Se utiliza ChatGPT para escrever emails, Gemini para resumir documentos, Canva AI para criar imagens ou um chatbot no site, é natural que tenha dúvidas sobre o Regulamento Europeu da Inteligência Artificial.

Desde 2 de agosto de 2026, o AI Act tornou-se aplicável de forma geral na União Europeia, com exceções e calendários próprios para algumas matérias. Na mesma data começaram a aplicar-se novas obrigações de transparência para determinados sistemas de inteligência artificial.

Isto não significa que todas as pequenas empresas tenham de contratar um departamento jurídico ou colocar a frase “criado por IA” em cada email. Significa que devem perceber como usam IA, distinguir situações de baixo e alto risco e adotar regras proporcionais.

Este guia explica o que uma pequena empresa precisa realmente de fazer.

O que é o AI Act?

O AI Act é o regulamento da União Europeia que estabelece regras para o desenvolvimento, colocação no mercado e utilização de sistemas de inteligência artificial.

O modelo é baseado no risco. Quanto maior for o potencial de dano para a segurança, os direitos fundamentais ou a sociedade, maiores são as obrigações.

De forma simplificada, o regulamento distingue:

• Práticas proibidas;
• Sistemas de alto risco;
• Sistemas sujeitos a obrigações de transparência;
• Sistemas de risco mínimo ou reduzido.

A maioria das utilizações correntes de IA numa pequena empresa — apoio à escrita, resumo, brainstorming, tradução ou organização de informação — tende a situar-se no risco mínimo, desde que não seja aplicada em contextos sensíveis ou de forma enganadora.

O que mudou em 2 de agosto de 2026?

O AI Act entrou em vigor em 1 de agosto de 2024 e tem sido aplicado por fases.

As datas dos sistemas de alto risco foram objeto de alterações europeias recentes. Empresas que trabalhem em recrutamento, crédito, biometria, educação, infraestruturas críticas ou outros contextos sensíveis devem confirmar o calendário e o enquadramento aplicáveis.

O AI Act aplica-se às pequenas empresas?

Sim. A dimensão reduzida não cria uma exclusão geral.

No entanto, as obrigações dependem do papel desempenhado pela empresa e do uso concreto. Uma empresa que apenas utiliza uma ferramenta pronta para melhorar um email não está na mesma posição de uma empresa que desenvolve um sistema de recrutamento automático e o vende sob a sua marca.

O regulamento também prevê proporcionalidade na aplicação de sanções a PME. Isso não elimina a obrigação de cumprir as regras que sejam aplicáveis.

Primeiro, perceba o seu papel: fornecedor ou responsável pela utilização

O AI Act distingue vários intervenientes. Para a maioria das pequenas empresas, dois conceitos são especialmente importantes.

Fornecedor

É a entidade que desenvolve um sistema de IA, ou manda desenvolvê-lo, e o coloca no mercado ou em serviço com o seu nome ou marca.

Uma empresa pode tornar-se fornecedora se lançar uma solução de IA própria, mesmo que utilize modelos de terceiros na base.

Responsável pela implantação ou utilização

É a pessoa ou organização que utiliza o sistema de IA sob a sua autoridade numa atividade profissional.

Uma empresa que usa IA para produzir campanhas, operar um chatbot, analisar candidatos ou criar conteúdos pode ser considerada responsável pela utilização do sistema. Os trabalhadores que atuam sob as instruções da empresa não são, em regra, responsáveis separados.

Esta distinção é importante porque as obrigações não são iguais.

Uso ChatGPT para emails e propostas. Tenho de identificar?

Em regra, não existe uma obrigação geral de colocar um rótulo em cada email, proposta, descrição comercial ou texto interno que tenha recebido apoio de IA.

O que deve existir é controlo humano e responsabilidade. Antes de enviar ou publicar:

• Confirme factos e números;
• Elimine informação inventada;
• Reveja o tom e o contexto;
• Proteja dados pessoais e confidenciais;
• Verifique direitos de autor e utilização de marcas;
• Garanta que uma pessoa assume a decisão final.

A obrigação de rotular texto gerado ou manipulado por IA é especialmente relevante quando esse texto é publicado para informar o público sobre matérias de interesse público e não passou por revisão humana substantiva ou controlo editorial.

Publico artigos com IA. Tenho de dizer que foram criados por IA?

Não existe uma resposta única para todos os artigos.

Segundo as orientações da Comissão Europeia, o artigo 50 abrange texto gerado ou manipulado por IA que seja publicado para informar o público sobre matérias de interesse público. A noção pode incluir desenvolvimentos económicos, financeiros, políticos, científicos, culturais, saúde pública, segurança, ambiente e direitos fundamentais.

No entanto, o texto não precisa de ser rotulado quando existe verdadeira revisão humana ou controlo editorial e uma pessoa ou entidade assume responsabilidade editorial.

Uma simples correção ortográfica ou leitura superficial não é suficiente. A revisão deve examinar a substância, validar fontes, corrigir conclusões e permitir aprovar, alterar ou rejeitar o conteúdo.

Para um blog empresarial, a melhor prática é documentar um processo editorial:

1. Identificar o autor ou revisor;
2. Confirmar as fontes;
3. Rever factos, contexto e riscos;
4. Registar a data da revisão;
5. Assumir responsabilidade pelo texto final.

E imagens criadas por IA?

Nem todas as imagens geradas por IA são automaticamente deepfakes.

O AI Act define deepfake como imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelha a pessoas, objetos, lugares, entidades ou acontecimentos existentes e que pode parecer falsamente autêntico ou verdadeiro.

Quando uma empresa utiliza um deepfake, deve fazer uma divulgação clara e percetível, no máximo no primeiro contacto do público com o conteúdo. Uma marcação técnica invisível não substitui o aviso destinado às pessoas.

Uma ilustração evidentemente fictícia, uma composição artística ou um cenário que o público não espera que seja real pode ter um tratamento diferente. A avaliação depende da semelhança, da mensagem, do contexto e da expectativa da audiência.

As ferramentas que fornecem IA generativa também têm obrigações próprias para marcar conteúdos de forma legível por máquina, com as exceções e limites previstos.

Uso um chatbot no website. O visitante tem de saber?

Os sistemas que interagem diretamente com pessoas devem ser concebidos para informar, de forma clara e desde o início, que o utilizador está a interagir com IA, exceto quando isso seja óbvio para uma pessoa razoavelmente informada.

Mesmo quando utiliza um chatbot fornecido por terceiros, confirme que a interface mostra essa informação. Uma indicação simples pode ser suficiente:

Assistente virtual com inteligência artificial. As respostas podem conter erros. Para questões contratuais ou sensíveis, contacte a nossa equipa.

O aviso deve aparecer antes ou no início da primeira interação, ser acessível e não estar escondido apenas nos termos e condições.

Uso IA no recrutamento. É a mesma coisa?

Não. Recrutamento e gestão de trabalhadores podem envolver sistemas de alto risco quando a IA é utilizada para filtrar candidaturas, classificar candidatos, tomar decisões ou monitorizar desempenho.

Uma ferramenta que apenas ajuda a melhorar a redação de um anúncio de emprego é muito diferente de um sistema que exclui automaticamente pessoas com base num perfil.

Se utiliza IA para decisões sobre pessoas, não espere pela data final de aplicação para organizar o processo. Confirme já:

• Finalidade e fornecedor da ferramenta;
• Dados usados;
• Possível discriminação;
• Explicabilidade da decisão;
• Supervisão humana real;
• Segurança e registos;
• Informação prestada aos candidatos ou trabalhadores;
• Obrigações do RGPD, incluindo eventual avaliação de impacto.

Posso colocar dados de clientes no ChatGPT?

O AI Act não autoriza nem proíbe, por si só, qualquer transferência de dados pessoais para uma ferramenta. O tratamento continua sujeito ao RGPD e às regras de confidencialidade, segurança e segredo comercial.

Antes de introduzir dados de clientes, trabalhadores ou parceiros numa ferramenta de IA, pergunte:

• A empresa tem uma conta empresarial com condições adequadas?
• Existe acordo de tratamento de dados quando necessário?
• Onde são processados e armazenados os dados?
• Os dados são usados para treino?
• É possível desativar essa utilização?
• Existe fundamento legal para o tratamento?
• É realmente necessário inserir dados identificáveis?
• Podemos anonimizar ou substituir os dados por exemplos fictícios?

Como regra operacional, não coloque em contas pessoais ou ferramentas públicas dados clínicos, financeiros, credenciais, contratos confidenciais, segredos comerciais, documentos de identificação ou bases de clientes.

A obrigação de literacia em IA já está em vigor

Desde 2 de fevereiro de 2025, fornecedores e organizações que utilizam sistemas de IA devem adotar medidas para assegurar um nível suficiente de literacia em IA das pessoas que operam esses sistemas em seu nome.

Formação não significa transformar todos os colaboradores em programadores. Significa garantir que compreendem:

• O que a ferramenta pode e não pode fazer;
• Risco de respostas falsas;
• Regras de privacidade e confidencialidade;
• Situações em que é obrigatória revisão humana;
• Como identificar conteúdo sintético ou fraudulento;
• Quem contactar em caso de dúvida ou incidente.

Uma pequena formação anual, acompanhada de regras escritas e exemplos práticos, pode ser muito mais eficaz do que um documento jurídico que ninguém lê.

10 medidas práticas para uma PME

1. Faça um inventário das ferramentas

Liste ChatGPT, Gemini, Microsoft Copilot, Canva AI, chatbots, ferramentas de recrutamento, tradução, transcrição, contabilidade e automação.

2. Defina ferramentas autorizadas

Escolha soluções aprovadas e explique que contas pessoais ou aplicações desconhecidas não devem ser usadas para informação empresarial.

3. Classifique os usos por risco

Separe apoio à escrita, conteúdo público, atendimento, decisões sobre pessoas, biometria, crédito e tratamento de dados sensíveis.

4. Crie uma política curta

Uma página pode ser suficiente para indicar o que é permitido, proibido e sujeito a autorização.

5. Exija revisão humana

Defina quem valida propostas, informação pública, respostas a clientes e decisões com impacto relevante.

6. Proteja os dados

Adote minimização, anonimização, contas empresariais, controlo de acessos e retenção adequada.

7. Identifique interações com IA

Reveja chatbots, avatares e agentes que falam diretamente com clientes.

8. Crie regras para conteúdo sintético

Defina quando imagens, áudio, vídeo ou texto devem ser rotulados e como guardar evidência da revisão editorial.

9. Forme a equipa

Inclua casos reais de alucinações, phishing com IA, fuga de dados e discriminação.

10. Reveja fornecedores e contratos

Peça informação sobre segurança, proteção de dados, marcação de conteúdos, suporte, subcontratantes e responsabilidades.

Modelo simples de política interna

Uma política mínima pode incluir:

• Ferramentas aprovadas;
• Tipos de dados proibidos;
• Usos que exigem autorização;
• Obrigação de verificação factual;
• Revisão humana antes de publicar ou decidir;
• Regras para imagens, áudio, vídeo e chatbots;
• Registo de incidentes;
• Responsável interno;
• Formação e revisão anual.

Não precisa de começar com 30 páginas. Precisa de uma regra clara que seja compreendida e cumprida.

Que sanções podem existir?

As sanções variam consoante a infração. No caso das obrigações de transparência do artigo 50, a Comissão indica que as coimas podem atingir 15 milhões de euros ou 3% do volume de negócios mundial do exercício anterior, sem prejuízo das regras de proporcionalidade aplicáveis a PME.

Os limites máximos não significam que uma pequena empresa receberá automaticamente uma coima dessa dimensão. A gravidade, duração, responsabilidade e medidas adotadas são relevantes. Ainda assim, ignorar deliberadamente uma obrigação não é uma estratégia aceitável.

Conclusão

Para a maioria das pequenas empresas, o primeiro passo não é comprar uma plataforma de compliance. É ganhar visibilidade sobre a utilização real da IA.

Saiba que ferramentas são usadas, para quê, com que dados e por quem. Identifique chatbots e conteúdo enganador. Garanta revisão humana substantiva. Forme a equipa. Trate os casos de recrutamento, biometria, crédito ou outras decisões sensíveis com apoio especializado.

O AI Act pode parecer complexo, mas uma empresa organizada consegue reduzir grande parte do risco com inventário, regras simples, supervisão e documentação.

Perguntas frequentes

Posso continuar a usar ChatGPT na empresa?

Sim. O AI Act não proíbe a utilização geral de ChatGPT. A empresa deve aplicar regras proporcionais, proteger dados, formar utilizadores e cumprir obrigações específicas quando o caso de uso as ativa.

Tenho de identificar todos os textos escritos com IA?

Não. A obrigação é especialmente relevante para texto publicado sobre matérias de interesse público sem revisão humana substantiva ou responsabilidade editorial. Emails correntes e documentos internos não têm uma obrigação geral de rotulagem.

Uma imagem gerada por IA é sempre um deepfake?

Não. Para ser deepfake, deve existir semelhança com pessoa, objeto, lugar, entidade ou acontecimento existente e uma falsa aparência de autenticidade ou veracidade. O contexto e a expectativa do público são relevantes.

O chatbot deve dizer que é inteligência artificial?

Sim, quando existe interação direta e isso não é óbvio. A informação deve ser clara e apresentada desde o início da primeira interação.

O AI Act substitui o RGPD?

Não. Os dois regimes aplicam-se em paralelo. Uma utilização de IA pode ser aceitável no AI Act e ainda assim violar regras de proteção de dados, confidencialidade ou direitos dos trabalhadores.

Uma pequena empresa precisa de um responsável de IA?

O AI Act não cria uma obrigação geral de nomear um “DPO de IA” para todas as PME. Contudo, é útil atribuir responsabilidade interna a uma pessoa, mesmo que acumule funções, para manter inventário, regras, formação e resposta a incidentes.

Outros Artigos que lhe podem interessar

• Como validar uma ideia de negócio em 7 dias: https://www.gerirpequeno.com/como-validar-uma-ideia-de-negocio-em-7-dias-antes-de-gastar-dinheiro-a-abrir-empresa/
• 7 sinais para transformar trabalho independente numa empresa: https://www.gerirpequeno.com/7-sinais-que-ja-esta-na-hora-de-transformar-o-seu-trabalho-independente-numa-empresa-em-portugal/
• SEO em 2026: ligar para o novo artigo após publicação.
• Cibersegurança para pequenas empresas: ligar para o novo artigo após publicação.

Fontes oficiais

• Comissão Europeia — AI Act e calendário de aplicação: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
• Comissão Europeia — Orientações sobre transparência: https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
• Comissão Europeia — Perguntas frequentes sobre o artigo 50: https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
• Comissão Europeia — Perguntas frequentes gerais sobre o AI Act: https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
• Regulamento (UE) 2024/1689 — EUR-Lex: https://eur-lex.europa.eu/eli/reg/2024/1689/oj