Omnibus do Regulamento IA 2026: Novos Prazos de Conformidade Explicados

O Omnibus Digital 2026 sobre IA prorrogou dois prazos críticos do Regulamento IA: os sistemas autónomos de alto risco do Anexo III para 2 de dezembro de 2027 e os sistemas incorporados do Anexo I para 2 de agosto de 2028. Aqui está o que mudou, porquê e o que o seu programa de conformidade deve fazer agora.

O que o Omnibus Digital 2026 sobre IA altera

O Omnibus Digital sobre IA alterou duas datas centrais de aplicação do Regulamento (UE) 2024/1689 (o Regulamento IA da UE):

Não foram modificados outros prazos principais. As práticas proibidas (2 de fevereiro de 2025), as regras GPAI (2 de agosto de 2025) e as obrigações de transparência para a marcação de conteúdo GPAI (2 de agosto de 2025) mantêm-se em vigor nas suas datas originais.

Por que razão o Omnibus diferiu os prazos de IA de alto risco

A Comissão Europeia citou três fatores:

1. Alinhamento com atos de execução — as normas técnicas e as normas harmonizadas para a avaliação de IA de alto risco (programa de trabalho CEN/CENELEC) não foram finalizadas a tempo de agosto de 2026. As avaliações de conformidade requerem estas normas.
2. Lacuna na infraestrutura de conformidade — os organismos notificados, as autoridades nacionais competentes e o Gabinete de IA da UE necessitavam de tempo adicional de configuração. Sem uma infraestrutura de execução operacional, um prazo de agosto de 2026 seria inexequível na prática.
3. Prontidão das PME — os fornecedores de menor dimensão, especialmente em medtech, tecnologia de RH e serviços financeiros, referiram tempo insuficiente para concluir a implementação do SGQ e a documentação técnica em paralelo com as obrigações do DORA e da NIS2.

A prorrogação é um período de graça, não uma redução do âmbito. Todas as obrigações mantêm-se; apenas o seu calendário é alterado.

Anexo III — IA autónoma de alto risco (prazo: 2 de dezembro de 2027)

O Anexo III autónomo abrange os sistemas de IA que são eles próprios colocados no mercado ou colocados em serviço como sistemas de alto risco, sem serem componentes de segurança de outro produto. Exemplos:

• IA de recrutamento e triagem de RH (classificação de CVs, análise de entrevistas)
• IA de pontuação de crédito e avaliação da solvabilidade
• Categorização biométrica (não identificação em tempo real, que é proibida)
• IA utilizada na gestão de infraestruturas críticas
• IA na avaliação educacional e de formação profissional
• IA utilizada pelas autoridades de aplicação da lei e de migração

Obrigações do fornecedor até 2 de dezembro de 2027:

1. Concluir uma avaliação de conformidade ao abrigo do Art.º 43
2. Implementar um sistema de gestão da qualidade (Art.º 17)
3. Compilar a documentação técnica (Art.º 11 + Anexo IV)
4. Registar o sistema na base de dados de IA da UE (Art.º 71)
5. Apor a marcação CE (Art.º 48)
6. Nomear um representante na UE se estabelecido fora da UE

Obrigações do utilizador final (também até 2 de dezembro de 2027):

1. Realizar uma Avaliação de Impacto sobre os Direitos Fundamentais (AIDF) para utilizadores finais de organismos públicos
2. Implementar medidas de supervisão humana (Art.º 26)
3. Documentar entradas e saídas (Art.º 26(6))
4. Informar os trabalhadores quando as decisões assistidas por IA os afetam

Anexo I — IA de alto risco incorporada (prazo: 2 de agosto de 2028)

O Anexo I incorporado abrange a IA que forma um componente de segurança de um produto já regulamentado ao abrigo da legislação europeia existente de segurança de produtos. A conformidade com o Regulamento IA é integrada no procedimento de avaliação de conformidade existente para esse produto. Exemplos:

• Componentes de IA em dispositivos médicos (MDR/IVDR)
• IA em sistemas automóveis (quadros de homologação)
• IA em máquinas (Regulamento Máquinas)
• IA em componentes de aviação
• IA em brinquedos e produtos de consumo (baixa tensão/CEM)

A prorrogação adicional de dois anos (face a 16 meses para o Anexo III) reflete a complexidade em camadas da avaliação de conformidade em dois regimes regulatórios simultaneamente.

O que mudou é o prazo — não as obrigações

Uma interpretação frequente e errada do Omnibus: a prorrogação do prazo significa que as obrigações são atenuadas. Não são.

Os requisitos de avaliação de conformidade, SGQ, documentação técnica, marcação CE e registo são idênticos ao que era exigido em agosto de 2026. O Omnibus não reduz o âmbito, não cria isenções nem acrescenta derrogações transitórias. Move a linha de chegada.

Implicação prática: as organizações que utilizem a prorrogação como pretexto para pausar os programas de conformidade enfrentarão uma pressão maior no final de 2027. A utilização mais produtiva do tempo adicional é concluir a implementação do SGQ, testar a documentação técnica face a normas harmonizadas em projeto e contactar os organismos notificados cedo — a sua capacidade estará condicionada à medida que o prazo de dezembro de 2027 se aproxima.

Práticas proibidas que já estão em vigor

Estas proibições ao abrigo do Art.º 5 aplicaram-se desde 2 de fevereiro de 2025 e não foram tocadas pelo Omnibus:

• Manipulação subliminar — técnicas de IA que exploram vulnerabilidades subconscientes para alterar comportamentos contra os interesses dos utilizadores
• Exploração de vulnerabilidades — visando crianças, idosos ou grupos desfavorecidos
• Pontuação social — pontuação de uso geral baseada em IA de pessoas singulares por autoridades públicas
• Identificação biométrica remota em tempo real em espaços publicamente acessíveis pelas autoridades de aplicação da lei (com exceções restritas)
• Reconhecimento de emoções no local de trabalho e em instituições de ensino
• Sistemas de categorização biométrica que inferem características sensíveis (raça, opiniões políticas, filiação sindical, orientação sexual, religião) — exceto para fins legítimos de aplicação da lei com autorização judicial
• MIIS/MSACI — a geração ou manipulação de material de intimidade não consentido ou material de abuso sexual de crianças utilizando IA é proibida

O incumprimento das proibições do Art.º 5 desde 2 de fevereiro de 2025 acarreta coimas até €35 milhões ou 7% do volume de negócios anual global, consoante o que for mais elevado.

Regras dos modelos GPAI: já aplicáveis

As obrigações GPAI do Capítulo 5 aplicam-se desde 2 de agosto de 2025:

• Todos os fornecedores GPAI devem cumprir as obrigações de transparência (Art.º 53)
• Os fornecedores de modelos GPAI com risco sistémico (acima de 10²⁵ FLOPs de computação de treino) enfrentam obrigações adicionais incluindo testes adversariais e comunicação de incidentes
• A marcação de conteúdo gerado por IA (marca d'água) para mídia sintética aplica-se aos sistemas GPAI generativos

Convergência com DORA e NIS2

As organizações de serviços financeiros enfrentam o triplo esforço das obrigações do Regulamento IA, DORA e NIS2 com calendários sobrepostos. Principais interseções:

• A gestão de riscos de TIC ao abrigo do DORA (Art.º 5–16) deve abranger os sistemas de TIC impulsionados por IA — o DORA não isenta as ferramentas de IA do seu quadro de riscos de TIC
• A comunicação de incidentes ao abrigo do DORA (Art.º 19–23) aplica-se a incidentes causados por ou que envolvam sistemas de IA
• As medidas de segurança da NIS2 (Art.º 21) incluem no âmbito os riscos cibernéticos relacionados com IA
• A gestão de riscos do Art.º 9 do Regulamento IA para IA de alto risco sobrepõe-se significativamente à gestão de riscos de TIC do DORA — o mapeamento duplo é possível e recomendado para evitar documentação duplicada

Consulte a nossa análise completa de convergência → ou o nosso site parceiro regulation-dora.eu para cobertura específica do DORA.