Custo de falhar um prazo do regulamento de IA
Que datas do regulamento de IA já passaram, quais ainda estão por vir e quanto custa falhar uma obrigação: coimas, medidas corretivas e um plano de exemplo de 12 semanas.
Aplicam-se duas novas proibições do artigo 5.º.
Em 22 de outubro de 2026, já passaram as datas de aplicação do regulamento de IA até 2 de agosto de 2026. O Regulamento (UE) 2026/1744 adiou as regras de risco elevado: 2 de dezembro de 2027 (anexo III), 2 de agosto de 2028 (anexo I).
O incumprimento de uma obrigação enumerada de fornecedor, de responsável pela implantação ou de transparência leva a coimas. Chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o montante mais elevado (artigo 99.º, n.º 4). Uma prática proibida custa até 35 milhões de EUR ou 7 % (artigo 99.º, n.º 3). Próximo passo: liste os seus sistemas de IA e anote a data de cada um.
Que datas já passaram e quais ainda estão por vir
2 de fevereiro de 2025 · já se aplica
Aplicam-se as proibições e a literacia no domínio da IA
Aplicam-se os capítulos I e II. Contêm as proibições do artigo 5.º, exceto as alíneas b-A) e b-B) e os n.os 1-A e 1-B do artigo 5.º, e a obrigação do artigo 4.º de os fornecedores e os responsáveis pela implantação apoiarem a literacia no domínio da IA (competências e compreensão) do seu pessoal (artigo 113.º, alínea a)).
2 de agosto de 2025 · já se aplica
Aplicam-se as regras sobre modelos GPAI, a governação e as sanções
Aplicam-se as regras para os fornecedores de modelos GPAI (capítulo V, artigos 51.º a 56.º), os organismos notificados, a governação (capítulo VII), as sanções (capítulo XII, exceto o artigo 101.º) e o artigo 78.º sobre confidencialidade (artigo 113.º, alínea b)).
2 de agosto de 2026 · já se aplica
Obrigações de transparência e data geral de aplicação
Todas as disposições sem outra data aplicam-se a partir deste dia (artigo 113.º). Incluem as obrigações de transparência do artigo 50.º: informar as pessoas de que interagem com um sistema de IA, marcar o conteúdo sintético e divulgar as falsificações profundas. A Comissão pode aplicar coimas aos fornecedores de GPAI nos termos do artigo 101.º a partir deste dia. Os artigos 102.º a 110.º, que alteram outros atos da União, aplicam-se mais cedo, desde 27 de julho de 2026 (artigo 113.º, alínea d)).
2 de dezembro de 2026 · ainda por vir
Duas novas proibições e o prazo de marcação para os sistemas mais antigos
Aplicam-se as duas novas proibições do artigo 5.º, alíneas b-A) e b-B), juntamente com os n.os 1-A e 1-B do artigo 5.º (artigo 113.º, alínea a)). Os fornecedores de sistemas de IA que geram conteúdo sintético de áudio, imagem, vídeo ou texto e que foram colocados no mercado antes de 2 de agosto de 2026 têm de tomar até esta data as medidas necessárias para cumprir a obrigação de marcação legível por máquina do artigo 50.º, n.º 2 (artigo 111.º, n.º 4).
2 de agosto de 2027 · ainda por vir
Os modelos GPAI mais antigos têm de cumprir as regras
Os fornecedores de modelos GPAI colocados no mercado antes de 2 de agosto de 2025 têm de tomar até esta data as medidas necessárias para cumprir o regulamento (artigo 111.º, n.º 3). Os Estados-Membros devem também ter operacional pelo menos um ambiente de teste regulamentar de IA (artigo 57.º, n.º 1).
2 de dezembro de 2027 · ainda por vir
As regras de risco elevado aplicam-se aos sistemas do anexo III
Os artigos 6.º a 27.º (capítulo III, secções 1 a 3, exceto o artigo 6.º, n.º 5) aplicam-se aos sistemas de IA de risco elevado nos termos do artigo 6.º, n.º 2, e do anexo III (artigo 113.º, alínea c), subalínea i)). Estabelecem os requisitos dos sistemas de risco elevado (artigos 8.º a 15.º) e as obrigações dos fornecedores, dos responsáveis pela implantação e de outras partes (artigos 16.º a 27.º).
2 de agosto de 2028 · ainda por vir
As regras de risco elevado aplicam-se aos produtos do anexo I
Os mesmos artigos aplicam-se aos sistemas de IA de risco elevado nos termos do artigo 6.º, n.º 1, porque são produtos abrangidos pelos atos do anexo I, ou componentes de segurança desses produtos (artigo 113.º, alínea c), subalínea ii)). Para os produtos do anexo I, secção B, aplicam-se apenas o artigo 6.º, n.º 1, o artigo 60.º-A e os artigos 102.º a 112.º, e os artigos 57.º a 59.º apenas na medida em que os requisitos de risco elevado tenham sido integrados nessa legislação (artigo 2.º, n.º 2). Para os produtos do anexo I, secção A, alguns requisitos podem ser limitados quando essa legislação ofereça uma proteção equivalente ou superior (artigo 2.º, n.º 13).
2 de agosto de 2030 · ainda por vir
Sistemas de risco elevado para autoridades públicas: medidas necessárias para cumprir
Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar até esta data as medidas necessárias para cumprir. A regra consta do número sobre os sistemas colocados no mercado ou em serviço antes das datas de risco elevado acima indicadas (artigo 111.º, n.º 2).
31 de dezembro de 2030 · ainda por vir
Os sistemas informáticos de grande escala da UE têm de cumprir as regras
Os sistemas de IA que são componentes dos sistemas informáticos de grande escala enumerados no anexo X, colocados no mercado ou colocados em serviço antes de 2 de agosto de 2027, têm de cumprir o regulamento até esta data (artigo 111.º, n.º 1).
O Regulamento (UE) 2026/1744 alterou várias datas
O artigo 113.º original aplicava as regras de risco elevado a partir de 2 de agosto de 2026 (sistemas do anexo III) e de 2 de agosto de 2027 (produtos do anexo I). O Regulamento (UE) 2026/1744 adiou-as para 2 de dezembro de 2027 e 2 de agosto de 2028 (artigo 113.º, alínea c)). Adiou também de 2 de agosto de 2026 para 2 de agosto de 2027 o prazo dos ambientes de teste regulamentares nacionais de IA do artigo 57.º, n.º 1, e aditou o prazo de marcação do artigo 111.º, n.º 4. As datas são fixadas por lei. O artigo 111.º prevê regras transitórias para alguns sistemas e modelos GPAI já no mercado, e o artigo 46.º permite que uma autoridade de fiscalização do mercado autorize determinados sistemas de risco elevado por razões excecionais.
Falhar uma obrigação custa uma coima e pode forçar a retirada do sistema
Até 35 milhões de EUR ou 7 % do volume de negócios anual mundial, consoante o montante mais elevado
Para as práticas proibidas do artigo 5.º (artigo 99.º, n.º 3).
Até 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o montante mais elevado
Pelo incumprimento das obrigações dos fornecedores (artigo 16.º), dos mandatários (artigo 22.º), dos importadores (artigo 23.º), dos distribuidores (artigo 24.º), dos fornecedores e operadores nos termos do artigo 25.º, n.os 2 e 4, e dos responsáveis pela implantação (artigo 26.º). Também pelo incumprimento das obrigações de transparência do artigo 50.º e dos requisitos dos organismos notificados nos termos dos artigos 31.º, 33.º, n.os 1, 3 e 4, e 34.º (artigo 99.º, n.º 4). A Comissão pode aplicar coimas aos fornecedores de modelos GPAI até ao mesmo nível (artigo 101.º).
Até 7,5 milhões de EUR ou 1 % do volume de negócios anual mundial, consoante o montante mais elevado
Por fornecer informações incorretas, incompletas ou enganosas a organismos notificados ou a autoridades nacionais em resposta a um pedido (artigo 99.º, n.º 5).
Até ao mais baixo dos dois montantes
Para as PME, incluindo as empresas em fase de arranque, cada coima é, no máximo, a mais baixa entre a percentagem e o montante (artigo 99.º, n.º 6). As pequenas empresas de média capitalização (empresas que deixaram de se enquadrar na definição de PME) têm a mesma regra para os dois níveis inferiores (artigo 99.º, n.º 6-A).
Medidas corretivas, retirada ou recolha
Quando uma autoridade de fiscalização do mercado verifica que um sistema de IA que apresenta um risco não cumpre as regras, exige ao operador que tome medidas corretivas, retire o sistema ou o recolha. A autoridade fixa o prazo, que nunca é superior a 15 dias úteis nem ao prazo da legislação setorial aplicável, consoante o que for mais curto. Se o operador não agir, a autoridade pode proibir ou restringir o sistema no seu mercado nacional (artigo 79.º, n.os 2 e 5).
Um plano de exemplo de 12 semanas para um fornecedor de risco elevado
Este plano é um exemplo, não um requisito legal: o regulamento fixa datas, não durações. Planeie-o para terminar antes de 2 de dezembro de 2027 (anexo III) ou de 2 de agosto de 2028 (anexo I).
Avaliar
- Listar cada sistema de IA e a sua finalidade prevista
- Verificar cada sistema face às proibições do artigo 5.º
- Classificar cada sistema: anexo III, anexo I ou nenhum dos dois (artigo 6.º)
- Comparar a prática atual com as obrigações dos artigos 9.º a 17.º
Documentar
- Redigir a documentação técnica (artigo 11.º, anexo IV)
- Criar o sistema de gestão de riscos (artigo 9.º)
- Documentar a governação dos dados (artigo 10.º)
- Redigir as instruções de utilização e a informação de transparência (artigo 13.º)
- Preparar uma avaliação do impacto sobre os direitos fundamentais se o artigo 27.º o abranger como responsável pela implantação
Testar e rever
- Testar a supervisão humana (artigo 14.º) e o registo automático de eventos (artigo 12.º)
- Testar a exatidão, a solidez e a cibersegurança (artigo 15.º)
- Rever a documentação antes da avaliação da conformidade (artigo 43.º)
- Registar o sistema na base de dados da UE onde o artigo 49.º o exija
Perguntas frequentes
O que acontece em cada prazo do regulamento de IA?
As próximas datas são 2 de dezembro de 2026, 2 de agosto de 2027, 2 de dezembro de 2027, 2 de agosto de 2028, 2 de agosto de 2030 e 31 de dezembro de 2030. Em 2 de dezembro de 2026, aplicam-se as duas novas proibições do artigo 5.º e os sistemas de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 têm de tomar as medidas necessárias para cumprir o artigo 50.º, n.º 2 (artigo 111.º, n.º 4). Em 2 de dezembro de 2027, aplicam-se os artigos 6.º a 27.º aos sistemas de IA de risco elevado do anexo III e, em 2 de agosto de 2028, aos produtos do anexo I. As duas últimas datas são a do artigo 111.º, n.º 2, para os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas, e a do artigo 111.º, n.º 1, para os sistemas informáticos do anexo X. Qualquer incumprimento de uma obrigação aplicável pode levar a coimas nos termos do artigo 99.º.
Posso obter uma prorrogação?
Não existe uma prorrogação geral. As datas são fixadas por lei e o Regulamento (UE) 2026/1744 já adiou as datas de risco elevado de 2 de agosto de 2026 (anexo III) e de 2 de agosto de 2027 (anexo I) para 2 de dezembro de 2027 e 2 de agosto de 2028. O artigo 111.º prevê regras transitórias: os modelos GPAI colocados no mercado antes de 2 de agosto de 2025 têm até 2 de agosto de 2027 (n.º 3); os sistemas de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para o artigo 50.º, n.º 2 (n.º 4); em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (n.º 2); os componentes dos sistemas informáticos do anexo X, até 31 de dezembro de 2030 (n.º 1). Além disso, uma autoridade de fiscalização do mercado pode autorizar, por um período limitado, determinados sistemas de risco elevado por razões excecionais (artigo 46.º).
Existe um período de tolerância?
O regulamento não prevê um período de tolerância geral. Em vez disso, o artigo 111.º prevê regras transitórias específicas. O mais próximo é o artigo 111.º, n.º 2: os sistemas de risco elevado colocados no mercado ou em serviço antes das datas de risco elevado só ficam abrangidos se a sua conceção sofrer alterações significativas. Os sistemas de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para o artigo 50.º, n.º 2 (artigo 111.º, n.º 4). As proibições do artigo 5.º aplicam-se, em todo o caso, a todos os sistemas.
O que devem fazer os fornecedores e os responsáveis pela implantação antes das datas de risco elevado?
Os fornecedores de sistemas de IA de risco elevado têm de cumprir os requisitos dos artigos 9.º a 15.º e as obrigações dos fornecedores dos artigos 16.º e 17.º. Abrangem a gestão de riscos (artigo 9.º), a governação dos dados (artigo 10.º), a documentação técnica (artigo 11.º), o registo de eventos (artigo 12.º), a transparência (artigo 13.º), a supervisão humana (artigo 14.º), a exatidão, a solidez e a cibersegurança (artigo 15.º) e um sistema de gestão da qualidade (artigo 17.º). Os responsáveis pela implantação têm de seguir as instruções de utilização, atribuir a supervisão humana a pessoas e conservar os registos (artigo 26.º).
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.