O regulamento da IA já se aplica aos sistemas de alto risco. Agora responde perante dois reguladores.

Se a sua organização desenvolve, implementa ou depende de IA no recrutamento, na avaliação de crédito, em infraestruturas críticas ou em contextos de fronteira e aplicação da lei, 2 de agosto de 2026 era um prazo que não podia falhar. É a data em que as obrigações do regulamento da IA da UE para sistemas de alto risco passaram a ser plenamente exigíveis — e o RGPD deixou de ser a única norma sobre dados capaz de estragar o orçamento de conformidade de um ano inteiro.

Pela primeira vez, dois regimes sancionatórios europeus distintos aplicam-se em paralelo à mesma atividade subjacente: o tratamento de dados pessoais através de um sistema de IA. Perceber onde se sobrepõem, onde divergem e onde podem atingir ao mesmo tempo é a questão de conformidade do segundo semestre de 2026.

O que mudou a 2 de agosto

Os sistemas de IA de alto risco — definidos no anexo III do regulamento, abrangendo utilizações como recrutamento, avaliação da solvabilidade, gestão de infraestruturas digitais críticas e controlo de fronteiras — têm agora de dispor, entre outras coisas, de:

• Um sistema de gestão de riscos mantido ao longo de todo o ciclo de vida do sistema
• Normas de governação de dados para os conjuntos de treino e validação, incluindo deteção de enviesamentos
• Documentação técnica suficientemente sólida para resistir a uma auditoria da autoridade
• Registo automático das operações do sistema
• Disposições de transparência que permitam a responsáveis pela implementação e a pessoas afetadas perceber o que o sistema faz
• Mecanismos de supervisão humana que permitam intervir ou parar o sistema a qualquer momento
• Normas de exatidão, robustez e cibersegurança adequadas à finalidade do sistema

Esperava-se que os fornecedores tivessem concluído as avaliações de conformidade, finalizado a documentação técnica, aposta a marcação CE e feito o registo na base de dados da UE até ao prazo.

Se várias destas obrigações lhe soam familiares, é porque devem soar. O RGPD já exigia avaliações de impacto sobre a proteção de dados, análise de risco documentada, transparência para com os titulares e salvaguardas em torno das decisões automatizadas. O regulamento da IA não substitui nada disso — sobrepõe-se, com base jurídica própria, requisitos documentais próprios e coimas próprias.

Onde as duas normas se sobrepõem de facto

Os pontos de colisão mais nítidos:

Governação de dados. O artigo 10.º do regulamento da IA exige governação sobre os conjuntos de dados de treino e validação — pertinência, representatividade, deteção de enviesamentos. Os princípios da minimização e da exatidão do RGPD (artigo 5.º) já regem os dados pessoais contidos nesses mesmos conjuntos. Um conjunto de treino defeituoso pode agora ser uma infração simultânea a ambos os quadros, avaliada por dois testes diferentes.

Avaliações de impacto. O RGPD exige uma avaliação de impacto sobre a proteção de dados (AIPD) para tratamentos de alto risco. O regulamento da IA exige uma avaliação de impacto sobre os direitos fundamentais (AIDF) para determinadas implementações de alto risco, em especial por organismos públicos e em setores sensíveis. Não são o mesmo documento, mas assentam em grande medida na mesma análise de risco subjacente — ou seja, uma AIPD mal delimitada tem agora uma segunda norma à espera de apanhar aquilo que lhe escapa.

Transparência. Os artigos 12.º a 14.º do RGPD exigem informação clara aos titulares sobre o tratamento. O regulamento da IA exige, em separado, que os fornecedores dêem aos responsáveis pela implementação instruções de utilização segura e informação sobre a exatidão e os limites do sistema, e obriga a que as pessoas sejam avisadas quando estão a interagir com um sistema de IA. Dois regimes de transparência, dois destinatários, dois conjuntos de deveres de informação.

Supervisão humana e decisões automatizadas. O artigo 22.º do RGPD restringe as decisões exclusivamente automatizadas com efeitos jurídicos ou similarmente significativos. O requisito de supervisão humana do regulamento da IA é mais amplo e aplica-se independentemente de a decisão ser ou não «exclusivamente» automatizada — um sistema que passa o crivo do artigo 22.º porque alguém revê formalmente os resultados pode continuar a falhar o crivo mais exigente do regulamento da IA sobre o que é uma supervisão efetiva.

As contas das coimas

É aqui que a coisa aperta. O artigo 99.º do regulamento da IA estabelece uma estrutura de três escalões:

• Até 35 milhões de euros ou 7 % do volume de negócios anual mundial por infrações às práticas proibidas (artigo 5.º)
• Até 15 milhões de euros ou 3 % do volume de negócios por incumprimentos relativos a sistemas de alto risco
• Até 7,5 milhões de euros ou 1 % do volume de negócios por prestar informação incorreta ou enganosa às autoridades

O escalão superior ultrapassa agora o máximo do RGPD, de 20 milhões de euros ou 4 % do volume de negócios mundial, tornando o regulamento da IA o mais severo dos dois regimes no seu limite.

Ponto essencial: o artigo 99.º, n.º 8, inclui uma regra de «mesma conduta, uma coima» — se um único facto viola simultaneamente o regulamento da IA e outra norma europeia como o RGPD, as autoridades aplicam apenas a mais elevada das duas coimas aplicáveis. Mas essa proteção é mais estreita do que parece. Se um sistema de IA viola as regras de governação de dados do regulamento da IA através de um conjunto de treino enviesado, e viola separadamente os princípios da exatidão ou da minimização do RGPD pela forma como esses mesmos dados foram recolhidos ou conservados, são tratadas como infrações distintas — e podem ser sancionadas em separado.

Juridicamente, isto não é o «ne bis in idem» no sentido que muitas equipas de conformidade assumem. É uma determinação feita infração a infração — e quanto mais entrelaçadas estiverem as práticas de dados do seu sistema de IA com dados pessoais abrangidos pelo RGPD, mais superfície oferece para que essa separação jogue contra si.

O que isto significa na prática

O instinto de tratar o regulamento da IA e o RGPD como duas listas de verificação a percorrer em sequência é neste momento o erro mais caro disponível. Algumas coisas a fazer em vez disso:

1. Cruze as suas AIPD e AIDF em vez de as encomendar separadamente. Se um sistema precisa de ambas, a análise de risco subjacente deve ser uma base partilhada e não dois exercícios desligados que se contradizem em silêncio. Se ainda não tem qualquer processo de AIPD, comece por aí — a AIDF é bem mais difícil de construir sobre o vazio.
2. Confronte os avisos de transparência RGPD existentes com os deveres de informação do regulamento da IA. Cobrem informação diferente, mas um aviso construído apenas para o RGPD dificilmente conterá aquilo que o regulamento da IA agora exige em acréscimo — e isto chega precisamente quando o CEPD fez da transparência dos artigos 12.º a 14.º a sua prioridade de ação coordenada para 2026. Ambos os lados estão a olhar para os mesmos avisos este ano, por razões diferentes.
3. Trate a supervisão humana como um requisito de conceção, não como uma declaração de política. Sob os dois regimes, as autoridades vão pedir prova de que uma pessoa pode intervir de forma significativa, e não apenas que existe alguém nominalmente no circuito. A nossa lista de verificação de supervisão de IA descreve como é essa prova na prática.
4. Ponha já as equipas jurídicas e de documentação técnica a falar entre si. Os requisitos de documentação técnica e de registo do regulamento da IA vão ser cada vez mais a base probatória com que as autoridades avaliam também a conformidade com o RGPD, porque ambos assentam em conseguir demonstrar — e não apenas afirmar — como um sistema trata realmente os dados pessoais.

O contexto sancionatório torna isto urgente, não teórico

Isto não aterra num ambiente calmo.

As coimas do RGPD já ultrapassaram os 7,1 mil milhões de euros acumulados, com mais de 600 milhões aplicados só no primeiro semestre de 2026. As notificações diárias de violação subiram 22 % em termos homólogos, para 443 por dia — a primeira vez que esse número passa das 400 desde que o RGPD entrou em aplicação, em 2018. E a ação sancionatória avançou claramente para lá das grandes tecnológicas: desde janeiro de 2023 foram aplicadas mais coimas a pequenas e médias empresas do que nos cinco anos anteriores juntos.

Junte a essa trajetória um segundo regime sancionatório com um limite mais alto e a mensagem para as equipas de conformidade é direta: o regulamento da IA não acrescentou apenas mais uma norma a acompanhar. Acrescentou um segundo regulador, com a sua própria ideia do que o seu sistema de IA deve às pessoas cujos dados toca — ao mesmo tempo, sobre os mesmos sistemas, muitas vezes sobre os mesmos factos.

Se não tem a certeza de que lado da linha do alto risco caem os seus sistemas, essa é a primeira pergunta a responder: as obrigações acima só mordem dentro do anexo III, mas espera-se que tenha a própria classificação documentada. Marque uma consulta gratuita com a GDPRGard →

Fontes

• Regulamento da IA da UE — artigo 99.º, coimas
• Regulamento da IA da UE — anexo III, sistemas de alto risco
• Comissão Europeia — calendário de aplicação do regulamento da IA
• CMS GDPR Enforcement Tracker
• Comité Europeu para a Proteção de Dados — quadro de ação coordenada

Leia também:

• O adiamento do regulamento da IA não abrange o seu chatbot
• Porque é que todas as empresas SaaS precisam de uma AIPD antes de lançar funcionalidades de IA
• Notícias de IA: o que impulsiona realmente o crescimento empresarial com IA