RGPD e governação da IA em 2026: metade da reforma já é lei. A outra está encravada.

Se a sua empresa passou os últimos anos a construir um programa de RGPD, 2026 é o ano em que o chão voltou a mexer-se. Entre o Digital Omnibus da Comissão Europeia e uma reescrita substancial do calendário do regulamento europeu da IA, o conjunto de regras que as PME europeias tanto trabalharam para aprender está a ser redesenhado em tempo real.

Há, porém, uma coisa que quase todos os resumos erram, e que lhe sairá cara se planear com base nela. O Digital Omnibus não é uma só lei. São dois processos distintos a avançar a velocidades completamente diferentes — e apenas um deles chegou mesmo.

O Digital Omnibus são dois processos, não um

Quando a Comissão publicou o pacote Digital Omnibus a 19 de novembro de 2025, dividiu o trabalho em dois:

• O AI Omnibus — as alterações ao regulamento europeu da IA. Esta parte está concluída. O Conselho deu a aprovação final a 29 de junho de 2026, o texto foi publicado no Jornal Oficial a 24 de julho de 2026 e entrou em vigor a 27 de julho de 2026. Os prazos abaixo são direito em vigor, não propostas.
• O Data Omnibus — as alterações ao RGPD, à diretiva ePrivacy, à NIS2 e ao Data Act. Esta parte continua em negociação, e várias das suas disposições mais faladas foram eliminadas do próprio texto de trabalho do Conselho em junho de 2026.

Quase todos os artigos sobre «o que muda no RGPD» que vai ler confundem os dois. A consequência prática é real: há empresas a adiar trabalho do regulamento da IA que está efetivamente adiado (bem), enquanto planeiam refazer os banners de cookies em torno de um mecanismo que neste momento nem sequer consta do texto (mal).

O que já é lei: os prazos do regulamento da IA que mudaram

Se usa ou implementa IA em recrutamento, avaliação de crédito, educação, serviços essenciais ou contextos semelhantes, tinha os olhos postos no 2 de agosto de 2026. Esse prazo desapareceu.

Os sistemas de risco elevado autónomos do anexo III — ferramentas de recrutamento e gestão de trabalhadores, avaliação da solvabilidade, acesso a serviços públicos e privados essenciais, categorização biométrica, classificação no ensino — têm agora até 2 de dezembro de 2027. São 16 meses adicionais, concedidos em grande parte porque as normas técnicas harmonizadas que deviam tornar a conformidade alcançável chegaram tarde.

A IA integrada em produtos regulados ao abrigo do anexo I passa para 2 de agosto de 2028. Os sistemas de IA utilizados por autoridades públicas têm até 2 de agosto de 2030, independentemente da categoria.

A par do adiamento veio simplificação a sério, e dois pontos interessam às organizações mais pequenas:

• A definição de «componente de segurança» foi estreitada. Um componente só arrasta um sistema para o risco elevado se a sua finalidade prevista for prevenir ou atenuar riscos para a saúde e a segurança. A IA usada apenas para apoiar o utilizador, otimizar desempenho ou dar comodidade fica de fora. Um motor de recomendação que ajusta o ritmo de uma linha de produção já não é abrangido por defeito.
• A literacia em IA passou de garantia a esforço. O artigo 4.º exigia antes que assegurasse um nível suficiente de literacia em IA entre o pessoal. Agora tem de apoiar o seu desenvolvimento. É uma diferença real para uma empresa de doze pessoas sem departamento de formação — note, porém, que a obrigação em si aplica-se desde fevereiro de 2025 e não desapareceu.

Existe também uma nova categoria de «pequenas empresas de média capitalização» — menos de 750 trabalhadores e 150 M€ de volume de negócios — com acesso a modelos de conformidade simplificados e aos ambientes de testagem regulamentar. Se está entre o limiar de PME e esse teto, é a primeira vez que o regulamento da IA lhe oferece alguma coisa.

O que não mudou — e uma nova proibição sem qualquer período de adaptação

O adiamento é mais estreito do que os títulos sugerem. Três coisas ficaram exatamente onde estavam:

1. Os deveres de transparência do artigo 50.º aplicaram-se mesmo a partir de 2 de agosto de 2026. Se o seu chatbot fala com clientes, ou se gera conteúdos sintéticos, as pessoas têm de ser informadas. Isto nunca fez parte do pacote de risco elevado. A única cedência: os fornecedores de sistemas de IA generativa já no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para os requisitos de marcação legível por máquina do artigo 50.º, n.º 2.
2. As proibições do artigo 5.º mantêm-se em vigor — aplicam-se desde fevereiro de 2025.
3. Duas novas proibições produzem efeitos a 2 de dezembro de 2026, sem qualquer período transitório. Os sistemas de IA que geram ou manipulam material de abuso sexual de crianças, e os que geram imagens íntimas realistas de uma pessoa identificável sem o seu consentimento explícito, ficam totalmente proibidos.

Essa segunda proibição é mais ampla do que parece à primeira vista, e é a que com maior probabilidade apanha uma empresa comum desprevenida. Não visa apenas as aplicações «nudifier» feitas para isso. Alcança fornecedores de modelos generativos de imagem, vídeo e áudio de finalidade geral quando esse resultado é razoavelmente previsível e reproduzível e o fornecedor não implementou salvaguardas razoáveis. Se constrói sobre um modelo generativo e o expõe a utilizadores, vale a pena perguntar por escrito ao seu fornecedor de quem são as salvaguardas.

A metade do RGPD: ainda uma proposta, e em parte encravada

Passemos à parte que não está decidida, e onde planear com antecedência é genuinamente arriscado.

O Data Omnibus propunha várias alterações que fariam muita diferença para as PME. A isenção do registo de atividades do artigo 30.º, n.º 5, subiria de menos de 250 para menos de 750 trabalhadores, sujeita a limites financeiros, e a exclusão automática sempre que há tratamento de categorias especiais de dados seria substituída por um critério baseado no risco. Essa peça tem apoio institucional e é a que mais provavelmente sobreviverá perto da forma atual.

O resto é outra história:

• A reforma do consentimento de cookies está fora do texto de trabalho do Conselho. O botão de recusa com um clique, a moratória de seis meses após uma recusa e os sinais de preferência ao nível do navegador foram todos eliminados do texto de compromisso da presidência em junho de 2026, depois de os Estados-Membros não terem chegado a acordo. Nem esse texto reduzido reuniu maioria qualificada.
• O esclarecimento sobre o interesse legítimo para a IA foi com ele. A redação que confirmava expressamente que o artigo 6.º, n.º 1, alínea f) pode sustentar o treino de IA foi removida na mesma ronda. As organizações que se apoiam no interesse legítimo para tratamentos de IA estão exatamente onde estavam em novembro de 2025: funciona se a ponderação for mesmo feita e documentada, e continua a não haver uma disposição expressa que o diga.
• Estreitar a definição de dado pessoal gerou a maior oposição de todas. No seu Parecer Conjunto 2/2026, de 10 de fevereiro de 2026, o CEPD e a AEPD instaram os colegisladores a não o adotarem, avisando que vai muito além de uma alteração pontual ou técnica e enfraqueceria jurisprudência consolidada.

As propostas operacionais — alargar a notificação de violações de 72 para 96 horas, harmonizar as orientações sobre AIPD entre Estados-Membros — continuam em cima da mesa, mas por resolver. O CEPD e a AEPD mostraram-se mais recetivos a estas, insistindo porém que sejam autoridades independentes, e não a Comissão, a dominar o detalhe técnico, como os formulários de notificação e a metodologia das AIPD.

O resumo honesto para uma PME: nada da metade do RGPD é algo sobre o qual já possa construir. O próprio estudo de impacto do Parlamento estava previsto para outubro de 2026, e uma adoção final antes do fim de 2026 parece improvável — o que faz da implementação real um assunto de 2027, na melhor das hipóteses.

Tratámos esta metade em detalhe em Por dentro do Digital Omnibus da UE, incluindo que artigos foram eliminados e quando.

Onde está realmente o risco financeiro

Um prazo adiado não é um risco adiado. O regime sancionatório do regulamento da IA previsto no artigo 99.º mantém-se inalterado, e soma-se ao RGPD em vez de o substituir:

• Até 35 M€ ou 7% do volume de negócios anual mundial para práticas proibidas do artigo 5.º — o escalão onde caem as duas novas proibições de dezembro de 2026
• Até 15 M€ ou 3% por violação das obrigações de fornecedores, responsáveis pela implementação, importadores e distribuidores — incluindo os deveres da cadeia de valor do artigo 25.º, que cobrem o que tem de circular entre si e os seus parceiros
• Até 7,5 M€ ou 1% por prestar informações incorretas ou enganosas às autoridades

É o escalão intermédio que a maioria das PME devia mesmo ter em mente, e é aí que os fornecedores externos de IA passam a ser problema seu. Se implementa o modelo de outra pessoa, o artigo 25.º rege que informação tem de passar entre ambos — e «a conformidade é tratada pelo nosso fornecedor» não é uma posição documentada. É um pressuposto. Peça a documentação técnica, a declaração de finalidade prevista e as instruções de utilização, e guarde-as.

Entretanto, a aplicação do RGPD não parou por causa de nada disto. As coimas acumuladas ultrapassaram os 7,1 mil milhões de euros, as notificações diárias de violações estão acima de 400 pela primeira vez desde 2018, e a fiscalização deixou as grandes tecnológicas para trás há anos — desde janeiro de 2023 caíram mais coimas sobre pequenas e médias empresas do que nos cinco anos anteriores.

O que fazer daqui até dezembro de 2027

Dezasseis meses extra não são dezasseis meses de nada. São tempo para fazer o trabalho como deve ser, em vez de à pressa. Por ordem de prioridade:

1. Faça o inventário da sua IA, incluindo as ferramentas que ninguém aprovou. Não pode classificar o que não listou. A IA-sombra — a ferramenta de transcrição que uma equipa subscreveu, o modelo onde alguém colou dados de clientes — é onde vive realmente a exposição de uma PME, e é invisível num organigrama.
2. Classifique cada sistema face ao anexo III e documente o raciocínio, mesmo quando a resposta for «não é de risco elevado». A própria classificação é algo que se espera que consiga mostrar. A definição mais estreita de componente de segurança faz com que alguns sistemas que pareciam abrangidos em 2025 fiquem agora de fora — escreva porquê.
3. Ponha já no calendário as datas de dezembro de 2026. As novas proibições do artigo 5.º e as regras de marcação de conteúdos sintéticos do artigo 50.º, n.º 2, chegam sem balanço. Se gera ou manipula imagens, vídeo ou áudio de alguma forma virada para o cliente, isso é uma questão deste trimestre, não de 2027.
4. Obtenha por escrito a documentação dos fornecedores antes de precisar dela. As obrigações do artigo 25.º não esperam pelo prazo do risco elevado, e os fornecedores em melhor posição para responder vão ficar mais lentos à medida que dezembro de 2027 se aproxima, não mais rápidos.
5. Torne real o seu processo de AIPD, porque a AIDF assenta nele. Uma avaliação de impacto sobre os direitos fundamentais é bem mais difícil de construir sobre alicerces vazios. Se não tem um processo de AIPD a funcionar, comece por aí.
6. Deixe o banner de cookies em paz — exceto a parte que já é exigível. Não reconstrua nada em torno da recusa com um clique ou dos sinais do navegador: ambos estão hoje eliminados do texto em negociação. Garanta, isso sim, que «recusar» é tão fácil de encontrar e clicar como «aceitar», porque essa é uma expectativa das autoridades sobre padrões enganadores ao abrigo do RGPD tal como está hoje, com Omnibus ou sem ele.
7. Mantenha em ordem os registos do artigo 30.º e limite-se a anotar onde ficaria se o limiar dos 750 trabalhadores sobreviver. Não desmonte nada com base numa proposta.

Conclusão

A conformidade está a ficar mais simples nuns pontos e mais exigente noutros, e sairão à frente as empresas que acompanham ambos os movimentos em vez de escolherem a metade que preferem.

A metade da IA está fechada: datas reais, alívio real e novas proibições bem reais a chegar em dezembro sem período de adaptação. A metade do RGPD está inacabada e em parte encravada — o que significa que quem lhe vender uma revisão urgente do banner de cookies «por causa do Omnibus» está a vender-lhe a reconstrução de algo que neste momento não existe no texto.

Se não tem a certeza de que lado da linha do anexo III ficam os seus sistemas, ou se a sua documentação de RGPD sobreviveria ao primeiro contacto com uma autoridade, essa é a pergunta que vale a pena responder primeiro. Marque uma consulta gratuita com a GDPRGard →

Fontes

• Parecer Conjunto 2/2026 do CEPD e da AEPD sobre o Digital Omnibus (10 de fevereiro de 2026, em inglês)
• CEPD — Digital Omnibus: apoio à simplificação, com reservas de fundo (em inglês)
• Regulamento da IA — artigo 99.º, sanções (em inglês)
• Regulamento da IA — anexo III, sistemas de IA de risco elevado (em inglês)
• Comissão Europeia — calendário de aplicação do regulamento da IA (em inglês)
• CMS GDPR Enforcement Tracker (em inglês)

Leia também:

• Digital Omnibus da UE: o que muda no RGPD, e o que ficou encravado
• O adiamento do regulamento da IA não cobre o seu chatbot
• Porque toda a empresa SaaS precisa de uma AIPD antes de lançar funcionalidades de IA