AI Act: chegou a hora da aplicação — o que muda concretamente desde 2 de agosto

Desde 2 de agosto de 2026, o AI Act deixou de ser um horizonte: o Bureau europeu da IA e as autoridades nacionais competentes começaram a aplicar o regulamento, com as obrigações que recaem sobre os sistemas de alto risco na mira. O texto aplicado não é, contudo, exatamente o adotado em 2024: o regulamento «omnibus IA», proposto em novembro de 2025 no âmbito do pacote de simplificação digital, foi adotado em junho de 2026 e entrou em vigor a 27 de julho — cinco dias antes do prazo. Clarificações de âmbito, aligeiramentos documentais, prazos ajustados para certas categorias: a Comissão manifestou a sua vontade de uma aplicação legível e propícia à inovação, acompanhada de uma série de orientações.

O que é realmente exigível hoje

Concretamente, três blocos de obrigações estruturam este período. As práticas proibidas, primeiro, aplicáveis há muito. As obrigações dos fornecedores de modelos de uso geral, depois: documentação técnica, política de respeito pelos direitos de autor, resumo dos dados de treino — com um regime reforçado para os modelos que apresentam um risco sistémico. Os sistemas de alto risco, por fim, cujo regime completo (gestão de riscos, governação dos dados, supervisão humana, robustez, registo) entra na sua fase de aplicação efetiva. Para um editor B2B, a questão prática é quase sempre a mesma: o meu componente de IA torna o meu produto «de alto risco» na aceção do anexo III — e, se não, que obrigações de transparência me restam?

O verdadeiro tema: a acumulação NIS2, CRA, RGPD, AI Act

Tomado isoladamente, cada quadro é gerível. O problema dos editores europeus é a acumulação. Um mesmo produto de software pode estar abrangido pela NIS2 (porque o seu cliente é uma entidade essencial), pelo Cyber Resilience Act (porque é um produto com elementos digitais, com exigências de segurança desde a conceção e de gestão de vulnerabilidades), pelo RGPD (porque trata dados pessoais) e pelo AI Act (porque integra um componente de aprendizagem). Quatro lógicas de documentação, três regimes de notificação de incidentes, autoridades distintas. A única estratégia sustentável é a fábrica de conformidade unificada: uma base única de gestão de riscos, de SBOM, de registo e de tratamento de vulnerabilidades, depois declinada para cada quadro — em vez de quatro estaleiros paralelos que esgotariam qualquer equipa.

Uma restrição que pode tornar-se um argumento

Há, no entanto, uma leitura ofensiva. Os clientes — operadores regulados, setor público, industriais — vão transferir as suas próprias obrigações para os seus fornecedores, por contrato. O editor capaz de fornecer a documentação AI Act, o SBOM exigido pelo CRA, as garantias RGPD e os compromissos NIS2 no processo de concurso transformará um custo regulamentar numa vantagem competitiva face aos atores extraeuropeus que descobrirão estas exigências nas perguntas dos compradores. A conformidade europeia, se for industrializada cedo, é uma barreira à entrada que protege quem a transpôs.

O AI Act entra na idade da jurisprudência: os próximos meses dirão se a aplicação é tão pragmática quanto prometido. Mas esperar para começar seria um contrassenso — a vantagem irá para quem tiver transformado a acumulação regulamentar em processo, enquanto os seus concorrentes a vivem como uma avalanche.