O Regulamento de IA da UE aplica-se oficialmente, mas com uma ressalva

No início de agosto de 2026, o Regulamento de Inteligência Artificial da União Europeia deixou de ser um projeto de lei pendente e tornou-se um corpo normativo que as empresas têm efetivamente de cumprir. O mais recente resumo de proteção de dados da TechGDPR assinala este marco, referindo que o regulamento se tornou aplicável, enquanto as suas regras para os sistemas de IA de alto risco permanecem temporariamente excluídas. Para quem acompanha a forma como a regulação da IA se cruza com a privacidade de dados, este é um momento relevante: a lei está tecnicamente em vigor, mas um dos seus capítulos mais importantes está suspenso.

O Regulamento de IA foi concebido com base num modelo assente no risco. Os sistemas são classificados em categorias, desde risco mínimo até risco inaceitável, e as obrigações aumentam proporcionalmente. A IA de alto risco — pensemos em sistemas usados no recrutamento, na pontuação de crédito, na aplicação da lei ou em diagnósticos médicos — sempre se destinou a suportar o maior ónus de conformidade: avaliações de conformidade, requisitos de supervisão humana e documentação detalhada. O adiamento destas obrigações específicas, mesmo com a entrada em vigor da lei mais ampla, diz-nos algo sobre a dificuldade que reguladores e indústria tiveram em acordar calendários de implementação para as disposições mais exigentes.

Por que razão as regras da IA de alto risco estão suspensas

O adiamento não é um sinal de que os reguladores aligeiraram a sua posição quanto à supervisão da IA. Pelo contrário, reflete a realidade prática de lançar uma lei desta complexidade. Os organismos de normalização, os reguladores nacionais e a Comissão Europeia precisaram todos de mais tempo para finalizar as especificações técnicas que os fornecedores de IA de alto risco seriam obrigados a cumprir. Em vez de forçar as empresas a obedecer a regras que ainda não estavam totalmente definidas, as obrigações associadas aos sistemas de alto risco foram adiadas, enquanto o resto do regulamento, incluindo disposições sobre práticas proibidas e literacia em IA, avançou dentro do prazo.

Esta aplicação faseada é especialmente importante para os profissionais de proteção de dados. Muitos casos de uso de IA de alto risco — identificação biométrica, decisões automatizadas no emprego ou na concessão de crédito — implicam um tratamento substancial de dados pessoais. Quando o prazo de conformidade para esses sistemas é adiado, cria-se uma lacuna temporária em que as salvaguardas específicas da IA ainda não são exigíveis, embora as obrigações do RGPD relativas às mesmas atividades de tratamento de dados pessoais permaneçam plenamente em vigor. As organizações não podem encarar o adiamento como um passe livre para a conformidade com a privacidade em sentido lato, mas apenas como um adiamento da camada adicional de requisitos do Regulamento de IA para as categorias de alto risco.

A ligação ao RGPD: a privacidade continua em cima da mesa

Um dos aspetos mais úteis a compreender sobre o Regulamento de IA é que este não substitui o RGPD, coexiste com ele. Qualquer sistema de IA que trate dados pessoais, seja classificado como de alto risco ou não, continua a ter de cumprir a lei de proteção de dados existente: base legal para o tratamento, transparência para com os titulares dos dados e salvaguardas contra utilizações indevidas. O Regulamento de IA acrescenta regras setoriais e específicas ao risco por cima dessa fundação.

Esta abordagem em duas vias não é exclusiva da UE. Regimes de proteção de dados em todo o mundo estão a enfrentar questões semelhantes sobre como regular novas tecnologias sem deixar lacunas na supervisão. O regulador das telecomunicações do Zimbabué, por exemplo, prepara-se para aplicar ativamente a sua própria lei de proteção de dados a partir de setembro de 2026, uma mudança abordada no nosso artigo sobre os planos de fiscalização da POTRAZ. Noutro contexto, propostas como o plano da África do Sul para associar o registo de cartões SIM móveis à identidade digital levantaram preocupações semelhantes sobre a forma como os dados pessoais são utilizados depois de recolhidos, tema que explorámos na nossa cobertura do debate sobre a ligação SIM‑identidade na África do Sul. Regiões diferentes, mecanismos diferentes, mas a mesma tensão subjacente: a tecnologia avança mais depressa do que as regras que a pretendem governar.

O que isto significa para si

Se for um consumidor, o impacto prático imediato é limitado. As disposições de alto risco do Regulamento de IA da UE sempre visaram as empresas e os organismos públicos que implantam sistemas de IA, não os utilizadores individuais. Mas a implementação mais ampla merece atenção, pois sinaliza a seriedade com que os reguladores encaram o tratamento de dados baseado em IA e quanto trabalho ainda é necessário até essas proteções estarem plenamente operacionais.

Se trabalha numa empresa que cria ou utiliza ferramentas de IA que abrangem utilizadores da UE, o adiamento das obrigações de alto risco não significa que possa esperar para se preparar. Os reguladores deixaram claro que o adiamento diz respeito ao calendário de implementação, não a uma mudança de rumo. Antecipar a documentação, as avaliações de risco e a governação de dados desde já será importante quando os prazos para o alto risco entrarem em vigor.

Pontos essenciais

  • O Regulamento de IA da UE tornou-se aplicável em agosto de 2026, mas as obrigações para sistemas de IA de alto risco foram temporariamente excluídas enquanto se aguardam as especificações técnicas finais.
  • As obrigações do RGPD continuam a aplicar-se na totalidade, independentemente da implementação faseada do Regulamento de IA, pelo que o tratamento de dados pessoais ligado a sistemas de IA continua a exigir uma base legal e transparência.
  • As empresas que implantam IA na UE devem encarar o adiamento como uma janela de planeamento, não como uma isenção de conformidade, e continuar a preparar-se para os futuros requisitos de alto risco.
  • Observar a forma como outras jurisdições, do Zimbabué à África do Sul, lidam com a aplicação da proteção de dados oferece um contexto útil sobre como o ímpeto regulatório global em torno dos dados pessoais está a aumentar em paralelo com as regras específicas da IA.