hoje escolherá o seu próprio ritmo; quem espera pelo texto final sofrerá o ritmo alheio.

O nosso catálogo conta com 19 referenciais de dados e IA para apoiar esta trajetória, do quadro de governação às exigências regulamentares específicas. O calendário talvez ainda mude; a sua posição de partida, essa, pode ser conhecida já a partir de agora.