Regulamento de IA: cronograma de prazos de 2024 a 2030
Cada data de aplicação do regulamento de IA de 2024 a 2030, com o artigo correspondente, os afetados e os níveis de coima.
O regulamento de IA aplica-se por fases aos fornecedores (no regulamento: prestadores) e aos responsáveis pela implantação de sistemas de IA na UE. Oito proibições aplicam-se desde 2 de fevereiro de 2025, mais duas desde 2 de dezembro de 2026.
As obrigações de transparência aplicam-se desde 2 de agosto de 2026. As regras de risco elevado, desde 2 de dezembro de 2027 (anexo III) e desde 2 de agosto de 2028 (anexo I). Os sistemas de risco elevado já no mercado ou em serviço só ficam abrangidos após alterações significativas da conceção (artigo 111.º, n.º 2). O incumprimento das obrigações enumeradas no artigo 99.º, n.º 4 leva a coimas. Chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o montante mais elevado. Próximo passo: encontre abaixo a data do seu sistema.
Cada data ativa uma parte diferente do regulamento
1 de agosto de 2024
O regulamento entra em vigor
O regulamento entrou em vigor no vigésimo dia seguinte ao da sua publicação no Jornal Oficial (artigo 113.º). As suas obrigações aplicam-se a partir das datas posteriores abaixo.
2 de fevereiro de 2025
Aplicam-se as proibições e a literacia no domínio da IA
Aplicam-se os capítulos I e II. Contêm as proibições do artigo 5.º, exceto as alíneas b-A) e b-B) e os n.os 1-A e 1-B do artigo 5.º, e a obrigação do artigo 4.º de os fornecedores e os responsáveis pela implantação apoiarem a literacia no domínio da IA (competências e compreensão) do seu pessoal (artigo 113.º, alínea a)).
2 de agosto de 2025
Aplicam-se as regras sobre modelos GPAI, a governação e as sanções
Aplicam-se as regras para os fornecedores de modelos GPAI (capítulo V, artigos 51.º a 56.º), os organismos notificados, a governação (capítulo VII), as sanções (capítulo XII, exceto o artigo 101.º) e o artigo 78.º sobre confidencialidade (artigo 113.º, alínea b)).
2 de agosto de 2026
Obrigações de transparência e data geral de aplicação
Todas as disposições sem outra data aplicam-se a partir deste dia (artigo 113.º). Incluem as obrigações de transparência do artigo 50.º: informar as pessoas de que interagem com um sistema de IA, marcar o conteúdo sintético e divulgar as falsificações profundas. A Comissão pode aplicar coimas aos fornecedores de GPAI nos termos do artigo 101.º a partir deste dia. Os artigos 102.º a 110.º, que alteram outros atos da União, aplicam-se mais cedo, desde 27 de julho de 2026 (artigo 113.º, alínea d)).
2 de dezembro de 2026
Duas novas proibições e o prazo de marcação para os sistemas mais antigos
Aplicam-se as duas novas proibições do artigo 5.º, alíneas b-A) e b-B), juntamente com os n.os 1-A e 1-B do artigo 5.º (artigo 113.º, alínea a)). Os fornecedores de sistemas de IA que geram conteúdo sintético de áudio, imagem, vídeo ou texto e que foram colocados no mercado antes de 2 de agosto de 2026 têm de tomar até esta data as medidas necessárias para cumprir a obrigação de marcação legível por máquina do artigo 50.º, n.º 2 (artigo 111.º, n.º 4).
2 de agosto de 2027
Os modelos GPAI mais antigos têm de cumprir as regras
Os fornecedores de modelos GPAI colocados no mercado antes de 2 de agosto de 2025 têm de tomar até esta data as medidas necessárias para cumprir o regulamento (artigo 111.º, n.º 3). Os Estados-Membros devem também ter operacional pelo menos um ambiente de teste regulamentar de IA (artigo 57.º, n.º 1).
2 de dezembro de 2027
As regras de risco elevado aplicam-se aos sistemas do anexo III
Os artigos 6.º a 27.º (capítulo III, secções 1 a 3, exceto o artigo 6.º, n.º 5) aplicam-se aos sistemas de IA de risco elevado nos termos do artigo 6.º, n.º 2, e do anexo III (artigo 113.º, alínea c), subalínea i)). Estabelecem os requisitos dos sistemas de risco elevado (artigos 8.º a 15.º) e as obrigações dos fornecedores, dos responsáveis pela implantação e de outras partes (artigos 16.º a 27.º).
2 de agosto de 2028
As regras de risco elevado aplicam-se aos produtos do anexo I
Os mesmos artigos aplicam-se aos sistemas de IA de risco elevado nos termos do artigo 6.º, n.º 1, porque são produtos abrangidos pelos atos do anexo I, ou componentes de segurança desses produtos (artigo 113.º, alínea c), subalínea ii)). Para os produtos do anexo I, secção B, aplicam-se apenas o artigo 6.º, n.º 1, o artigo 60.º-A e os artigos 102.º a 112.º, e os artigos 57.º a 59.º apenas na medida em que os requisitos de risco elevado tenham sido integrados nessa legislação (artigo 2.º, n.º 2). Para os produtos do anexo I, secção A, alguns requisitos podem ser limitados quando essa legislação ofereça uma proteção equivalente ou superior (artigo 2.º, n.º 13).
2 de agosto de 2030
Sistemas de risco elevado para autoridades públicas: medidas necessárias para cumprir
Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar até esta data as medidas necessárias para cumprir. A regra consta do número sobre os sistemas colocados no mercado ou em serviço antes das datas de risco elevado acima indicadas (artigo 111.º, n.º 2).
31 de dezembro de 2030
Os sistemas informáticos de grande escala da UE têm de cumprir as regras
Os sistemas de IA que são componentes dos sistemas informáticos de grande escala enumerados no anexo X, colocados no mercado ou colocados em serviço antes de 2 de agosto de 2027, têm de cumprir o regulamento até esta data (artigo 111.º, n.º 1).
Fornecedores, responsáveis pela implantação, importadores, distribuidores e fornecedores de modelos têm obrigações distintas
Fornecedores
Os fornecedores desenvolvem um sistema de IA, ou mandam desenvolvê-lo, e colocam-no no mercado ou em serviço sob o seu próprio nome (artigo 3.º, ponto 3)). Nos sistemas de risco elevado, assumem as obrigações principais: gestão de riscos, documentação técnica, avaliação da conformidade e acompanhamento pós-comercialização (artigos 9.º a 17.º, 43.º e 72.º).
Responsáveis pela implantação
Os responsáveis pela implantação utilizam um sistema de IA sob a sua autoridade, exceto no âmbito de uma atividade pessoal de caráter não profissional (artigo 3.º, ponto 4)). Nos sistemas de risco elevado, têm de seguir as instruções de utilização, atribuir a supervisão humana a pessoas, monitorizar o funcionamento e conservar os registos sob o seu controlo durante um período adequado à finalidade, no mínimo seis meses, salvo disposição em contrário do direito da União ou nacional. Os empregadores têm de informar os representantes dos trabalhadores e os trabalhadores afetados antes de utilizarem um sistema no local de trabalho (artigo 26.º). Os organismos públicos e alguns outros responsáveis pela implantação têm ainda de avaliar previamente o impacto sobre os direitos fundamentais (artigo 27.º).
Importadores e distribuidores
Os importadores colocam no mercado da UE um sistema de IA que ostenta o nome ou a marca de uma pessoa estabelecida num país terceiro. Os distribuidores disponibilizam um sistema mais adiante na cadeia de abastecimento (artigo 3.º, pontos 6) e 7)). Antes de o fazerem com um sistema de IA de risco elevado, ambos verificam a marcação CE, a declaração UE de conformidade e as instruções de utilização. Os importadores verificam ainda a avaliação da conformidade e a documentação técnica (artigos 23.º e 24.º).
Fornecedores de modelos GPAI
Os fornecedores de modelos GPAI têm de documentar o modelo, informar os fornecedores a jusante, publicar um resumo dos dados de treino e manter uma política de direitos de autor (artigo 53.º). Os modelos com risco sistémico têm obrigações adicionais (artigo 55.º).
As coimas têm três níveis, com um limite mais baixo para as PME
Até 35 milhões de EUR ou 7 % do volume de negócios anual mundial, consoante o montante mais elevado
Para as práticas proibidas do artigo 5.º (artigo 99.º, n.º 3).
Até 15 milhões de EUR ou 3 % do volume de negócios anual mundial, consoante o montante mais elevado
Pelo incumprimento das obrigações dos fornecedores (artigo 16.º), dos mandatários (artigo 22.º), dos importadores (artigo 23.º), dos distribuidores (artigo 24.º), dos fornecedores e operadores nos termos do artigo 25.º, n.os 2 e 4, e dos responsáveis pela implantação (artigo 26.º). Também pelo incumprimento das obrigações de transparência do artigo 50.º e dos requisitos dos organismos notificados nos termos dos artigos 31.º, 33.º, n.os 1, 3 e 4, e 34.º (artigo 99.º, n.º 4). A Comissão pode aplicar coimas aos fornecedores de modelos GPAI até ao mesmo nível (artigo 101.º).
Até 7,5 milhões de EUR ou 1 % do volume de negócios anual mundial, consoante o montante mais elevado
Por fornecer informações incorretas, incompletas ou enganosas a organismos notificados ou a autoridades nacionais em resposta a um pedido (artigo 99.º, n.º 5).
Até ao mais baixo dos dois montantes
Para as PME, incluindo as empresas em fase de arranque, cada coima é, no máximo, a mais baixa entre a percentagem e o montante (artigo 99.º, n.º 6). As pequenas empresas de média capitalização (empresas que deixaram de se enquadrar na definição de PME) têm a mesma regra para os dois níveis inferiores (artigo 99.º, n.º 6-A).
Perguntas frequentes
O regulamento de IA aplica-se às empresas fora da UE?
Sim. O artigo 2.º, n.º 1, abrange os fornecedores que colocam no mercado da UE sistemas de IA ou modelos de IA de finalidade geral, onde quer que estejam estabelecidos (alínea a)), e os fornecedores e responsáveis pela implantação de um país terceiro quando o resultado do sistema é utilizado na UE (alínea c)). Abrange também os importadores, os distribuidores, os fabricantes de produtos e os mandatários (alíneas d) a f)). O artigo 2.º fixa limites, por exemplo para as utilizações militares, de defesa e de segurança nacional (n.º 3) e a investigação científica (n.os 6 e 8).
O que acontece se o meu sistema de IA já estiver no mercado?
As proibições do artigo 5.º aplicam-se a todos os sistemas, independentemente de quando foram colocados no mercado. Um sistema de risco elevado colocado no mercado ou em serviço antes de 2 de dezembro de 2027 (anexo III) ou de 2 de agosto de 2028 (anexo I) só fica abrangido pelo regulamento se a sua conceção sofrer alterações significativas a partir dessa data. Tal não abrange os componentes dos sistemas informáticos de grande escala do anexo X (artigo 111.º, n.os 1 e 2). Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030. Os modelos GPAI colocados no mercado antes de 2 de agosto de 2025 têm de cumprir até 2 de agosto de 2027 (artigo 111.º, n.º 3). Os sistemas de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 têm de cumprir o artigo 50.º, n.º 2, até 2 de dezembro de 2026 (artigo 111.º, n.º 4).
Que prazo se aplica ao meu sistema de IA?
Depende do sistema. Práticas proibidas: 2 de fevereiro de 2025, com duas novas proibições desde 2 de dezembro de 2026. Modelos GPAI: 2 de agosto de 2025. Obrigações de transparência do artigo 50.º: 2 de agosto de 2026. Sistemas de risco elevado do anexo III: 2 de dezembro de 2027. Sistemas de risco elevado do anexo I: 2 de agosto de 2028. O Regulamento (UE) 2026/1744 adiou as duas datas de risco elevado de 2 de agosto de 2026 (anexo III) e de 2 de agosto de 2027 (anexo I) para as datas acima indicadas.
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.