AI Act (regulamento IA): o que se aplica realmente desde 2 de agosto de 2026

2 de agosto de 2026 era o grande prazo do AI Act. Acabou de passar, e desde então circulam duas narrativas opostas, ambas falsas. A primeira sustenta que o AI Act foi adiado e que não há nada a fazer. A segunda anuncia uma avalanche de obrigações para qualquer empresa que toque na IA. A realidade resume-se a uma distinção: o que foi adiado afeta os sistemas de risco elevado; o que se aplica afeta todos.

Este artigo expõe o que o Regulamento europeu de inteligência artificial exige realmente a um profissional que usa ferramentas de IA diariamente, tomando o ditado por voz como caso prático. E sobretudo, o que não resolve de todo, embora muitos acreditem o contrário.

Um único regulamento, aplicável nos 27 Estados-Membros

Primeiro mal-entendido a esclarecer: o AI Act não é uma lei nacional. É o Regulamento (UE) 2024/1689, em vigor desde 1 de agosto de 2024. Daí derivam duas consequências práticas:

• É um regulamento, não uma diretiva. Aplica-se diretamente nos 27 Estados-Membros, sem lei de transposição. Não existe, portanto, uma versão nacional do AI Act: o texto é idêntico de um Estado-Membro para outro. Cada país limita-se a designar as suas autoridades de vigilância e a fixar o seu regime sancionatório, dentro dos limites que o Regulamento marca.
• O seu âmbito é extraterritorial. O artigo 2.º abrange os prestadores que introduzem um sistema de IA no mercado da União independentemente de onde estejam estabelecidos, bem como os prestadores e responsáveis pela implantação estabelecidos num país terceiro quando os resultados gerados pelo sistema são utilizados na União. Um prestador estabelecido fora da União que oferece a sua ferramenta na Europa fica, portanto, sujeito.

Convém assinalar ainda que o n.º 10 desse mesmo artigo exclui as obrigações dos responsáveis pela implantação que sejam pessoas singulares e utilizem um sistema de IA no exercício de uma atividade puramente pessoal de carácter não profissional. Ditar a lista de compras não compromete nada. Ditar as notas de um processo, sim.

O calendário real, após o ómnibus digital

A 8 de julho de 2026 a União adotou o Regulamento (UE) 2026/1744, conhecido como ómnibus digital sobre IA, publicado no Jornal Oficial da União Europeia a 24 de julho de 2026 e em vigor desde 27 de julho. É o texto que redesenhou o calendário, e dele provém o rumor de um adiamento geral. Eis o que muda, e o que não muda.

• 2 de fevereiro de 2025: as práticas proibidas do artigo 5.º e a obrigação de literacia em matéria de IA do artigo 4.º são aplicáveis. Sem alterações.
• 2 de agosto de 2025: obrigações sobre os modelos de IA de finalidade geral, governação e, sobretudo, entrada em vigor do regime sancionatório. Sem alterações.
• 2 de agosto de 2026: aplicabilidade geral do Regulamento e obrigações de transparência do artigo 50.º. Sem alterações.
• 2 de dezembro de 2026: duas novas práticas proibidas acrescentadas ao artigo 5.º, dirigidas aos sistemas que geram conteúdos íntimos realistas de uma pessoa identificável sem o seu consentimento e aos que geram material de abuso sexual infantil. Nessa mesma data termina o período transitório de quatro meses concedido aos prestadores de sistemas de IA generativa já presentes no mercado a 2 de agosto de 2026 para cumprirem a marcação de conteúdos.
• 2 de dezembro de 2027: obrigações dos sistemas de risco elevado do anexo III (emprego, educação, serviços essenciais, justiça, migração, biometria). Adiado desde 2 de agosto de 2026.
• 2 de agosto de 2028: obrigações dos sistemas de risco elevado do anexo I, os integrados em produtos já regulados. Adiado desde 2 de agosto de 2027.

Os montantes, para situar o que está em jogo: até 35 milhões de euros ou 7% do volume de negócios mundial anual por uma prática proibida, e até 15 milhões ou 3% por incumprimento das obrigações dos prestadores, dos responsáveis pela implantação ou da transparência do artigo 50.º, aplicando-se o montante mais elevado. Uma nuance que conta para uma PME ou uma start-up: o artigo 99.º, n.º 6, prevê nesse caso que se aplique o mais baixo dos dois montantes, e não o mais alto.

Os quatro níveis de risco, e onde se enquadra uma ferramenta de ditado

O AI Act não regula a IA em bloco: classifica os sistemas por nível de risco e faz depender as obrigações dessa classificação. Quatro patamares, do mais exigente ao mais leve: risco inaceitável (proibido), risco elevado (fortemente regulado), risco específico de transparência (dever de informação), risco mínimo (sem obrigações particulares).

O ponto que quase toda a gente ignora: é a finalidade prevista do sistema que determina a sua classe, não a tecnologia que incorpora. O mesmo motor de reconhecimento de voz pode ser de risco mínimo ou de risco elevado consoante o uso a que se destine.

• Uma ferramenta destinada a converter a fala em texto não figura em nenhum dos oito domínios do anexo III. É de risco mínimo.
• O mesmo motor de voz destinado a avaliar candidatos numa entrevista de emprego entraria no ponto 4 do anexo III (emprego e gestão de trabalhadores): risco elevado.
• O mesmo motor de voz destinado a reconhecer emoções entraria no ponto 1 do anexo III (biometria): risco elevado, quando não está pura e simplesmente proibido.

Dito de outro modo, a pergunta a fazer a um fornecedor não é «a sua ferramenta usa IA?», mas «a que se destina o seu sistema e em que nível de risco o situam?». A resposta deve ser fundamentada, não decorativa.

A verdadeira armadilha das ferramentas de voz: inferir emoções

Para uma ferramenta que ouve as pessoas falarem, a disposição que mais atenção merece não é a do risco elevado, mas o artigo 5.º. O seu n.º 1, alínea f), proíbe os sistemas de IA para inferir as emoções de uma pessoa singular nos locais de trabalho e nos estabelecimentos de ensino, salvo quando o uso se destine a motivos médicos ou de segurança.

Não é uma obrigação futura: é uma proibição em vigor desde 2 de fevereiro de 2025, na categoria mais severamente sancionada do Regulamento. E não visa apenas o prestador: uma empresa que implementa semelhante ferramenta junto do seu pessoal fica diretamente abrangida.

A linha a manter é nítida: transcrever não é inferir. Uma ferramenta de ditado converte em texto o que a pessoa diz, não analisa o seu estado emocional. Convém, em contrapartida, vigiar as funcionalidades que algumas ferramentas de reuniões publicitam: análise de sentimento dos participantes, pontuação de envolvimento, deteção de stress ou de tom. Num local de trabalho, essas promessas de marketing podem resvalar para o terreno do proibido.

É preciso «marcar» um texto produzido com IA?

É a confusão mais generalizada desde 2 de agosto de 2026. O artigo 50.º, n.º 2, obriga os prestadores de sistemas de IA que geram conteúdos sintéticos de áudio, imagem, vídeo ou texto a marcar esses resultados num formato legível por máquina. Muitos concluem que todo o texto escrito com ajuda de IA já deve ter uma marca.

É inexato, e o próprio Regulamento diz-o. Esse mesmo número especifica que esta obrigação não se aplica na medida em que os sistemas de IA desempenhem uma função de apoio à edição normalizada ou não alterem substancialmente os dados de entrada facultados pelo responsável pela implantação, ou a sua semântica.

Uma ferramenta de ditado por voz situa-se exatamente nessa exceção. Transcreve as suas palavras e depois corrige a pontuação, a gramática e as hesitações. Não fabrica conteúdo no seu lugar nem muda o sentido do que disse: dá forma a dados de entrada que forneceu. O texto continua a ser seu. A diferença em relação a uma ferramenta que redige um artigo a partir de três linhas de instruções é de natureza, não de grau.

Duas reservas, no entanto, que convém conhecer:

• Artigo 50.º, n.º 1. Os sistemas destinados a interagir diretamente com pessoas singulares devem informá-las de que estão a lidar com uma IA. Isso visa os agentes conversacionais, não uma ferramenta de ditado, que não dialoga com ninguém.
• Artigo 50.º, n.º 4. Um texto gerado ou manipulado por IA e publicado com o fim de informar o público sobre assuntos de interesse público deve ter uma indicação. Exceção importante: quando o conteúdo foi objeto de revisão editorial humana e uma pessoa singular ou coletiva assume a responsabilidade editorial. Um jornalista que dita o seu artigo e depois o revê permanece na exceção.

O que o AI Act exige ao utilizador profissional

O Regulamento distingue dois papéis principais. O prestador desenvolve o sistema e introduz-o no mercado. O responsável pela implantação utiliza-o sob a sua própria autoridade, num contexto profissional. Quem equipa as suas equipas com uma ferramenta de IA, ou a usa no exercício da sua própria atividade, é responsável pela implantação. Em concreto, afetam-no três coisas.

1. A literacia em matéria de IA (artigo 4.º), suavizada pelo ómnibus. O texto original obrigava a garantir um «nível suficiente» de conhecimentos sobre IA ao pessoal. O Regulamento (UE) 2026/1744 substituiu-o por uma fórmula bastante mais branda: os prestadores e responsáveis pela implantação «tomarão medidas para apoiar a promoção da literacia em matéria de IA do seu pessoal e demais pessoas que tratem, em seu nome, do funcionamento e da utilização de sistemas de IA», e o artigo modificado acrescenta que esta obrigação não exige garantir um nível específico de literacia de nenhuma pessoa em particular. Passa-se de uma obrigação de resultado para uma obrigação de meios. Convém assinalar que o artigo 4.º não figura na lista de infrações sancionáveis com coima do artigo 99.º. A obrigação existe, mas não é diretamente sancionada à escala da União.

2. As práticas proibidas (artigo 5.º). Não deve utilizar ferramentas que entrem na lista negra do artigo 5.º, incluindo a inferência de emoções no trabalho acima mencionada. É a única restrição verdadeiramente pesada que recai sobre um utilizador comum, e já está em vigor.

3. As obrigações do responsável pela implantação de um sistema de risco elevado (artigo 26.º). São substanciais: supervisão humana, conservação dos registos, informação aos trabalhadores afetados. Mas só se ativam se implementar efetivamente um sistema classificado de risco elevado, e não antes de 2 de dezembro de 2027 para o anexo III.

O ponto capital: o AI Act nada diz sobre soberania

É a confusão mais dispendiosa, porque gera uma falsa sensação de segurança. O AI Act regula a introdução no mercado e o uso dos sistemas de IA: o que podem fazer, como devem documentar-se, o que devem declarar. Não contém nenhum requisito de localização de dados.

Em nenhum ponto o Regulamento exige que o seu áudio, os seus textos ou os seus documentos sejam tratados na Europa. Em nenhum ponto neutraliza o Cloud Act norte-americano. Uma ferramenta pode ser irrepreensível à luz do AI Act e, mesmo assim, enviar cada um dos seus ditados para servidores operados por uma sociedade sujeita ao Direito norte-americano e, portanto, passível de ser obrigada mediante uma intimação norte-americana.

O que rege estas questões é o RGPD, e só ele: licitude do tratamento, prazo de conservação, subcontratantes e o quadro das transferências fora da União Europeia nos termos do seu capítulo V. O próprio AI Act di-lo no seu artigo 2.º, n.º 7: o Direito da União em matéria de proteção de dados pessoais continua a aplicar-se aos dados tratados no âmbito do Regulamento. Os dois textos acumulam-se, um não substitui o outro.

Desenvolvemos essa segunda questão, de longe a mais determinante na prática, no nosso guia dedicado: ditado por voz e RGPD, para onde vão realmente os seus dados. Aí explicamos porque a localização dos servidores não basta, quanto vale realmente o Data Privacy Framework, e porque a jurisdição a que um fornecedor está sujeito pesa mais do que a morada dos seus centros de dados. Para as profissões sujeitas ao segredo, o quadro aplicável é detalhado na nossa página sobre o segredo profissional.

6 perguntas para qualquer fornecedor de IA

Uma forma simples de decidir, combinando os dois regulamentos. As primeiras perguntas provêm do AI Act, as últimas do RGPD, e costumam ser estas últimas as que marcam a diferença.

1. Qual é a finalidade declarada do seu sistema e em que nível de risco o situam? Espere uma resposta fundamentada face ao anexo III, não um simples «cumprimos».
2. A sua ferramenta infere emoções ou categoriza pessoas a partir da sua voz? Num local de trabalho, a resposta correta é não, sem ambiguidade.
3. Os seus resultados entram na obrigação de marcação do artigo 50.º, n.º 2, ou na exceção de apoio à edição normalizada? Um fornecedor sério sabe onde se situa, e porquê.
4. Que modelos de IA utilizam, onde são executados e de que fornecedores provêm? É a única forma de saber quem trata realmente os seus dados no final da cadeia. Quem chama a API de um terceiro expõe-no a esse terceiro, diga o que disser quanto ao resto.
5. Os meus dados são usados para treinar os vossos modelos e quanto tempo são conservados? As respostas corretas: não, e zero conservação.
6. Onde são tratados os meus dados, por que sociedade e sob que jurisdição? Procure um tratamento na União por uma sociedade europeia, não apenas um «centro de dados na Europa».

Onde se situa o Fast Dictate

O Fast Dictate é uma ferramenta europeia de ditado por voz. Eis as nossas respostas às seis perguntas, por ordem:

• Finalidade e classificação: converter a fala em texto e inseri-lo na aplicação que escolher. Nenhum dos oito domínios do anexo III é aplicável: risco mínimo.
• Emoções: não. O Fast Dictate transcreve o que se diz e dá forma ao texto. Não realiza reconhecimento do interlocutor, nem análise de sentimento, nem categorização biométrica.
• Marcação de conteúdos: a ferramenta transcreve as suas próprias palavras e corrige a pontuação e a gramática, sem alterar substancialmente os dados de entrada nem a sua semântica. É precisamente a exceção prevista no artigo 50.º, n.º 2.
• Modelos e local de execução: no plano Pro, a transcrição (Whisper Large V3) e o pós-processamento linguístico (GPT-OSS-120B) são executados em servidores situados em França. Não é feita nenhuma chamada a uma API de IA fora de França para tratar o conteúdo dos seus ditados, seja OpenAI, Anthropic, Google, AWS ou Azure.
• Zero conservação de dados em todos os planos. O seu áudio é tratado em memória durante o tempo da transcrição, depois é eliminado de imediato, e nunca é reutilizado para treinar um modelo.
• Plano Pro: tratamento exclusivamente em França, sobre uma infraestrutura certificada ISO/IEC 27001:2022, fora do âmbito do Cloud Act norte-americano, com um acordo de tratamento de dados conforme ao RGPD disponível mediante pedido. Os planos Gratuito e Standard funcionam sobre uma infraestrutura internacional rápida, sempre sem conservação de dados.

Quanto ao resto, o Fast Dictate funciona em todo o lado: Word, Gmail, Notion, o seu navegador, qualquer campo de texto, com um único atalho no Windows e no Mac. O plano gratuito oferece 2000 palavras por semana, sem cartão bancário.

Este artigo tem finalidade informativa e não constitui aconselhamento jurídico. A qualificação de um sistema de IA depende da sua finalidade prevista e do seu uso real: em caso de dúvida sobre a sua situação, consulte um profissional. As fontes oficiais estão disponíveis no EUR-Lex e na página da Comissão Europeia sobre a regulamentação da IA. Artigo atualizado a 15 de agosto de 2026.

Perguntas frequentes