Artigo 58.º do Regulamento (UE) 2024/1689 — Condições para a criação e funcionamento de sandboxes regulatórias de IA. Texto oficial, interpretação prática, obrigações fundamentais e implicações para a conformidade.
Resumo do Texto Oficial
O Artigo 58.º do Regulamento (UE) 2024/1689 estabelece as condições em que as sandboxes regulatórias de IA devem ser criadas e operadas. Impõe uma obrigação direta aos Estados-Membros de garantir que pelo menos uma sandbox seja criada a nível nacional o mais tardar até 2 de agosto de 2026. A Autoridade Europeia para a Proteção de Dados deve criar uma sandbox para as instituições, órgãos, organismos e agências da União abrangidos pelo âmbito do Regulamento.
O artigo estabelece que as sandboxes devem funcionar com base num plano específico acordado entre o participante e a autoridade competente. A participação é limitada no tempo, como regra geral a doze meses, prorrogável por mais doze meses. A seleção dos participantes deve seguir critérios transparentes e justos; às PME e startups deve ser dada prioridade quando preencham as condições de elegibilidade.
As autoridades competentes devem prestar orientação, supervisão e apoio adequado aos participantes ao longo do período da sandbox. Os participantes continuam sujeitos a todo o direito aplicável da União e nacional durante as atividades na sandbox, incluindo obrigações relativas à segurança, aos direitos fundamentais e à proteção de dados. Os dados pessoais tratados durante as atividades da sandbox devem ser tratados em conformidade com o Regulamento (UE) 2016/679 (RGPD), o Regulamento (UE) 2018/1725 e a Diretiva (UE) 2016/680, e não devem ser utilizados para qualquer finalidade diferente das estabelecidas no plano da sandbox sem autorização explícita.
No final da sandbox, os participantes devem apresentar um relatório final. As autoridades competentes podem publicar um resumo dos resultados, contribuindo para a base de evidências mais ampla sobre a regulação da IA em toda a União.
O que Isto Significa na Prática
O Artigo 58.º tem consequências práticas para uma ampla gama de partes interessadas — reguladores nacionais, inovadores e equipas jurídicas.
Para as autoridades nacionais competentes, o artigo cria uma obrigação vinculativa: em cada Estado-Membro deve existir pelo menos uma sandbox funcional até 2 de agosto de 2026. Os reguladores que ainda não lançaram programas de sandbox devem acelerar o design da governação, a alocação de recursos e a coordenação inter-agências (em particular com as autoridades de proteção de dados). As sandboxes transfronteiriças, que o Artigo 58.º permite expressamente, requerem protocolos de coordenação bilaterais ou multilaterais entre as autoridades nacionais.
Para fornecedores e potenciais fornecedores, a sandbox oferece um caminho estruturado para testar sistemas de IA de alto risco ou inovadores sob supervisão regulatória antes da implementação plena no mercado. Concretamente, uma startup que desenvolve um sistema preditivo de pontuação de risco para decisões de crédito — um sistema provavelmente de alto risco ao abrigo do Annex III — poderia candidatar-se a participar numa sandbox nacional para avaliar a conformidade e aperfeiçoar a documentação técnica antes de as regras de alto risco se tornarem plenamente aplicáveis.
Para as equipas jurídicas e de conformidade, o Artigo 58.º não cria um período de férias de conformidade. Todas as obrigações substantivas ao abrigo de outro direito aplicável permanecem em vigor durante a participação na sandbox. As avaliações de impacto sobre a proteção de dados continuam a ser necessárias onde relevante; as salvaguardas dos direitos fundamentais não podem ser dispensadas. O que a sandbox proporciona é um diálogo regulatório estruturado, feedback supervisório antecipado e um grau de flexibilidade processual — não uma derrogação das regras substantivas.
As organizações que ponderem a participação na sandbox devem envolver-se cedo com a sua autoridade nacional competente, preparar um plano de sandbox detalhado cobrindo objetivos, metodologia, governação de dados e critérios de saída, e documentar todas as decisões e resultados de forma aprofundada, em antecipação à obrigação de relatório final.
Obrigações Fundamentais
- Os Estados-Membros devem criar pelo menos uma sandbox regulatória de IA a nível nacional o mais tardar até 2 de agosto de 2026; a Autoridade Europeia para a Proteção de Dados deve criar uma sandbox para as instituições, órgãos, organismos e agências da União.
- A participação na sandbox deve ser regulada por um plano escrito acordado entre o participante e a autoridade competente, especificando o sistema de IA a ser desenvolvido ou testado, as atividades a realizar, os objetivos, a duração e as disposições de supervisão.
- A duração está limitada a doze meses, prorrogável uma vez por mais doze meses, para uma duração total máxima de vinte e quatro meses; as prorrogações devem ser justificadas e aprovadas pela autoridade competente.
- Os critérios de seleção devem ser transparentes e não discriminatórios; as PME e startups que preencham as condições de elegibilidade devem ser priorizadas, refletindo a intenção política pró-inovação do Título VI.
- Todo o direito aplicável da União e nacional continua a aplicar-se ao longo do período da sandbox, incluindo o RGPD, a legislação setorial específica e os requisitos de segurança; os dados pessoais só podem ser tratados para as finalidades estabelecidas no plano da sandbox.
- Deve ser apresentado um relatório final no final do período da sandbox, documentando as atividades, os resultados, as lições aprendidas e as medidas tomadas ou planeadas para garantir a conformidade antes da colocação no mercado ou da prestação do serviço.
Relação com Outros Artigos
O Artigo 58.º insere-se no Título VI (Medidas de Apoio à Inovação) e deve ser lido em conjunto com as disposições envolventes desse título. O Artigo 57.º define o que é uma sandbox regulatória de IA e estabelece a obrigação geral de enquadramento, constituindo a base sobre a qual o Artigo 58.º constrói as suas condições operacionais. O Artigo 59.º aborda o regime específico aplicável ao tratamento de dados pessoais nas sandboxes, fornecendo a interface de proteção de dados que o Artigo 58.º exige mas não detalha por si mesmo. O Artigo 60.º estende disposições análogas de teste a condições do mundo real fora das sandboxes para certos sistemas de IA de alto risco.
Para além do Título VI, o Artigo 58.º liga-se às obrigações dos fornecedores de sistemas de IA de alto risco ao abrigo do Título III, uma vez que a participação na sandbox é mais relevante precisamente para sistemas que podem enquadrar-se nas classificações do Annex III. Também interage com o Artigo 74.º (vigilância do mercado) e o Artigo 70.º (confidencialidade), uma vez que as autoridades competentes exercem poderes de supervisão na sandbox e tratam informações comercialmente sensíveis partilhadas pelos participantes.
Calendário de Conformidade
O Regulamento Europeu da IA entrou em vigor em 1 de agosto de 2024, desencadeando um calendário de aplicação faseado. As datas-chave relevantes para o Artigo 58.º são:
- 1 de agosto de 2024 — O Regulamento entra em vigor; todas as disposições iniciam a sua contagem decrescente para aplicação.
- 2 de fevereiro de 2025 — As proibições sobre práticas de IA de risco inaceitável (Artigo 5.º) tornam-se aplicáveis.
- 2 de agosto de 2025 — As obrigações relativas a modelos GPAI (Título VIII) e as disposições de governação tornam-se aplicáveis.
- 2 de agosto de 2026 — O Artigo 58.º torna-se plenamente aplicável: os Estados-Membros devem ter criado pelo menos uma sandbox regulatória de IA nacional operacional até esta data. A sandbox da Autoridade Europeia para a Proteção de Dados para as instituições da União deve também estar operacional.
- 2 de dezembro de 2026 / 2 de agosto de 2027 — As obrigações relativas aos sistemas de IA de alto risco ao abrigo do Annex III (e do Annex I para sistemas integrados) tornam-se plenamente aplicáveis — o período para o qual a participação na sandbox é mais estrategicamente relevante para os fornecedores que desenvolvem sistemas de alto risco.
As organizações e as autoridades nacionais devem tratar 2 de agosto de 2026 como um prazo firme para a prontidão da sandbox, não como um objetivo a planear no último momento.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Uma sandbox regulatória de IA é um ambiente controlado criado por uma ou mais autoridades nacionais competentes que permite aos fornecedores e potenciais fornecedores desenvolver, treinar, testar e validar sistemas de IA inovadores sob supervisão regulatória antes de os colocar no mercado ou de os pôr em serviço.
A participação está aberta a fornecedores e potenciais fornecedores de sistemas de IA, incluindo PME e startups. Os critérios de seleção devem ser transparentes, e as autoridades nacionais competentes devem dar prioridade aos requerentes que sejam PME ou startups, desde que preencham as condições de elegibilidade estabelecidas no Artigo 58.º.
Não. A participação numa sandbox não isenta os fornecedores das suas obrigações de responsabilidade ao abrigo do Regulamento da IA ou de outro direito aplicável da União ou nacional. No entanto, as autoridades competentes podem exercer os seus poderes de supervisão com alguma flexibilidade durante o período da sandbox, desde que a proteção da segurança pública e dos direitos fundamentais seja mantida.
O período da sandbox é limitado no tempo. Como regra geral, a participação tem a duração de doze meses e pode ser prorrogada uma vez por um período adicional de doze meses, dando uma duração total máxima de vinte e quatro meses.
Sim. O Artigo 58.º prevê expressamente a possibilidade de sandboxes conjuntas com a participação das autoridades competentes de dois ou mais Estados-Membros, apoiando a inovação transfronteiriça e a aplicação coerente das regras no mercado único.
No final da sandbox, os participantes devem apresentar um relatório à autoridade competente descrevendo os resultados das atividades realizadas, as lições aprendidas e, quando relevante, as medidas tomadas para garantir a conformidade antes da colocação no mercado. A autoridade competente pode publicar um resumo desses resultados.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.