Se a sua organização desenvolve, implementa ou depende de IA no recrutamento, na avaliação de crédito, em infraestruturas críticas ou em contextos de fronteira e de aplicação da lei, passou grande parte de 2026 a preparar-se para o 2 de agosto de 2026. Esse prazo passou sem que as obrigações relativas aos sistemas de risco elevado se tornassem aplicáveis. Tem agora até 2 de dezembro de 2027: uma prorrogação de 16 meses, concedida em grande medida porque as normas técnicas harmonizadas que deveriam tornar a conformidade exequível chegaram tarde.
É um alívio real e é mais estreito do que parece. A prorrogação deslocou um conjunto de obrigações. Não deslocou o RGPD, não deslocou o regime sancionatório do Regulamento IA e não deslocou duas novas proibições que entram em vigor já em dezembro, sem qualquer período transitório. A sobreposição entre os dois diplomas — onde colidem, e onde os mesmos factos podem ser apreciados duas vezes segundo dois critérios diferentes — está exatamente onde estava.
O que se deslocou realmente e o que não
O Omnibus IA reorganizou o calendário, não a substância. As datas que agora valem:
O que não se deslocou. As obrigações de transparência do artigo 50.º aplicam-se desde 2 de agosto de 2026, como previsto: se o seu chatbot fala com clientes, estes têm de ser informados, e nenhuma prorrogação cobre isso. As proibições já existentes do artigo 5.º aplicam-se desde fevereiro de 2025. E duas novas proibições do artigo 5.º produzem efeitos em 2 de dezembro de 2026: os sistemas de IA que geram ou manipulam material de abuso sexual de crianças e os que geram imagens íntimas realistas de uma pessoa identificável sem o seu consentimento explícito. Esta segunda vai além das aplicações de «desnudamento» criadas para esse fim: alcança os fornecedores de modelos generativos de finalidade geral quando tal resultado é razoavelmente previsível e não existem salvaguardas adequadas.
Para que serve o tempo ganho. Os sistemas de IA de risco elevado do anexo III — recrutamento e gestão de trabalhadores, avaliação da solvabilidade, acesso a serviços essenciais, categorização biométrica, avaliação no ensino — continuarão a precisar de tudo isto até dezembro de 2027:
- Um sistema de gestão de riscos mantido ao longo de todo o ciclo de vida do sistema
- Normas de governação de dados para os conjuntos de treino e validação, incluindo a deteção de enviesamentos
- Documentação técnica suficientemente sólida para resistir a uma auditoria da autoridade
- Registo automático das operações do sistema
- Disposições de transparência que permitam aos responsáveis pela implementação e às pessoas afetadas compreender o que o sistema faz
- Mecanismos de supervisão humana que permitam intervir ou parar o sistema em qualquer momento
- Normas de exatidão, robustez e cibersegurança adequadas à finalidade do sistema
Até essa data, os fornecedores terão de ter concluído as avaliações de conformidade, finalizado a documentação técnica, aposta a marcação CE e efetuado o registo na base de dados da UE. O Omnibus estreitou também a definição de «componente de segurança» — um componente só arrasta um sistema para o domínio do risco elevado se a sua finalidade for prevenir ou atenuar riscos para a saúde e a segurança, pelo que a IA usada apenas para otimização, apoio ao utilizador ou comodidade fica de fora — e suavizou a literacia em IA do artigo 4.º, que passa do dever de assegurar um nível de competência do pessoal para o de apoiar o seu desenvolvimento.
Se várias destas obrigações lhe parecem familiares, é porque devem parecer. O RGPD já exigia avaliações de impacto sobre a proteção de dados, análise de risco documentada, transparência perante os titulares dos dados e garantias em torno das decisões automatizadas. O Regulamento IA não substitui nada disso: acrescenta-se, com base jurídica própria, requisitos documentais próprios e coimas próprias. Nada disso foi adiado, porque o RGPD nunca fez parte da prorrogação.
Onde os dois diplomas se sobrepõem realmente
Esta é a parte em que a prorrogação nada altera. A sobreposição é estrutural e não depende do calendário: o RGPD aplica-se hoje aos dados pessoais existentes no seu sistema de IA, e as obrigações do Regulamento IA recairão sobre esses mesmos sistemas em dezembro de 2027. Os pontos de colisão mais claros:
Governação de dados. O artigo 10.º do Regulamento IA exige governação sobre os conjuntos de treino e validação: pertinência, representatividade, deteção de enviesamentos. Os princípios da minimização e da exatidão do RGPD (artigo 5.º) já regem os dados pessoais contidos nesses mesmos conjuntos. A partir de dezembro de 2027, um conjunto de treino deficiente poderá constituir violação de ambos os quadros em simultâneo, apreciada segundo dois critérios distintos; e apenas ao abrigo do RGPD já o pode ser hoje.
Avaliações de impacto. O RGPD exige uma avaliação de impacto sobre a proteção de dados (AIPD) para tratamentos de risco elevado. O Regulamento IA exige uma avaliação de impacto sobre os direitos fundamentais (AIDF) para determinadas implementações de risco elevado, em especial por organismos públicos e em setores sensíveis. Não são o mesmo documento, mas assentam em larga medida na mesma análise de risco subjacente — e é precisamente por isso que vale a pena aplicar o tempo ganho nos alicerces da AIPD sobre os quais a AIDF terá de assentar.
Transparência. Os artigos 12.º a 14.º do RGPD exigem informação clara aos titulares dos dados sobre o tratamento. O Regulamento IA exige separadamente que os fornecedores facultem aos responsáveis pela implementação instruções de utilização segura e informação sobre a exatidão e os limites do sistema, e exige que as pessoas sejam informadas quando interagem com um sistema de IA. Dois regimes de transparência, dois destinatários, dois conjuntos de obrigações de informação.
Supervisão humana e decisões automatizadas. O artigo 22.º do RGPD restringe as decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos. O requisito de supervisão humana do Regulamento IA é mais amplo e aplica-se independentemente de a decisão ser «exclusivamente» automatizada: ou seja, um sistema que passa o crivo do artigo 22.º do RGPD porque formalmente um humano revê os resultados pode ainda assim falhar o crivo mais exigente do Regulamento IA quanto ao que é uma supervisão efetiva.
As contas das coimas
O Omnibus deslocou prazos. Não tocou no artigo 99.º, que mantém uma estrutura de três níveis; e repare em qual já está em vigor: o mais elevado, que abrange as práticas proibidas aplicáveis desde fevereiro de 2025 e as duas novas que chegam em dezembro de 2026.
- Até 35 milhões de euros ou 7 % do volume de negócios anual mundial por violações das práticas proibidas (artigo 5.º)
- Até 15 milhões de euros ou 3 % do volume de negócios por violações relativas a sistemas de risco elevado
- Até 7,5 milhões de euros ou 1 % do volume de negócios por prestação de informações incorretas ou enganosas às autoridades
O nível superior excede agora o máximo do próprio RGPD, de 20 milhões de euros ou 4 % do volume de negócios mundial, o que torna o Regulamento IA o mais punitivo dos dois regimes no seu limite.
Ponto essencial: o artigo 99.º, n.º 8, contém uma regra de «uma conduta, uma sanção». Se uma mesma violação factual infringir simultaneamente o Regulamento IA e outro diploma da UE como o RGPD, as autoridades aplicam apenas a mais elevada das duas coimas aplicáveis. Mas essa proteção é mais estreita do que parece. Se um sistema de IA violar as regras de governação de dados do Regulamento IA através de um conjunto de treino enviesado e violar separadamente os princípios da exatidão ou da minimização do RGPD pelo modo como esses mesmos dados foram recolhidos ou conservados, são tratadas como violações distintas e podem ser sancionadas separadamente.
Juridicamente, isto não é o «ne bis in idem» no sentido em que muitas equipas de conformidade presumem. É uma determinação feita violação a violação — e quanto mais entrelaçadas estiverem as práticas de dados do seu sistema de IA com dados pessoais abrangidos pelo RGPD, mais superfície oferece para que essa separação jogue contra si.
O que fazer com mais 16 meses
Um prazo adiado não é um risco adiado, e não são certamente dezasseis meses sem fazer nada. O impulso de tratar o Regulamento IA e o RGPD como duas listas de verificação a percorrer em sequência continua a ser o erro mais caro disponível. Algumas coisas que vale a pena fazer em vez disso:
- Marque primeiro as datas de dezembro de 2026 na agenda. As duas novas proibições do artigo 5.º e as regras de marcação de conteúdos sintéticos do artigo 50.º, n.º 2, chegam sem qualquer margem. Se gera ou manipula imagens, vídeo ou áudio de forma visível para o cliente, isso é uma questão deste trimestre, não de 2027.
- Classifique já os seus sistemas e documente o raciocínio, mesmo quando a resposta for «não é de risco elevado». A definição mais estreita de componente de segurança faz com que alguns sistemas que em 2025 pareciam abrangidos tenham ficado de fora: registe porquê. A própria classificação tem de conseguir demonstrá-la, e não fica mais fácil por a deixar para 2027.
- Articule as suas AIPD e AIDF entre si em vez de as encomendar separadamente. Se um sistema exigir ambas, a análise de risco subjacente deve ser uma base comum e não dois exercícios desligados que se contradizem em silêncio. Se ainda não tem qualquer processo de AIPD, comece por aí: a AIDF é muito mais difícil de construir sobre o nada.
- Confronte os seus avisos de transparência do RGPD com os requisitos de informação do Regulamento IA. Cobrem informação diferente, mas um aviso construído apenas para o RGPD omitirá provavelmente o que o Regulamento IA exige adicionalmente — e as obrigações do artigo 50.º aplicáveis à IA em contacto com clientes nunca foram adiadas. Isto coincide com o facto de o CEPD ter feito da transparência dos artigos 12.º a 14.º a sua prioridade de ação coordenada para 2026. Este ano ambas as autoridades olham para os mesmos avisos, por razões diferentes.
- Trate a supervisão humana como um requisito de conceção, não como uma declaração de intenções. As autoridades de ambos os regimes vão pedir prova de que uma pessoa pode intervir de forma significativa, e não apenas que figura nominalmente no circuito. A nossa lista de verificação de supervisão humana da IA mostra como é essa prova na prática.
- Ponha desde já as equipas jurídicas e as de documentação técnica a falar entre si. Os requisitos de documentação técnica e de registo do Regulamento IA serão cada vez mais a base probatória com que as autoridades avaliarão também a conformidade com o RGPD, porque ambos dependem de se poder demonstrar — e não apenas afirmar — como um sistema trata efetivamente os dados pessoais.
Porque a prorrogação não lhe oferece um ano tranquilo
A prorrogação aplica-se a um conjunto de obrigações do Regulamento IA. Não se aplica ao ambiente sancionatório em que essas obrigações aterram, e esse ambiente não acalmou.
As coimas do RGPD já ultrapassaram os 7,1 mil milhões de euros acumulados, com mais de 600 milhões aplicados só no primeiro semestre de 2026. As notificações diárias de violações de dados subiram 22 % em termos homólogos para 443 por dia — a primeira vez que este número ultrapassa as 400 desde que o RGPD entrou em aplicação em 2018. E a atividade sancionatória foi claramente além das grandes tecnológicas: desde janeiro de 2023 foram aplicadas mais coimas a pequenas e médias empresas do que nos cinco anos anteriores somados.
Sobreponha a essa trajetória um segundo regime sancionatório com um limite mais alto — a partir de dezembro de 2027, com duas proibições um ano inteiro antes — e a mensagem para as equipas de conformidade é simples: o Regulamento IA não acrescentou apenas mais um diploma a acompanhar. Acrescentou uma segunda autoridade, com uma ideia própria do que o seu sistema de IA deve às pessoas cujos dados toca, que atuará ao mesmo tempo, sobre os mesmos sistemas e muitas vezes sobre os mesmos factos. A prorrogação mudou quando isso começa. Não mudou nada do que custa não estar preparado.
Se não tem a certeza de que lado da linha do risco elevado se situam os seus sistemas, essa é a primeira questão a responder: as obrigações acima só mordem dentro do anexo III, mas a classificação em si tem de estar documentada. Marque uma consulta gratuita com a GDPRGard →
Fontes
- Regulamento IA da UE — artigo 99.º, sanções
- Regulamento IA da UE — anexo III, sistemas de IA de risco elevado
- Comissão Europeia — calendário de aplicação do Regulamento IA
- CMS GDPR Enforcement Tracker
- Comité Europeu para a Proteção de Dados — quadro de ação coordenada
Leia também:
- Dentro do Omnibus Digital da UE: o que muda realmente no RGPD
- O adiamento do Regulamento IA não cobre o seu chatbot
- Porque é que todas as empresas SaaS precisam de uma AIPD antes de lançar funcionalidades de IA