O EU AI Act, o Regulamento (UE) 2024/1689, é muitas vezes discutido como se fosse um único prazo futuro. Não é. Aplica-se por fases, e duas dessas fases já chegaram. Para uma empresa SaaS europeia, as partes que importam hoje são o artigo 4.º, sobre literacia em IA, e o artigo 50.º, sobre transparência.
Ambos são mais práticos do que técnicos. Ambos precisam de alguém responsável por eles, e ambos são fáceis de ignorar simplesmente porque ninguém reparou em quanta IA já é utilizada em toda a empresa.
Uma nota antes dos pormenores: este artigo explica o que as regras dizem e como as empresas costumam responder-lhes. Não constitui aconselhamento jurídico. Para decisões específicas da sua empresa, consulte um advogado.
O que exigem os artigos 4.º e 50.º do EU AI Act a uma empresa SaaS?
O artigo 4.º, aplicável desde 2 de fevereiro de 2025, pede às empresas que tomem medidas para que as pessoas que utilizam IA tenham literacia em IA suficiente; basta um registo interno da formação. O artigo 50.º, aplicável desde agosto de 2026, exige que a IA que interage com pessoas indique que é IA, a menos que isso seja óbvio, e que os deep fakes sejam divulgados como tal.
Nenhum deles exige um certificado ou um novo departamento. Na prática, o que exigem é consciência, um registo e uma rotulagem honesta.
Artigo 4.º: literacia em IA, na prática
O artigo 4.º aplica-se desde 2 de fevereiro de 2025, e as autoridades nacionais supervisionam o AI Act desde agosto de 2026. Pede às empresas que tomem medidas para que as pessoas que trabalham com IA em seu nome a compreendam o suficiente para a utilizar corretamente: em que é boa, onde falha e que dados nunca devem entrar nela.
Há dois pontos frequentemente mal compreendidos. Primeiro, não é exigido nenhum certificado. Não há um curso oficial para comprar nem um exame para fazer. Segundo, basta um registo interno: que formação e orientações foram dadas, a quem e quando.
Para uma empresa SaaS, a parte difícil não é a formação. É saber onde a IA é efetivamente utilizada. O Work Trend Index 2024 da Microsoft e do LinkedIn concluiu que 75% dos trabalhadores do conhecimento utilizam IA generativa no trabalho e que 78% dos utilizadores de IA trazem as suas próprias ferramentas. Numa empresa SaaS típica, isso significa agentes de suporte a redigir respostas, comerciais a escrever mensagens de prospeção, engenheiros a usar assistentes de programação e a equipa financeira a colar números numa janela de chat, muitas vezes sem ferramenta aprovada e sem orientações.
Uma abordagem exequível tem três passos:
- Inventário. Listar as ferramentas de IA em uso, aprovadas ou não, quem as utiliza e que dados da empresa ou dos clientes entram nelas.
- Orientações por função. Orientações curtas e específicas para cada equipa: para que podem ser usadas as ferramentas, que dados devem ficar de fora e como verificar o resultado. Uma equipa de suporte e uma equipa financeira precisam de regras diferentes.
- Um registo. Um registo datado de quem recebeu que orientações ou formação, atualizado quando as ferramentas ou as funções mudam.
Isto é também boa gestão operacional, com ou sem lei. Uma empresa que sabe para onde vão os seus dados é uma empresa que consegue responder com honestidade ao questionário de segurança de um cliente.
Artigo 50.º: dizer às pessoas que estão a falar com IA
O artigo 50.º aplica-se desde agosto de 2026. O essencial é simples: um sistema de IA que interage com pessoas tem de deixar claro que é IA, a menos que isso seja óbvio pelo contexto. Os deep fakes, ou seja, imagens, áudio ou vídeo gerados por IA que possam passar por reais, têm de ser divulgados como tal.
Para uma empresa SaaS, os pontos a verificar são normalmente:
- O assistente dentro do produto. Um assistente in-app que responde aos utilizadores deve indicar que é IA.
- Chat do site, de vendas e de suporte. Um chat que responde a clientes ou potenciais clientes precisa de uma indicação clara de que as respostas vêm de IA.
- Voz e vídeo. Uma voz de IA numa chamada, ou um apresentador gerado por IA num vídeo de produto ou num anúncio, tem de ser divulgado como tal.
A divulgação é mais uma tarefa de design do que jurídica: uma linha na janela de chat, uma etiqueta na interface, uma frase no início de uma chamada. Sai mais barata quando faz parte do design desde o início. O mesmo raciocínio aplica-se aos agentes internos: o NordOps AI Agent foi construído para as regras europeias, com cada pergunta e ação registadas.
O que ainda não se aplica
Grande parte da atenção em torno do regulamento vai para a IA de alto risco, e para a maioria das empresas SaaS essa parte ainda está por vir:
- 2 de dezembro de 2027: passam a aplicar-se as regras para as áreas de alto risco enumeradas no Anexo III, como a IA usada no recrutamento.
- 2 de agosto de 2028: passam a aplicar-se as regras para a IA integrada em produtos regulamentados.
Estas datas resultam da alteração de 2026 ao regulamento, que entrou em vigor a 27 de julho de 2026. Uma empresa SaaS cujo produto seja utilizado no recrutamento, ou noutra área do Anexo III, deve aproveitar o tempo para se preparar em vez de esperar. Para todas as outras, a prioridade são os dois artigos que já se aplicam.
Uma checklist prática para este trimestre
- Nomear um único responsável pela IA na empresa, com tempo para fazer o trabalho.
- Concluir um inventário da IA em uso, incluindo as ferramentas que as próprias pessoas trouxeram.
- Escrever orientações curtas para cada equipa e registar quem as recebeu.
- Verificar todos os pontos em que a IA fala com clientes, potenciais clientes ou o público, e acrescentar uma indicação clara onde ela falte.
- Verificar os conteúdos de marketing quanto a pessoas ou vozes geradas por IA, e rotulá-los.
- Se o seu produto for utilizado no recrutamento ou noutra área do Anexo III, começar a planear para dezembro de 2027.
Nada disto torna o Chief AI Officer uma exigência legal; é um cargo, não uma obrigação. Mas o trabalho precisa de um responsável e, na maioria das empresas em crescimento, ainda não tem nenhum. Isso faz parte do que um Chief AI Officer fracionado assume, e o nosso AI Snapshot começa exatamente por este inventário e pela verificação da literacia e da transparência.
Fonte: Regulamento (UE) 2024/1689, artigos 4.º, 50.º e 113.º, na redação alterada em 2026. Este artigo informa; não constitui aconselhamento jurídico.