Checklist de conformidade com o Regulamento de IA
Uma lista de verificação das obrigações do Regulamento (UE) 2024/1689 por função e classe de risco, com o artigo de cada ponto.
Esta lista de verificação abrange o Regulamento da IA (Regulamento (UE) 2024/1689). Diz respeito a fornecedores, responsáveis pela implantação, importadores, distribuidores, fabricantes e mandatários para o mercado da UE (artigo 2.º). Abrange também os resultados de IA utilizados na UE. As práticas proibidas estão proibidas desde 2 de fevereiro de 2025. As obrigações de transparência do artigo 50.º aplicam-se desde 2 de agosto de 2026. As obrigações de risco elevado aplicam-se a partir de 2 de dezembro de 2027 (anexo III) ou de 2 de agosto de 2028 (anexo I). Os artigos 2.º, n.º 2, e 111.º, n.º 2, fixam limites. As práticas proibidas implicam coimas até 35 milhões de EUR. Para uma empresa, o limite é 7 % do volume de negócios anual mundial, se for superior (artigo 99.º, n.º 3). Escolha abaixo o seu perfil.
Defina o seu perfil
opcionalSelecione o seu papel e tipo de sistema IA para filtrar a checklist de acordo com as obrigações que se aplicam a si.
Eu sou um(a)…
Classe de risco do meu sistema IA
Que obrigações se aplicam a partir de que data
Práticas proibidas
Aplicam-se as proibições do artigo 5.º e as disposições gerais (artigo 113.º, alínea a).
Modelos de IA de finalidade geral
O capítulo V (artigos 51.º a 56.º) aplica-se aos fornecedores de modelos de IA de finalidade geral. Aplicam-se também as sanções (capítulo XII), exceto o artigo 101.º (artigo 113.º, alínea b).
Obrigações de transparência
Aplicam-se o artigo 50.º e a data geral de aplicação do regulamento; a Comissão pode aplicar coimas aos fornecedores de modelos de IA de finalidade geral (artigo 101.º). Os fornecedores de sistemas generativos colocados no mercado antes têm de cumprir o artigo 50.º, n.º 2, até 2 de dezembro de 2026 (artigo 111.º, n.º 4).
Duas novas proibições
O artigo 5.º, n.º 1, alíneas ba) e bb), proíbe os sistemas de IA que geram imagens íntimas ou sexualmente explícitas de pessoas identificáveis sem o seu consentimento e material de abuso sexual de crianças. O artigo 5.º, n.os 1-A e 1-B, fixa as condições (artigo 113.º, alínea a, alterado).
Modelos de IA de finalidade geral existentes
Os fornecedores de modelos colocados no mercado antes de 2 de agosto de 2025 têm de ter tomado as medidas necessárias para cumprir até esta data (artigo 111.º, n.º 3).
Obrigações de risco elevado: sistemas do anexo III
O capítulo III, secções 1 a 3 (artigos 6.º a 27.º, exceto o artigo 6.º, n.º 5) aplica-se aos sistemas classificados nos termos do artigo 6.º, n.º 2, e do anexo III (artigo 113.º, alínea c). Os sistemas já colocados no mercado ou em serviço só são abrangidos após alterações significativas da conceção; em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111.º, n.º 2). Os componentes dos sistemas informáticos de grande escala do anexo X colocados no mercado antes de 2 de agosto de 2027 têm de cumprir até 31 de dezembro de 2030 (artigo 111.º, n.º 1).
Obrigações de risco elevado: sistemas do anexo I
Os mesmos artigos aplicam-se aos sistemas classificados nos termos do artigo 6.º, n.º 1, e do anexo I (artigo 113.º, alínea c). Para produtos abrangidos pela legislação do anexo I, secção B, só se aplicam o artigo 6.º, n.º 1, o artigo 60.º-A e os artigos 102.º a 112.º (artigo 2.º, n.º 2).
Passo 1 — Determine a sua função
As suas obrigações dependem da sua função nos termos do artigo 3.º. Uma organização pode ter várias funções.
O regulamento não se aplica a sistemas utilizados exclusivamente para fins militares, de defesa ou de segurança nacional (artigo 2.º, n.º 3), a sistemas desenvolvidos e colocados em serviço especificamente apenas para investigação e desenvolvimento científicos (artigo 2.º, n.º 6), à investigação, aos ensaios e ao desenvolvimento antes da colocação no mercado ou em serviço, embora os ensaios em condições reais estejam abrangidos (artigo 2.º, n.º 8), nem aos responsáveis pela implantação que sejam pessoas singulares com utilização puramente pessoal e não profissional (artigo 2.º, n.º 10). Os sistemas de IA de licença livre e de código aberto só são abrangidos se forem de risco elevado ou abrangidos pelo artigo 5.º ou 50.º (artigo 2.º, n.º 12).
Fornecedor
Art. 3(3)Desenvolve um sistema de IA ou um modelo de IA de finalidade geral, ou manda desenvolvê-lo, e coloca-o no mercado ou põe o sistema de IA em serviço sob o seu próprio nome ou marca, a título oneroso ou gratuito.
Sistemas de risco elevado: aplica-se o artigo 16.º
Responsável pela implantação
Art. 3(4)Utiliza um sistema de IA sob a sua autoridade, como pessoa singular ou coletiva, autoridade pública ou outro organismo. A utilização puramente pessoal e não profissional está excluída.
Sistemas de risco elevado: aplica-se o artigo 26.º; o artigo 50.º, n.os 3 e 4, abrange alguns sistemas
Fornecedor de um modelo de IA de finalidade geral
Art. 3(63)Coloca no mercado da UE um modelo com generalidade significativa, capaz de executar de forma competente uma vasta gama de tarefas distintas (artigo 3.º, ponto 63).
Aplicam-se os artigos 53.º e 54.º; o artigo 55.º acrescenta obrigações para os modelos com risco sistémico
Importador / Distribuidor
Art. 3(6)/(7)Um importador coloca no mercado da UE um sistema de IA que ostenta o nome ou a marca de uma pessoa estabelecida fora da UE. Um distribuidor disponibiliza um sistema no mercado da UE sem ser o seu fornecedor nem importador.
Sistemas de risco elevado: aplicam-se os artigos 23.º e 24.º
Passo 2 — Verifique as práticas proibidas (artigo 5.º)
As proibições aplicam-se desde 2 de fevereiro de 2025; as respetivas coimas podem ser aplicadas desde 2 de agosto de 2025: até 35 milhões de EUR ou, para uma empresa, 7 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99.º, n.º 3). Para as PME, o limite é o mais baixo dos dois montantes (artigo 99.º, n.º 6).
Verifique que nenhuma destas práticas faz parte de um sistema que coloca no mercado, põe em serviço ou utiliza. Vários pontos têm exceções ou condições, indicadas no próprio ponto. As alíneas ba) e bb) e os n.os 1-A e 1-B aplicam-se a partir de 2 de dezembro de 2026.
Passo 3 — Verifique se o seu sistema de IA é de risco elevado
Um sistema é de risco elevado em dois casos: insere-se numa área do anexo III (artigo 6.º, n.º 2) ou é um componente de segurança de um produto, ou ele próprio um produto, abrangido por um ato do anexo I, secção A, que exige avaliação da conformidade por terceiros (artigo 6.º, n.º 1). Os dispositivos médicos são um exemplo. Para os produtos abrangidos pela legislação do anexo I, secção B, como veículos a motor, aviação civil e máquinas, só se aplicam o artigo 6.º, n.º 1, o artigo 60.º-A e os artigos 102.º a 112.º (artigo 2.º, n.º 2).
Identificação biométrica à distância (não a mera verificação), categorização biométrica por atributos sensíveis, reconhecimento de emoções
Componentes de segurança em infraestruturas digitais críticas, trânsito rodoviário e fornecimento de água, gás, aquecimento ou eletricidade
Acesso e admissão, avaliação dos resultados de aprendizagem, avaliação do nível de ensino, deteção de comportamentos proibidos durante os testes
Recrutamento e seleção, decisões sobre condições de trabalho, promoção e cessação, atribuição de tarefas, acompanhamento e avaliação do desempenho
Elegibilidade para prestações públicas, pontuação de crédito (não a deteção de fraude), avaliação de risco e fixação de preços em seguros de vida e de saúde, chamadas de emergência e despacho
Risco de ser vítima de crimes, polígrafos, fiabilidade das provas, risco de infração ou reincidência, definição de perfis em investigações penais
Polígrafos, avaliação de riscos de pessoas que entram, análise de pedidos de asilo, visto e residência, deteção ou identificação de pessoas (exceto verificação de documentos de viagem)
Sistemas que ajudam as autoridades judiciárias a investigar e aplicar os factos e o direito e sistemas que influenciam o resultado de uma eleição ou referendo ou o comportamento de voto
Exceção à classificação de risco elevado (artigo 6.º, n.º 3)
Um sistema de uma área do anexo III não é de risco elevado se não representar um risco significativo para a saúde, a segurança ou os direitos fundamentais e cumprir uma de quatro condições: tarefa processual restrita, melhoria do resultado de uma atividade humana já concluída, deteção de padrões de decisão sem substituir a avaliação humana, ou tarefa preparatória. Um sistema que realiza definição de perfis de pessoas singulares é sempre de risco elevado. O fornecedor deve documentar a avaliação antes de colocar o sistema no mercado (artigo 6.º, n.º 4) e registá-lo (artigo 49.º, n.º 2).
Passo 4 — Requisitos e obrigações do fornecedor de sistemas de risco elevado (artigos 9.º a 17.º)
Aplica-se a partir de 2 de dezembro de 2027 (sistemas do anexo III) ou de 2 de agosto de 2028 (sistemas do anexo I). Coimas pelo incumprimento das obrigações do fornecedor: até 15 milhões de EUR ou, para uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado; para as PME, o limite é o montante mais baixo (artigo 99.º, n.os 4 e 6). Para alguns produtos do anexo I, atos delegados previstos até 2 de agosto de 2027 podem limitar partes destas obrigações (artigo 2.º, n.º 13).
Artigo 9 — Sistema de gestão de riscos
Um processo contínuo e iterativo ao longo de todo o ciclo de vida, com revisão periódica (artigo 9.º, n.º 2).
Artigo 10 — Governação e gestão de dados
Aplica-se aos conjuntos de dados de treino, validação e teste; nos sistemas sem treino de modelos, apenas aos de teste (artigo 10.º, n.º 6).
Artigo 11 — Documentação técnica (anexo IV)
Elaborada antes de o sistema ser colocado no mercado ou em serviço e mantida atualizada; conservada à disposição das autoridades durante 10 anos (artigo 18.º).
Artigo 12 — Manutenção de registos e registo de eventos
O sistema tem de permitir tecnicamente o registo automático de eventos durante a sua vida útil (artigo 12.º, n.º 1); os fornecedores conservam os registos sob o seu controlo durante um período adequado à finalidade prevista, de, pelo menos, seis meses (artigo 19.º, n.º 1).
Artigo 13 — Transparência e fornecimento de informações
Cada sistema de IA de risco elevado é acompanhado de instruções de utilização para os responsáveis pela implantação (artigo 13.º, n.º 2).
Artigo 14 — Supervisão humana
As pessoas singulares têm de poder supervisionar eficazmente o sistema durante a sua utilização. O regulamento não exige a aprovação humana de cada decisão; as medidas devem ser proporcionais aos riscos, à autonomia e ao contexto (artigo 14.º, n.º 3). As capacidades do artigo 14.º, n.º 4, aplicam-se conforme apropriado e proporcionado. A identificação biométrica à distância (anexo III, ponto 1, alínea a) exige verificação separada por duas pessoas, com exceções (artigo 14.º, n.º 5).
Artigo 15 — Exatidão, robustez e cibersegurança
Os sistemas de risco elevado têm de atingir um nível adequado de exatidão, robustez e cibersegurança e mantê-lo ao longo de todo o ciclo de vida (artigo 15.º, n.º 1).
Artigo 17 — Sistema de gestão da qualidade
O sistema de gestão da qualidade é documentado sob a forma de políticas, procedimentos e instruções e abrange, pelo menos, 13 aspetos (artigo 17.º, n.º 1). A sua aplicação é proporcional à dimensão do fornecedor (artigo 17.º, n.º 2).
Artigos 16.º, 20.º e 21.º — Outras obrigações do fornecedor
Passo 5 — Avaliação da conformidade e registo (artigos 43.º e 49.º)
Ambos são exigidos antes de o sistema ser colocado no mercado ou em serviço.
Artigo 43.º — Avaliação da conformidade
Artigo 49.º — Registo na base de dados da UE
Passo 6 — Obrigações do responsável pela implantação de sistemas de IA de risco elevado (artigos 26.º e 27.º)
Aplica-se aos responsáveis pela implantação de sistemas de IA de risco elevado: empresas, pessoas singulares, autoridades públicas e outros organismos que os utilizam sob a sua autoridade. Aplica-se a partir de 2 de dezembro de 2027 (sistemas do anexo III) ou de 2 de agosto de 2028 (sistemas do anexo I). Coimas pelo incumprimento do artigo 26.º: até 15 milhões de EUR ou, para uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado; para as PME, o limite é o montante mais baixo (artigo 99.º, n.os 4 e 6). O artigo 27.º não consta do artigo 99.º, n.º 4.
Passo 7 — Obrigações dos modelos de IA de finalidade geral (artigos 53.º a 55.º)
Aplica-se aos fornecedores de modelos de IA de finalidade geral. As obrigações aplicam-se desde 2 de agosto de 2025; para os modelos colocados no mercado antes dessa data, até 2 de agosto de 2027 (artigo 111.º, n.º 3). A Comissão pode aplicar coimas aos fornecedores a partir de 2 de agosto de 2026: até 3 % do volume de negócios anual mundial ou 15 milhões de EUR, consoante o que for mais elevado (artigo 101.º). Os modelos lançados sob licença livre e de código aberto que permita o acesso, a utilização, a modificação e a distribuição, com parâmetros, informações sobre a arquitetura e sobre a utilização publicamente disponíveis, estão isentos do artigo 53.º, n.º 1, alíneas a) e b), salvo se apresentarem risco sistémico (artigo 53.º, n.º 2).
Todos os fornecedores de modelos de IA de finalidade geral (artigos 53.º e 54.º)
Modelos com risco sistémico (artigos 51.º, 52.º e 55.º)
Um modelo é classificado como de risco sistémico se tiver capacidades de elevado impacto, avaliadas com ferramentas técnicas e indicadores de referência, ou se a Comissão assim decidir (artigo 51.º, n.º 1). Presumem-se capacidades de elevado impacto quando o treino utilizou mais de 1025 operações de vírgula flutuante (artigo 51.º, n.º 2). Os fornecedores notificam a Comissão sem demora e no prazo de duas semanas após o cumprimento da condição e podem apresentar argumentos de que o modelo não apresenta riscos sistémicos (artigo 52.º, n.os 1 e 2).
Passo 8 — Obrigações de transparência (artigo 50.º)
Aplica-se desde 2 de agosto de 2026 aos fornecedores e responsáveis pela implantação dos sistemas indicados abaixo, mesmo que sejam de risco elevado (artigo 50.º, n.º 6). Os fornecedores de sistemas generativos colocados no mercado antes dessa data têm de cumprir o artigo 50.º, n.º 2, até 2 de dezembro de 2026 (artigo 111.º, n.º 4). Os sistemas autorizados por lei para detetar, prevenir, investigar ou reprimir infrações penais estão isentos de várias obrigações, conforme indicado. Coimas: até 15 milhões de EUR ou, para uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99.º, n.º 4).
Fornecedores (artigo 50.º, n.os 1 e 2)
Responsáveis pela implantação (artigo 50.º, n.os 3 e 4)
Passo 9 — Monitorização pós-comercialização e comunicação de incidentes graves (artigos 72.º e 73.º)
Os fornecedores comunicam um incidente grave imediatamente após estabelecerem um nexo de causalidade entre o sistema e o incidente, ou a sua probabilidade razoável, e, em todo o caso, o mais tardar 15 dias após o fornecedor ou o responsável pela implantação tomar conhecimento; em 2 dias em caso de infração generalizada ou perturbação de infraestruturas críticas e em 10 dias após um óbito (artigo 73.º, n.os 2 a 4).
Passo 10 — Obrigações do mandatário para sistemas de risco elevado (artigo 22.º)
Os fornecedores estabelecidos em países terceiros nomeiam, por mandato escrito, um mandatário na União antes de disponibilizarem um sistema de risco elevado no mercado da União (artigo 22.º, n.º 1). O mandato abrange estas tarefas (artigo 22.º, n.º 3).
Passo 11 — Obrigações de importadores e distribuidores de sistemas de risco elevado (artigos 23.º e 24.º)
Os importadores verificam o sistema antes de o colocarem no mercado; os distribuidores, antes de o disponibilizarem no mercado.
Importadores (artigo 23.º)
Distribuidores (artigo 24.º)
Passo 12 — Literacia em matéria de IA para fornecedores e responsáveis pela implantação (artigo 4.º)
Aplica-se a todos os fornecedores e responsáveis pela implantação de sistemas de IA, seja qual for a classe de risco, desde 2 de fevereiro de 2025. O regulamento não exige um nível específico de literacia em matéria de IA a nenhuma pessoa (artigo 4.º, n.º 1).
Coimas: três níveis no artigo 99.º e um para os modelos de IA de finalidade geral no artigo 101.º
| Categoria de infração | Coima máxima (o montante mais elevado) |
|---|---|
| Práticas proibidas (artigo 5.º) | Até 35 milhões de EUR ou, para uma empresa, 7 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99.º, n.º 3) |
| Obrigações dos fornecedores (artigo 16.º), mandatários (22.º), importadores (23.º), distribuidores (24.º), fornecedores e operadores nos termos do artigo 25.º, n.os 2 e 4, responsáveis pela implantação (26.º), organismos notificados e obrigações de transparência (50.º) | Até 15 milhões de EUR ou, para uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99.º, n.º 4) |
| Prestação de informações incorretas, incompletas ou enganosas a organismos notificados ou autoridades nacionais em resposta a um pedido (artigo 99.º, n.º 5) | Até 7,5 milhões de EUR ou, para uma empresa, 1 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99.º, n.º 5) |
| Fornecedores de modelos de IA de finalidade geral, sancionados pela Comissão (artigo 101.º) | Até 15 milhões de EUR ou 3 % do volume de negócios anual total mundial, consoante o que for mais elevado (artigo 101.º) |
Para as PME, incluindo as empresas em fase de arranque, cada coima do artigo 99.º é limitada ao mais baixo dos dois montantes (artigo 99.º, n.º 6); para as pequenas empresas de média capitalização o mesmo vale para as coimas do artigo 99.º, n.os 4 e 5 (artigo 99.º, n.º 6-A). Os Estados-Membros fixam as regras sobre sanções e as autoridades que as aplicam (artigo 99.º, n.º 1); o Serviço para a IA pode sancionar infrações da sua competência (artigo 75.º-C).
Imprimir ou guardar como PDF
Use a caixa de diálogo de impressão do seu browser para guardar a lista completa como PDF.
Tip: choose "Save as PDF" as the destination in the print dialog.
Guias para os passos acima
O guia do engenheiro sobre o Regulamento de IA da UE
Guias sobre os artigos, prazos, coimas e setores, agrupados por tema.
Classificação de risco da IA nos termos do Regulamento da IA
Árvore de decisão, áreas do anexo III, produtos do anexo I e as regras do artigo 6.º sobre quando um sistema é de risco elevado.
Requisitos de trilha de auditoria do Regulamento de IA
O que os artigos 12.º e 19.º exigem para os registos: o que registar e durante quanto tempo conservar.
Conformidade com o Regulamento de IA da UE para programadores
Como verificar os requisitos do Regulamento da IA num pipeline CI/CD, manter as políticas como código e documentar o trabalho de conformidade.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.