Regulamento da UE · Regulamento da Inteligência Artificial
O Sightadel guia-o desde o levantamento dos seus sistemas de IA, passando pelo papel e pelo nível de risco, até às obrigações daí decorrentes – com modelos baseados na prática, ajuda na redação e consultores reais para as partes difíceis. O que se aplica ao seu caso é decidido por si, com fundamentação documentada.
Do que se trata
O Regulamento da Inteligência Artificial, Regulamento (UE) 2024/1689, regula a utilização da inteligência artificial na UE. Aplica-se diretamente, sem lei de transposição. A sua abordagem é baseada no risco: quanto maiores as possíveis consequências para a saúde, a segurança e os direitos fundamentais, mais rigorosas são as obrigações. Algumas práticas são totalmente proibidas, os sistemas de risco elevado estão sujeitos a requisitos extensos, a determinados sistemas aplicam-se obrigações de transparência e os restantes ficam em grande medida livres.
O decisivo é o seu papel. Os prestadores desenvolvem um sistema de IA ou colocam-no no mercado com o seu próprio nome e suportam a maior parte das obrigações. Os responsáveis pela implantação utilizam um sistema sob a sua própria autoridade, por exemplo nos recursos humanos ou no apoio ao cliente. Também os responsáveis pela implantação têm obrigações: têm de utilizar o sistema de acordo com a finalidade prevista, assegurar a supervisão humana e, em certos casos, informar as pessoas afetadas.
As obrigações aplicam-se por fases. As proibições e a obrigação de literacia no domínio da IA aplicam-se desde fevereiro de 2025, as regras para modelos de IA de finalidade geral desde agosto de 2025 e as obrigações de transparência desde agosto de 2026. Um regulamento de alteração de 2026 adiou as obrigações de risco elevado: para sistemas de risco elevado autónomos, para dezembro de 2027; para IA em produtos regulamentados, para agosto de 2028. Não existe um certificado para o regulamento no seu conjunto.
A IA está presente em software comum, chatbots e análises. Como responsável pela implantação, precisa de um inventário, de trabalhadores com formação e de clareza sobre se um sistema se enquadra numa área de risco elevado, por exemplo na seleção de candidatos ou na avaliação de crédito.
Como prestador, suporta a carga principal: gestão de riscos, documentação técnica, gestão da qualidade e, nos sistemas de risco elevado, uma avaliação da conformidade antes da colocação no mercado.
Os clientes querem saber como gere a IA antes de utilizarem o seu produto. Um conjunto de evidências atualizado e um Trust Center respondem a isso uma vez, em vez de em cada questionário.
Requisitos
Resumido por palavras nossas. Prevalece sempre o texto original na versão em vigor.
Sabe que sistemas de IA disponibiliza ou utiliza, que papel tem em cada caso e em que nível de risco se enquadra cada sistema.
No SightadelO inventário de IA regista cada sistema com finalidade, responsável, papel e classificação. Perguntas orientadoras guiam a classificação; a decisão e a sua fundamentação ficam registadas por si.
Determinadas aplicações são proibidas, como técnicas manipuladoras, classificação social ou reconhecimento de emoções no local de trabalho, salvo exceções estritamente delimitadas.
No SightadelUm controlo por prática proibida, respondido para cada sistema do inventário. O resultado é arquivado com data e volta a ser apresentado quando há alterações.
Os prestadores e os responsáveis pela implantação tomam medidas para que os seus trabalhadores adquiram os conhecimentos necessários para lidar com os sistemas utilizados. A alteração de 2026 reformulou a regra, não a eliminou.
No SightadelFormações como ciclos recorrentes com comprovativo de participação e data de validade. As mesmas evidências contam para a ISO 42001.
Para sistemas de risco elevado, uma gestão de riscos ao longo de todo o ciclo de vida, bem como requisitos quanto à origem, qualidade e representatividade dos dados de treino, validação e teste.
No SightadelRegisto de riscos por sistema, ligado a medidas e a revisões periódicas. As informações sobre fontes e qualidade dos dados são recolhidas de forma guiada e arquivadas como evidência.
Uma documentação técnica que demonstre o cumprimento dos requisitos e o registo automático de eventos durante o funcionamento.
No SightadelEstrutura da documentação como controlos com modelo. As partes em falta tornam-se tarefas com prazo; as versões permanecem rastreáveis.
Instruções de utilização compreensíveis para os responsáveis pela implantação, supervisão humana eficaz e níveis adequados de exatidão, robustez e cibersegurança.
No SightadelPara a supervisão e a cibersegurança, associa evidências existentes da ISO 27001. Quem supervisiona o sistema e quando se intervém é definido por si.
Os prestadores de sistemas de risco elevado mantêm um sistema de gestão da qualidade, submetem-se a uma avaliação da conformidade, apõem a marcação CE, registam o sistema na base de dados da UE e acompanham-no após a colocação no mercado.
No SightadelCada passo como controlo com evidência. A declaração de conformidade e o registo são arquivados com data; o acompanhamento pós-comercialização decorre como ciclo com data marcada.
Os responsáveis pela implantação de sistemas de risco elevado utilizam-nos de acordo com as instruções de utilização, asseguram a supervisão humana, conservam os registos e, em certos casos, realizam uma avaliação de impacto sobre os direitos fundamentais.
No SightadelControlos próprios para responsáveis pela implantação, separados dos dos prestadores. A avaliação de impacto é recolhida de forma guiada e arquivada junto da avaliação de impacto sobre a proteção de dados.
As pessoas sabem que estão a interagir com uma IA. Os conteúdos gerados ou manipulados artificialmente são identificáveis como tal.
No SightadelControlos por sistema abrangido; comprovativos como textos informativos ou processos de identificação são associados como evidência.
Processo
O inventário, a classificação e as obrigações de base ficam documentados em dois a quatro meses. Quem disponibiliza sistemas de risco elevado deve contar com cerca de um ano, e isso deve estar concluído antes de dezembro de 2027.
Registar todos os sistemas de IA, incluindo os integrados em software comum e serviços cloud. Sem inventário, nada pode ser classificado.
Determinar por sistema o papel de prestador ou de responsável pela implantação, excluir práticas proibidas e registar o nível de risco. Esclarecer juridicamente os casos-limite.
Formar os trabalhadores, aplicar avisos de transparência, aprovar responsabilidades e uma política de IA. Estas obrigações já se aplicam.
Só se aplicável: implementar e documentar a gestão de riscos, os requisitos de dados, a documentação técnica, a manutenção de registos e a supervisão humana.
Os prestadores de sistemas de risco elevado submetem-se à avaliação da conformidade, elaboram a declaração de conformidade e registam o sistema.
Completar o inventário a cada nova aplicação, repetir formações, registar incidentes, acompanhamento pós-comercialização e revisão periódica da classificação.
Pronto para começar
Quem esclarece estas questões cedo poupa semanas mais tarde. No Sightadel estão configuradas como as primeiras tarefas.
Divisão de tarefas
Se um software preenchesse tudo, a norma não cumpriria o seu objetivo – e o auditor notaria. Por isso está claramente definido o que fica a seu cargo.
Da prática
Da longa experiência em consultoria e certificação: estes são os pontos que mais tempo consomem ou que levam a não conformidades na auditoria.
A IA está também presente em software comum, serviços cloud e extensões de navegador. Questione de forma dirigida as áreas de negócio e as compras e registe também as funções integradas.
A mesma empresa pode ser prestador de um sistema e responsável pela implantação de outro. Determine o papel para cada sistema individualmente e fundamente-o.
Quem invoca que um sistema numa área do anexo III não representa um risco significativo tem de o demonstrar. Registe a avaliação por escrito antes de o sistema ser utilizado.
Um aviso a todos não substitui uma formação orientada para a função. Distinga por funções, repita a formação quando surgem novos sistemas e documente a participação.
Os prazos de risco elevado foram adiados, mas as proibições, a literacia em IA e a transparência aplicam-se. Cumpra já as obrigações em vigor e planeie o trabalho de risco elevado de trás para a frente a partir da data-limite.
Quem altera substancialmente um sistema de risco elevado ou o disponibiliza com o seu próprio nome pode tornar-se prestador. Antes de cada adaptação, verifique se o seu papel muda.
Uma evidência, vários frameworks
Não indicamos propositadamente uma percentagem – depende do seu âmbito. Onde os requisitos coincidem, uma evidência fica associada a todos.
O sistema de gestão de IA fornece a estrutura: inventário, responsabilidades, avaliação de riscos, avaliação de impacto, ciclo de vida. Muitas obrigações organizativas do regulamento podem ser cumpridas através dele. Não substitui a avaliação da conformidade nem o registo.
RGPDSe um sistema de IA tratar dados pessoais, o RGPD aplica-se em paralelo. O registo das atividades de tratamento, a avaliação de impacto sobre a proteção de dados e a avaliação de impacto sobre os direitos fundamentais articulam-se entre si.
ISO/IEC 27001A cibersegurança, o controlo de acessos, o registo de eventos e a avaliação de fornecedores já estão aí documentados. Estas evidências contribuem para os requisitos de robustez e segurança.
ISO 9001Os prestadores de sistemas de risco elevado precisam de um sistema de gestão da qualidade. Quem trabalha segundo a ISO 9001 continua a usar o controlo de documentos, as aprovações e as ações corretivas.
Auditoria e evidências
Ninguém emite um certificado para o regulamento no seu conjunto. Os prestadores de sistemas de risco elevado demonstram a conformidade antes da colocação no mercado, consoante o sistema, através de controlo interno ou de um organismo notificado, e apõem depois a marcação CE. A fiscalização do mercado cabe às autoridades nacionais. O Sightadel não certifica nem presta aconselhamento jurídico.
Quem audita recebe no Sightadel um acesso próprio, sem permissão para apagar. Uma certificação ISO/IEC 42001 é uma base estruturada, mas não é obrigatória. Se pretender uma auditoria externa, escolha um auditor da nossa rede de parceiros independentes ou um da sua confiança. Pelas auditorias não é paga qualquer comissão – nem a nós, nem aos parceiros.
Ver a rede de auditores independentesO Regulamento da IA entrou em vigor em agosto de 2024 e aplica-se desde então por fases. Desde fevereiro de 2025 aplicam-se as proibições de determinadas práticas e as regras sobre literacia no domínio da IA. Desde agosto de 2025 aplicam-se as regras para modelos de IA de finalidade geral, as estruturas de governação e as disposições sancionatórias. Desde agosto de 2026 aplicam-se as obrigações de transparência para determinados sistemas de IA, como avisos em chatbots e a identificação de conteúdos gerados artificialmente.
No verão de 2026 entrou em vigor um regulamento de alteração, criado no âmbito do chamado Omnibus Digital da UE. Adiou sobretudo as obrigações de risco elevado: para sistemas de risco elevado autónomos do anexo III, para 2 de dezembro de 2027; para IA em produtos já sujeitos a legislação de produtos da UE do anexo I, para 2 de agosto de 2028. Para algumas obrigações, como a marcação legível por máquina em sistemas generativos já disponibilizados, existem períodos de transição curtos. Além disso, foram alargadas as facilidades para pequenas e médias empresas e reformulada a regra sobre literacia no domínio da IA.
O adiamento não é motivo para esperar. Quem disponibiliza um sistema de risco elevado precisa, por experiência, de bastante mais do que um ano para a gestão de riscos, os requisitos de dados, a documentação técnica e a gestão da qualidade. E as obrigações já aplicáveis sobre proibições, literacia em IA e transparência dizem respeito a quase todas as empresas. Em caso de dúvida, confirme as datas exatas e as regras de transição no texto atual do regulamento.
O regulamento distribui as obrigações por papéis. Os prestadores desenvolvem um sistema de IA ou mandam desenvolvê-lo e colocam-no no mercado ou em serviço com o seu próprio nome ou marca. Os responsáveis pela implantação utilizam um sistema de IA sob a sua própria autoridade, exceto para fins puramente privados. Existem ainda os importadores, que trazem sistemas de países terceiros para a UE, os distribuidores, que os revendem, e os fabricantes de produtos, que integram IA nos seus produtos.
Uma empresa pode ter papéis diferentes para sistemas diferentes. Quem desenvolve uma ferramenta de avaliação própria para clientes é aí prestador. Quem, na mesma empresa, utiliza software comum com IA para o recrutamento é aí responsável pela implantação. O papel é, por isso, determinado por sistema e não por empresa.
É preciso cautela com as adaptações. Quem altera substancialmente um sistema de risco elevado, muda a sua finalidade de forma que se torne um sistema de risco elevado ou o comercializa com o seu próprio nome pode tornar-se prestador e assume então as respetivas obrigações. Isto afeta, por exemplo, empresas que continuam a treinar um modelo adquirido com dados próprios e o disponibilizam como produto seu.
No Sightadel, regista o papel de cada sistema no inventário de IA, com fundamentação. Consoante o papel, surgem os controlos adequados. Os casos-limite são esclarecidos juridicamente e o resultado é arquivado como evidência.
Um sistema de IA é de risco elevado por duas vias. Primeiro, se for um componente de segurança de um produto ou ele próprio um produto abrangido por determinada legislação de produtos da UE e que exija uma avaliação da conformidade por terceiros, como dispositivos médicos, máquinas ou brinquedos. Essa legislação consta do anexo I. Segundo, se for utilizado numa das áreas do anexo III.
O anexo III enumera, entre outras, determinadas aplicações biométricas, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, o acesso a serviços privados e públicos essenciais, como a avaliação da capacidade de crédito e determinados seguros, a aplicação da lei, a migração e o controlo de fronteiras, bem como a administração da justiça e os processos democráticos. Para empresas fora do setor público, os recursos humanos, o crédito e os seguros são os pontos de contacto mais frequentes.
Nem todos os sistemas numa destas áreas são automaticamente de risco elevado. O regulamento prevê exceções quando um sistema não representa um risco significativo, por exemplo por executar apenas uma tarefa processual restrita ou melhorar o resultado de uma atividade humana previamente concluída. Os sistemas que efetuam a definição de perfis de pessoas singulares não beneficiam desta exceção. Quem invoca a exceção tem de documentar a sua avaliação.
No Sightadel, perguntas orientadoras guiam a classificação. A decisão e a sua fundamentação ficam registadas por si e, quando o sistema é alterado, a classificação volta a ser apresentada.
Para o EU AI Act não existe preço de tabela no Sightadel. Elaboramos uma proposta adequada ao número de sistemas, ao papel e à edição. Se a sua licença incluir a ISO 27001 ou a ISO 9001, o desconto permanente aplica-se também ao EU AI Act. Pode experimentar durante 14 dias sem dados de pagamento.
O esforço depende quase exclusivamente de disponibilizar ou não sistemas de risco elevado. Para responsáveis pela implantação que utilizam IA em software comum, o inventário, a classificação, a formação e os avisos de transparência fazem-se em algumas semanas. Normalmente participam a informática, a proteção de dados, os recursos humanos, as compras e as áreas que efetivamente utilizam IA.
Os prestadores de sistemas de risco elevado enfrentam um projeto que lembra uma homologação de produto: gestão de riscos ao longo do ciclo de vida, requisitos para dados de treino e teste, documentação técnica, manutenção de registos, supervisão humana, sistema de gestão da qualidade, avaliação da conformidade, registo e acompanhamento pós-comercialização. Se for necessário envolver um organismo notificado, este fatura o seu trabalho de forma independente. Para questões de classificação e casos difíceis, pode contratar consultoria como pacote na aplicação. Isso não substitui o aconselhamento jurídico.
A maioria das empresas são responsáveis pela implantação. Para elas aplicam-se, em primeiro lugar, duas obrigações independentemente do nível de risco. Primeiro, medidas de literacia no domínio da IA: quem opera sistemas de IA ou utiliza os seus resultados deve ter os conhecimentos necessários, adaptados à função e ao contexto. Com a alteração de 2026, a regra foi formulada de modo que as empresas tomem medidas para promover a literacia, em vez de garantirem um determinado nível. Ainda assim, deve documentar essas medidas. Segundo, transparência: se um sistema gerar ou manipular conteúdos de imagem, áudio ou vídeo que pareçam autênticos, ou textos destinados a informar o público, isso tem de ser divulgado em determinados casos.
Se utilizar um sistema de risco elevado, acresce mais. Utiliza-o de acordo com as instruções de utilização, atribui a supervisão humana a pessoas competentes, garante que os dados de entrada são adequados à finalidade, monitoriza o funcionamento, conserva os registos gerados automaticamente durante pelo menos seis meses e notifica incidentes graves. Antes da utilização no local de trabalho, informa os trabalhadores e os seus representantes. Os organismos públicos e determinados responsáveis pela implantação privados, por exemplo na avaliação da capacidade de crédito ou nos seguros de vida e de saúde, realizam adicionalmente uma avaliação de impacto sobre os direitos fundamentais.
No Sightadel, as obrigações dos responsáveis pela implantação estão criadas como controlos próprios, separados dos dos prestadores. As formações decorrem como ciclos com comprovativo de participação; a avaliação de impacto fica junto da avaliação de impacto sobre a proteção de dados.
Os prestadores de sistemas de risco elevado elaboram uma documentação técnica antes de o sistema ser colocado no mercado. Esta descreve, entre outros aspetos, a finalidade, a arquitetura, o desenvolvimento, os dados, os testes, os limites de desempenho, a gestão de riscos, a supervisão humana e as alterações ao longo do ciclo de vida. A isto juntam-se as instruções de utilização, o sistema de gestão da qualidade, a declaração UE de conformidade, a marcação CE, o registo na base de dados da UE e um plano de acompanhamento pós-comercialização. As pequenas e médias empresas podem manter a documentação de forma simplificada.
Para a maioria dos sistemas do anexo III, o próprio prestador realiza a avaliação da conformidade, por via do controlo interno. Em determinados sistemas biométricos e em produtos do anexo I, intervém um organismo notificado. As normas harmonizadas, cujo cumprimento confere presunção de conformidade, estão a ser elaboradas a nível europeu. Enquanto faltarem, a demonstração é mais trabalhosa.
A fiscalização do mercado cabe às autoridades nacionais. Na Alemanha, segundo a lei de execução aprovada em 2026, a Agência Federal das Redes alemã (Bundesnetzagentur) é a autoridade central de fiscalização do mercado; as autoridades setoriais mantêm competências nas suas áreas. Para os modelos de IA de finalidade geral, é competente o Serviço para a IA da Comissão Europeia. Quem audita recebe no Sightadel um acesso próprio ao inventário, às classificações e às evidências: pode comentar e, após aprovação, editar, mas nunca apagar.
Quanto custa
Paga apenas os frameworks de que realmente precisa. As edições diferem na capacidade e no tempo de resposta, não no âmbito técnico. Quem gere vários frameworks poupa de forma permanente. Todos os preços, descontos e uma calculadora estão na página de preços.
Os custos do organismo de certificação ou de auditoria são faturados diretamente por este à sua empresa. Se precisar, pode contratar consultoria como pacote na aplicação.
Material de trabalho
Listas de verificação e modelos para outros frameworks estão disponíveis em Recursos.
Material de apoio, não constitui aconselhamento jurídico.
Termos
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Muito provavelmente, a partir do momento em que disponibiliza sistemas de IA ou os utiliza profissionalmente. A obrigação de literacia no domínio da IA aplica-se a todos os prestadores e responsáveis pela implantação. O que acresce depende do seu papel e do nível de risco dos sistemas. A utilização puramente privada não está abrangida.
Proibições e literacia em IA desde fevereiro de 2025, regras para modelos de IA de finalidade geral desde agosto de 2025, obrigações de transparência desde agosto de 2026, com períodos de transição para alguns sistemas já disponibilizados. As obrigações de risco elevado foram adiadas em 2026: para dezembro de 2027 para sistemas autónomos e para agosto de 2028 para IA em produtos regulamentados.
Em caso de práticas proibidas, até 35 milhões de euros ou 7 % do volume de negócios anual a nível mundial; em caso de violação de outras obrigações, até 15 milhões de euros ou 3 %; em caso de informações incorretas prestadas às autoridades, até 7,5 milhões de euros ou 1 %. Para as grandes empresas aplica-se o montante mais elevado; para as pequenas e médias, o mais baixo.
Não para o regulamento no seu conjunto. Os sistemas de risco elevado são sujeitos a uma avaliação da conformidade e ostentam a marcação CE. Para o sistema de gestão subjacente, pode obter a certificação ISO/IEC 42001. Um «certificado AI Act» oferecido no mercado não tem efeito jurídico.
Em regra, é responsável pela implantação. Registe os sistemas, forme os trabalhadores e verifique se alguma utilização se enquadra numa área de risco elevado, por exemplo em decisões de recursos humanos. Para a maioria das aplicações, ficam a literacia em IA e a transparência.
Sim. A norma fornece o inventário, as responsabilidades, a avaliação de riscos e a avaliação de impacto, ou seja, a base organizativa. Os passos legais, como a avaliação da conformidade, o registo ou determinadas obrigações de transparência, são verificados à parte.
Na tabela de preços atual, o Regulamento da IA não aparece como referencial próprio. Contacte-nos e explicamos como o pode utilizar no Sightadel.
Não, propositadamente. Fornece rascunhos a partir de modelos e ajuda na redação. O papel, o nível de risco e os riscos residuais são decididos por si. O Sightadel não presta aconselhamento jurídico sobre isto.
Em princípio, sim. Nesse caso, é em regra responsável pela implantação. Registe o serviço no inventário, forme os utilizadores, defina regras para dados confidenciais e pessoais e verifique se alguma utilização se enquadra numa área de risco elevado ou desencadeia obrigações de transparência. O RGPD aplica-se em paralelo.
Segundo a lei de execução alemã aprovada em 2026, a Agência Federal das Redes alemã (Bundesnetzagentur) é a autoridade central de fiscalização do mercado. As autoridades setoriais mantêm competências nas suas áreas. Para os modelos de IA de finalidade geral, é competente o Serviço para a IA da Comissão Europeia.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
