Atualização publicada em 7 de maio de 2026.
UPDATE
AI Act: acordo provisório no AI Omnibus altera o calendário, prazo de 2 de agosto de 2026 deixa de ser intocável
Atualização ao artigo “AI Act: o que tem de estar pronto a 2 de agosto de 2026 e o que continua por regulamentar”.
Na madrugada de quinta-feira, 7 de maio de 2026, os negociadores do Parlamento Europeu e do Conselho chegaram a acordo provisório sobre o pacote digital omnibus que altera partes do AI Act.[1]
O acordo contraria a leitura prevalecente até há poucos dias — leitura que sustentou o artigo original — segundo a qual as conversações tinham fracassado e o calendário se manteria inalterado.
Mantém-se a obrigação de cautela: o acordo é provisório. Tem ainda de ser formalmente adotado por Parlamento e Conselho, e os co-legisladores manifestaram a intenção de o fazer antes de 2 de agosto de 2026, data em que entrariam em vigor as obrigações originais sobre sistemas de risco elevado.
Até à adoção formal, o regime atualmente em vigor é o que vigora. Mas o sentido político da decisão inverte aquilo que o artigo de fundo descrevia.
O que muda nos prazos
A alteração mais relevante para departamentos jurídicos e equipas de compliance é o adiamento das obrigações sobre sistemas de IA de risco elevado:
- Para sistemas com caso de uso de risco elevado — incluindo biometria, infraestruturas críticas, educação, emprego, law enforcement e gestão de fronteiras — as obrigações passam a aplicar-se a 2 de dezembro de 2027, e não a 2 de agosto de 2026.
- Para sistemas usados como componentes de segurança ao abrigo de legislação setorial da União sobre segurança e fiscalização de mercado, a aplicação é diferida para 2 de agosto de 2028.
- As obrigações de marcação técnica (watermarking) para conteúdo gerado por IA, que a proposta da Comissão fixava em 2 de fevereiro de 2027, antecipam-se para 2 de dezembro de 2026.
A primeira alteração é a mais consequente para o tecido empresarial e institucional português: o esforço de conformidade que o artigo de fundo descrevia como obrigatório até agosto de 2026 ganha cerca de dezasseis meses adicionais para sistemas do Anexo III. Não é tempo perdido, mas é tempo recuperado.
O que se mantém
A arquitetura central do AI Act e a lógica de abordagem por risco não foram tocadas. As proibições do artigo 5.º continuam em vigor desde 2 de fevereiro de 2025, e as obrigações para modelos de finalidade geral (GPAI) continuam a aplicar-se desde 2 de agosto de 2025.
A análise do artigo de fundo sobre estes pontos mantém-se válida.
Mantêm-se também válidas as observações sobre a infraestrutura normativa incompleta — normas harmonizadas em produção pelo CEN-CENELEC, o papel de salvaguarda do artigo 41.º (especificações comuns), as zonas cinzentas na orientação prática sobre classificação de sistemas e a capacidade dos organismos notificados. O acordo provisório não cria nem acelera nenhum destes instrumentos de operacionalização. O que faz é alargar a janela temporal para que cheguem.
O que é novo
O digital omnibus não se limita a redesenhar prazos. Introduz alterações substantivas que merecem registo:
- Proibição expressa de aplicações nudifier e de geração assistida por IA de material de abuso sexual de crianças. A proibição abrange a colocação destes sistemas no mercado da União com a finalidade de criar tal conteúdo, a colocação no mercado sem medidas razoáveis de segurança que previnam essa criação e a utilização por deployers com a mesma finalidade. Aplica-se a imagem, vídeo e áudio, e as empresas têm até 2 de dezembro de 2026 para conformar os seus sistemas.
- Eliminação de sobreposições com a legislação setorial sobre máquinas. Produtos abrangidos esclarecem-se como sujeitos apenas às regras setoriais de segurança, com salvaguardas que assegurem nível equivalente de proteção da saúde e segurança.
- Estreitamento do conceito de “componente de segurança”. Produtos com funções de IA que apenas auxiliem o utilizador ou otimizem desempenho deixam de cair automaticamente no regime de risco elevado, desde que a sua falha não crie riscos para a saúde ou segurança.
- Tratamento de dados pessoais para deteção e correção de enviesamentos. Permitido, com salvaguardas, tanto em sistemas de risco elevado como de risco não elevado, sempre que estritamente necessário.
- Extensão das isenções aplicáveis a PME para small mid-cap enterprises (SMC), alinhada com a lógica de apoio a empresas em fase de crescimento.
- Centralização da fiscalização de certos sistemas de IA de finalidade geral no AI Office da União Europeia.
Resumo deste update
Quem trabalhe em regime de risco proibido (artigo 5.º) ou com modelos GPAI continua sob obrigações já em vigor.
Quem trabalhe com sistemas de risco elevado do Anexo III tem agora (ou poderá vir a ter) dezasseis meses adicionais, mas com uma condicionante: o acordo não está formalmente adotado, e o prazo de 2 de agosto de 2026 só desaparece quando essa adoção ocorrer.
Construir um plano de compliance assente exclusivamente no novo calendário, antes da publicação no Jornal Oficial, é assumir um risco que não existe nas mesmas termos para quem mantenha a calendarização original como cenário-base e o adiamento como cenário otimista.
O adiamento existe apenas em termos de acordo provisório, mas só constituirá certeza jurídica após adoção formal pelos dois co-legisladores.
O meu artigo original descrevia um cenário em que a janela de adiamento se tinha fechado.
Essa janela reabriu-se hoje, quinta-feira dia 7 de maio e, salvo improvável acidente parlamentar, será franquiada antes de agosto de 2026.
As obrigações nucleares para sistemas de risco elevado deslocam-se, assim, e ao que tudo indica, para dezembro de 2027. A arquitetura geral do AI Act, e em particular o miolo técnico que o artigo original (ver abaixo) desenvolveu — sistema de gestão de risco, governação de dados, FRIA do artigo 27.º, sistema de gestão da qualidade do artigo 17.º, normas harmonizadas, especificações comuns do artigo 41.º — mantém-se. Apenas o cronograma mudou.
Referência para esta atualização
Parlamento Europeu, AI Act: deal on simplification measures, ban on “nudifier” apps (Press release, 7 de maio de 2026, ref. 20260427IPR42011). Disponível em https://www.europarl.europa.eu/news/en/press-room/20260427IPR42011.
Artigo original:
AI Act: acordo provisório no AI Omnibus altera o calendário, prazo de 2 de agosto de 2026 deixa de ser intocável
A janela de adiamento, de que tanto se falou, fechou, pelo menos à data de criação e publicação deste texto.
As negociações em Bruxelas para ajustar o calendário do Regulamento da Inteligência Artificial fracassaram, segundo relatos recentes da imprensa especializada e de meios internacionais, pelo que o prazo de 2 de agosto de 2026 se mantém inalterado.
A certeza quanto à data, porém, convive com uma incerteza técnica desconfortável. Vários atos de execução, orientações, normas harmonizadas e instrumentos práticos de conformidade continuam incompletos ou sem versão final, obrigando as organizações a preparar-se para um regime cujos contornos operacionais ainda não estão totalmente fechados.
A data que não se alterará
Ao longo do último ano, a hipótese de um adiamento da entrada em vigor de diversas normas e obirgações do AI Act tornou-se recorrente nas conversas entre responsáveis de compliance, advogados e fornecedores de tecnologia.
Essa expectativa foi alimentada pela pressão da indústria, pelas preocupações de competitividade levantadas em vários Estados-Membros e pelo atraso visível da própria infraestrutura normativa de apoio ao regulamento.
Segundo a PPC Land, as negociações mais recentes em Bruxelas para alterar o calendário do regulamento terminaram sem acordo. A Reuters e a IAPP reportaram, no mesmo sentido, o bloqueio das conversações em torno da reforma das regras de IA, deixando intacto o prazo de 2 de agosto de 2026.
Essa data corresponde ao momento em que a maioria das regras do AI Act entra em vigor, incluindo o núcleo central do regime dos sistemas de IA de risco elevado do Anexo III. É também o marco temporal que mais preocupa fornecedores e utilizadores profissionais, porque concentra a parte mais exigente e mais cara do esforço de conformidade.
Para departamentos jurídicos e equipas de compliance, a consequência prática é simples. Qualquer plano interno que ainda assentasse, mesmo tacitamente, na hipótese de um adiamento deve ser revisto já, porque o calendário deixou de ter folga credível.
O que tem de estar pronto
O AI Act aplica-se de forma faseada, tendo o regulamento entrado em vigor em 1 de agosto de 2024; a partir de 2 de fevereiro de 2025 passaram a aplicar-se as proibições do artigo 5.º relativas a práticas de risco inaceitável, e em 2 de agosto de 2025 começaram a aplicar-se as regras dirigidas aos modelos de finalidade geral (GPAI), juntamente com outras componentes do regime de execução e fiscalização.
O prazo de 2 de agosto de 2026 é, no entanto, o verdadeiro ponto de rutura para a maior parte das organizações.
Nessa data passam a aplicar-se, em larga escala, as obrigações centrais relativas a sistemas de IA de risco elevado abrangidos pelo artigo 6.º e pelo Anexo III.
Até essa data, e em conformidade com este calendário faseado de entrada em vigor de normas do AI Act, os fornecedores de sistemas de risco elevado devem ter implementado, pelo menos, os seguintes pilares de conformidade:
-
Um sistema de gestão de risco documentado, contínuo e iterativo ao longo de todo o ciclo de vida do sistema, apto a identificar, avaliar e mitigar riscos previsíveis para saúde, segurança e direitos fundamentais.
-
Medidas de governação de dados para conjuntos de treino, validação e teste, incluindo critérios de qualidade, análise de enviesamentos e medidas corretivas adequadas.
-
Documentação técnica conforme ao Anexo IV, suficiente para demonstrar conformidade perante autoridades competentes antes da colocação no mercado ou entrada em serviço.
-
Capacidades de registo automático e rastreabilidade proporcionais à finalidade do sistema, em linha com os requisitos funcionais previstos no regulamento e nas futuras normas aplicáveis.
-
Instruções de utilização claras e informação adequada ao utilizador sobre capacidades, limitações e condições previsíveis de uso.
-
Medidas de supervisão humana efetiva que permitam intervenção, correção ou interrupção por pessoas qualificadas.
-
Níveis adequados de exatidão, robustez e cibersegurança ao longo do ciclo de vida do sistema.
-
Um sistema de gestão da qualidade documentado nos termos do artigo 17.º, cobrindo procedimentos, responsabilidades, testes, controlo documental e mecanismos internos de monitorização.
-
O procedimento de avaliação de conformidade aplicável, seguido de declaração UE de conformidade, marcação CE e registo na base de dados europeia quando o regime assim o exigir.
Do lado dos utilizadores profissionais, ou responsáveis pela implantação (deployers), também não há espaço para passividade. O regulamento impõe-lhes deveres próprios de utilização conforme instruções, monitorização do funcionamento, conservação de registos em certas situações e informação a pessoas ou trabalhadores afetados, consoante o contexto de uso.
O artigo 27.º do AI Act, em especial
Entre essas obrigações, merece destaque a avaliação de impacto sobre os direitos fundamentais prevista no artigo 27.º (FRIA).
Essa obrigação entrará em vigor em 2 de agosto de 2026 e recai, antes da entrada em serviço, sobre responsáveis pela implantação de sistemas de risco elevado do artigo 6.º, n.º 2, quando sejam entidades públicas, entidades privadas que prestem serviços públicos, ou responsáveis pela implantação de sistemas abrangidos por pontos específicos do Anexo III, designadamente os ligados à avaliação de crédito e à fixação de preços ou elegibilidade em seguros de vida e saúde.
O próprio texto do artigo 27.º exclui desta obrigação específica os sistemas de risco elevado destinados à área listada no ponto 2 do Anexo III, isto é, certas utilizações em infraestruturas críticas.
Essa exclusão merece ser sublinhada, porque é um detalhe técnico frequentemente omitido em textos de divulgação.
A avaliação de impacto sobre direitos fundamentais não se confunde com a AIPD (avaliação de impacto na proteção de dados) do RGPD, ainda que as duas partilhem uma lógica preventiva.
A FRIA (do Inglês, Fundamental Rights Impact Assessment e, em Português, no texto oficial, denominada como “avaliação de impacto nos direitos fundamentais”) do AI Act tem um escopo mais amplo, porque olha não apenas para proteção de dados, mas também para não discriminação, dignidade, liberdade de expressão, acesso a serviços essenciais e outros direitos potencialmente afetados pelo uso do sistema.
Nos termos do artigo 27.º, a avaliação deve cobrir pelo menos a descrição do processo em que o sistema será usado, o período e frequência da sua utilização, as categorias de pessoas e grupos suscetíveis de ser afetados, os riscos específicos para direitos fundamentais e as medidas de supervisão humana e mitigação a adotar caso esses riscos se concretizem.
deployer deve ainda notificar a autoridade de fiscalização do mercado competente, e pode, em certos casos, apoiar-se em avaliações já realizadas ou existentes, desde que tal seja adequado ao caso concreto.
Na prática, o artigo 27.º deve ser lido como uma obrigação autónoma de governance pública e quasi-pública, e não como mero anexo documental da conformidade técnica do fornecedor. Para organizações portuguesas sujeitas a essa regra, a preparação da FRIA deve começar cedo, com envolvimento jurídico, técnico, de compliance e, quando aplicável, de equipas com responsabilidade em direitos fundamentais, igualdade e relações laborais.
O que continua por regulamentar
A manutenção da data não significa que o quadro normativo esteja completo. O AI Act assenta numa arquitetura em que o regulamento de base define princípios e obrigações nucleares, mas remete uma parte importante da operacionalização para normas harmonizadas, especificações comuns, atos de execução, orientações e códigos de prática.
O ponto mais crítico continua a ser o das normas harmonizadas elaboradas no âmbito do pedido de normalização M/593. A Comissão explica que essas normas deverão cobrir domínios como gestão de risco, governação de dados, logging, transparência, supervisão humana, robustez, cibersegurança, gestão da qualidade e avaliação de conformidade, precisamente os elementos de que as organizações precisam para demonstrar cumprimento com segurança jurídica acrescida.
O problema é que essas normas não chegaram a tempo útil. O próprio CEN-CENELEC reconheceu a necessidade de acelerar o processo e anunciou, em 2025, um pacote extraordinário para desenvolver os standards pedidos pela Comissão, com horizonte que se estende até ao quarto trimestre de 2026.
A ausência de normas harmonizadas não suspende a aplicação do regulamento. O que desaparece é a presunção de conformidade prevista no artigo 40.º para sistemas que sigam standards publicados no Jornal Oficial da União Europeia, obrigando os operadores económicos a construir, por sua conta, a demonstração técnica de que cumprem o regulamento.
É aqui que o artigo 41.º ganha importância estratégica. Se a Comissão concluir que as normas harmonizadas são insuficientes, inadequadas ou intempestivas, pode adotar especificações comuns por ato de execução; e os sistemas que lhes deem cumprimento beneficiam, em princípio, de uma via funcionalmente próxima da presunção de conformidade, ainda que por um instrumento diferente do standard harmonizado clássico.
Persistem também zonas cinzentas quanto à orientação prática sobre classificação de sistemas do Anexo III, articulação com regimes setoriais já existentes e capacidade real dos organismos notificados para absorver pedidos de avaliação de conformidade em tempo útil.
Esse défice de infraestrutura regulatória é particularmente sensível para fornecedores que dependam de avaliação por terceiros nos meses imediatamente anteriores ao prazo.
5 Prioridades para os próximos meses
A primeira prioridade continua a ser o inventário dos sistemas de IA realmente utilizados, integrados ou desenvolvidos pela organização. É nessa fase que muitas entidades descobrem ferramentas classificáveis como IA que até então tratavam como software corrente, ou concluem que determinados usos entram potencialmente em domínios do Anexo III.
A segunda prioridade é a classificação regulatória de cada sistema. Sem essa triagem inicial entre práticas proibidas, risco elevado, risco limitado, risco mínimo e modelos de finalidade geral, qualquer programa de conformidade corre o risco de consumir recursos no sítio errado.
A terceira é a revisão contratual com fornecedores, distribuidores, importadores e outros intervenientes da cadeia de valor. O AI Act distribui responsabilidades de forma funcional entre vários operadores, e essa repartição ainda está sub-representada nos contratos-tipo usados no mercado.
A quarta é a construção do sistema de gestão da qualidade do artigo 17.º e da documentação de suporte necessária para prova de conformidade. Em muitas organizações, este será o ponto em que o esforço deixa de ser apenas jurídico e passa a exigir coordenação efetiva entre jurídico, engenharia, segurança da informação, produto e gestão de risco.
Por fim, é indispensável manter monitorização ativa sobre standards harmonizados, orientações da Comissão, atividade do AI Office e eventuais especificações comuns adotadas ao abrigo do artigo 41.º
A conformidade com o AI Act será, durante os próximos meses, um processo de atualização contínua, não um exercício fechado de checklist.
Ambiente regulador
A confirmação do prazo encerra apenas a discussão imediata sobre adiamento. O ambiente regulador em torno do AI Act continua, porém, em movimento, com debate crescente sobre o impacto das regras de IA de uso geral na inovação europeia e sobre a necessidade de afinações técnicas futuras sem alterar a arquitetura central do regulamento.
Para organizações portuguesas, a mensagem prática é inequívoca. A conformidade com o AI Act deixou de ser um exercício abstrato de planeamento de longo prazo e passou a ser uma operação executiva, com decisões sequenciais, dependências técnicas e prazos curtos.
Quem ainda não começou, está atrasado. Quem começou, deve rever pressupostos, sobretudo se o plano assentava, ainda que implicitamente, na expectativa de que Bruxelas acabaria por dar mais tempo.
Referências
-
PPC Land, “Brussels AI Act talks collapse – but the August 2026 deadline holds”. https://ppc.land/brussels-ai-act-talks-collapse-but-the-august-2026-deadline-holds/
-
IAPP, “EU AI Act reform talks stall as key compliance deadline looms”. https://iapp.org/news/a/eu-ai-act-reform-talks-stall-as-key-compliance-deadline-looms
-
Reuters, “EU countries, lawmakers fail to reach deal on watered-down AI rules”. https://www.reuters.com/sustainability/boards-policy-regulation/eu-countries-lawmakers-fail-reach-deal-watered-down-ai-rules-2026-04-29/
-
CEN-CENELEC, “Update on CEN and CENELEC’s Decision to Accelerate the Development of Standards for Artificial Intelligence”. https://www.cencenelec.eu/news-events/news/2025/brief-news/2025-10-23-ai-standardization/
-
Comissão Europeia, “Standardisation of the AI Act”. https://digital-strategy.ec.europa.eu/en/policies/ai-act-standardisation
-
JRC, “Harmonised Standards for the European AI Act”. https://publications.jrc.ec.europa.eu/repository/handle/JRC139430
-
Cloud Security Alliance, “EU AI Act High-Risk Deadline: Enterprise Readiness Gap”. https://labs.cloudsecurityalliance.org/research/csa-research-note-eu-ai-act-high-risk-compliance-deadline-20/
-
Tech Policy Press, “EU’s AI Act Delays Let High-Risk Systems Dodge Oversight”. https://techpolicy.press/eus-ai-act-delays-let-highrisk-systems-dodge-oversight
-
Comissão Europeia, AI Act Service Desk, “Timeline for the Implementation of the EU AI Act”. https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
-
ArtificialIntelligenceAct.eu, “Implementation Timeline”. https://artificialintelligenceact.eu/implementation-timeline/
-
Pitch.Law, “AI Act Compliance Timeline: What Applies When”. https://www.pitch.law/knowledge-base/ai-act-compliance-timeline
-
Delbion, “EU AI Act Compliance Calendar”. https://www.delbion.com/en/insights/eu-ai-act-compliance-calendar/
-
Nemko Digital, “Prepare Now: EU AI Act Rules on GPAI 2025 Update”. https://digital.nemko.com/insights/eu-ai-act-rules-on-gpai-2025-update
-
ArtificialIntelligenceAct.eu, “Annex III: High-Risk AI Systems Referred to in Article 6(2)”. https://artificialintelligenceact.eu/annex/3/
-
AI Act Service Desk, “Article 9: Risk management system”. https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-9
-
ArtificialIntelligenceAct.eu, “Article 9: Risk Management System”. https://artificialintelligenceact.eu/article/9/
-
Practical AI Act, “Risk Management System”. https://practical-ai-act.eu/latest/conformity/risk-management-system/
-
ArtificialIntelligenceAct.eu, “Article 40: Harmonised Standards and Standardisation Documents”. https://artificialintelligenceact.eu/article/40/
-
ArtificialIntelligenceAct.eu, “Article 17: Quality Management System”. https://artificialintelligenceact.eu/article/17/
-
Streamlex, “AIA Article 17. Quality management system”. https://streamlex.eu/articles/aia-en-art-17/
-
EU AI Risk, “Building Your Quality Management System for AI”. https://euairisk.com/resources/building-quality-management-system-article-17
-
AddComply, “EU AI Act Compliance Timeline”. https://addcomply.com/eu-ai-act-compliance-timeline/
-
ArtificialIntelligenceAct.eu, “Article 27: Fundamental Rights Impact Assessment for High-Risk AI Systems”. https://artificialintelligenceact.eu/article/27/
-
Streamlex, “AIA Article 27. Fundamental rights impact assessment”. https://streamlex.eu/articles/aia-en-art-27/
-
European Journal of Law and Technology, “Fundamental Rights Impact Assessments in the EU’s AI Act”. https://ejlt.org/index.php/ejlt/article/view/1065
-
AI Acto, “AI Act FRIA: Fundamental Rights Impact Assessment Guide”. https://www.aiacto.eu/en/blog/fria-ai-act-fundamental-rights-impact-assessment
-
Lund University, “Fundamental Rights Impact Assessments in the EU’s AI Act”. https://www.law.lu.se/eduardo-gill-pedro/publication/e7e6be85-c198-4c8c-ba0a-6c6ae482a306
-
Archer IRM, “EU AI Act Article 27: What Is a Fundamental Rights Impact Assessment”. https://www.archerirm.com/post/eu-ai-act-article-27-what-is-a-fundamental-rights-impact-assessment-fria-and-who-needs-one
-
ArtificialIntelligenceAct.eu, “Article 41: Common Specifications”. https://artificialintelligenceact.eu/article/41/
-
AI Act made searchable, “Article 41: Common Specifications”. https://aiact.algolia.com/article-41/
-
McKenna Consultants, “EU AI Act High-Risk Compliance: A Technical Readiness Guide for August 2026”. https://www.mckennaconsultants.com/eu-ai-act-high-risk-compliance-a-technical-readiness-guide-for-august-2026/
-
EU AI Risk, “Complete Guide to EU AI Act High-Risk Classification”. https://euairisk.com/resources/eu-ai-act-high-risk-classification-guide
-
ArtificialIntelligenceAct.eu.
-
LinkedIn article, “August 2026 Is Closer Than You Think: EU AI Act Deadline”. https://www.linkedin.com/pulse/august-2026-closer-than-you-think-eu-ai-act-deadline-could-buonomo-lmwsf
-
Comissão Europeia, “AI Act”. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
