Literacia em IA: a obrigação do Regulamento de IA que a maioria das PME desconhece
O artigo 4.º do Regulamento de IA é lei ativa desde 2025 — e a maioria das empresas não o cumpre. O que fazer esta semana para ficar em regra.
O que mudou esta semana
A Comissão Europeia publicou a 12 de outubro o rascunho de um regulamento de execução — referência Ares(2026)9589403 — que descreve como o Gabinete Europeu para a IA vai investigar infrações e aplicar multas ao abrigo do Regulamento de IA. A consulta pública está aberta até 9 de novembro de 2026, às 23h59 de Bruxelas. A notícia é fresca, mas o mais importante não está no rascunho: está no que já é lei ativa há mais de um ano. Uma semana antes, a 5 de outubro, a vice-presidente executiva da Comissão Henna Virkkunen respondeu no Parlamento Europeu a perguntas sobre o mandato do Gabinete Europeu para a IA: esclareceu que atua dentro das competências definidas no artigo 64.º do Regulamento de IA e que a supervisão corrente cabe às autoridades nacionais de fiscalização de mercado — as que, desde 2 de agosto de 2026, têm poderes formais de fiscalização. É neste quadro que vive a obrigação que mais PME ignoram: a literacia em IA do artigo 4.º, aplicável desde 2 de fevereiro de 2025. Segundo uma análise da Delbion citada pelo guia AI Buzz de 12 de outubro, a maioria das empresas europeias nem sabe que ela existe. Não é uma recomendação nem uma boa prática: é uma obrigação legal já exigível — e, desde agosto, com fiscalização ativa. Este artigo explica o que a lei exige na prática, o que o rascunho de outubro acrescenta e o que uma PME deve fazer esta semana.
O que é a literacia em IA (artigo 4.º)
O artigo 4.º do Regulamento (UE) 2024/1689 impõe aos fornecedores e utilizadores profissionais de sistemas de IA que tomem medidas para garantir, «na melhor medida do possível», um nível suficiente de literacia em IA do seu pessoal e de outras pessoas que lidem com a operação e utilização dos sistemas de IA em seu nome. A definição legal, no artigo 3.º, n.º 56, é simples: as competências, conhecimentos e compreensão que permitem tomar decisões informadas sobre a implantação de sistemas de IA, estando consciente das oportunidades, dos riscos e do potencial dano que a IA pode causar. Há três detalhes que alargam o alcance mais do que parece. Primeiro: a obrigação abrange todos os sistemas de IA, não apenas os de alto risco do anexo III. Quem usa um gerador de textos para redigir propostas, uma ferramenta de atendimento ou um leitor de faturas está dentro — mesmo que nunca tenha comprado um «sistema de IA» de propósito. Segundo: «outras pessoas que lidem em seu nome» inclui prestadores de serviços, freelancers e consultores que operam os sistemas por si. Se o seu contabilista usa IA para processar as suas faturas ou a sua agência gera os seus textos com IA, a literacia dessas pessoas é sua responsabilidade na medida em que atuam por sua conta. Terceiro: não há um currículo fixo, um número mínimo de horas nem uma certificação obrigatória. O regulamento exige proporcionalidade — medidas calibradas pelo conhecimento técnico, experiência e formação de cada pessoa, pelo contexto de utilização e pelas pessoas afetadas. Flexibilidade, sim; mas com o ónus da prova do seu lado: perante uma autoridade, terá de mostrar que as medidas foram adequadas aos riscos dos seus sistemas e aos papéis de quem os usa.
O que «nível suficiente» significa na prática
«Suficiente» é deliberadamente vago na lei — e é aí que entra a proporcionalidade. Na prática, a maioria das PME tem três perfis de pessoas, e cada um precisa de um nível diferente. O operador usa a IA no dia a dia: a comercial que redige propostas com um assistente, o técnico que resume chamadas, o administrativo que classifica faturas. Este perfil precisa de literacia de uso seguro: o que a ferramenta pode e não pode fazer, como verificar resultados, que dados nunca pode colar no prompt (dados de clientes, dados de saúde, credenciais) e o que fazer quando algo parece errado. É aqui que nascem a maioria dos incidentes: não por maldade, por confiança a mais. O gestor decide onde a IA entra: escolhe ferramentas, aprova automatizações, define processos. Precisa de literacia de risco: que usos são de alto risco (triagem de currículos, decisões de crédito, avaliação de desempenho — território do anexo III, com regras a chegar a 2 de dezembro de 2027), o que muda quando a IA fala com clientes (transparência, artigo 50.º) e como documentar decisões. O responsável pela decisão final — muitas vezes o próprio dono da empresa — precisa de literacia de governação: saber que a responsabilidade não se terceiriza, que as multas são proporcionais mas reais, e que «não sabíamos» não é defesa. Uma sessão prática de 60 a 90 minutos por perfil, com exemplos do seu próprio negócio, cobre o essencial. O que a lei exige não é um curso universitário: é que cada pessoa compreenda os riscos daquilo que usa — e que consiga prová-lo com registos: quem participou, quando, sobre que temas.
Marcar conteúdo gerado por IA: o prazo de 2 de dezembro
O artigo 50.º, n.º 2, exige que os fornecedores de sistemas que geram áudio, imagens, vídeo ou texto marquem esse conteúdo de forma legível por máquina — e, em alguns casos, visível para os utilizadores — para que seja identificável como gerado por IA. Quem colocou esses sistemas no mercado antes de 2 de agosto de 2026 tem até 2 de dezembro de 2026 para se adaptar: o prazo está a pouco mais de um mês. Para uma PME, a pergunta prática é outra: isto aplica-se a mim? Se apenas usa ferramentas de terceiros para gerar textos ou imagens, é utilizador profissional, não fornecedor — e a obrigação de marcação recai sobre o fornecedor da ferramenta. Mas há dois cenários em que a linha se esboroa. O primeiro: se revende ou integra geração de IA no seu serviço — por exemplo, uma agência que entrega vídeos ou textos «feitos por IA» a clientes sem os marcar. O segundo: se modifica substancialmente um sistema de terceiros, pode passar a ser considerado fornecedor. O ponto que interessa reter: quando compra ou subscreve uma ferramenta de geração, pergunte ao fornecedor como marca o conteúdo e peça isso por escrito. É uma pergunta de conformidade barata que hoje quase ninguém faz — e que, a partir de dezembro, passa a fazer parte da diligência normal. Note-se ainda que o n.º 1 do mesmo artigo — avisar as pessoas de que estão a interagir com IA — já se aplica desde 2 de agosto de 2026. É a regra da transparência, e é a que toca mais PME todos os dias. É o tema da próxima secção.
O cliente tem de saber que fala com IA
O artigo 50.º, n.º 1, é direto: as pessoas têm de ser informadas quando estão a interagir com um sistema de IA. Na prática das PME, isto significa uma linha de aviso no início da conversa do chatbot do site ou do assistente de WhatsApp — nada mais. Não exige tecnologia nova nem custos: exige que não se finja que o robô é humano. O exemplo mais comum é o atendimento por WhatsApp. Se tem um bot que responde a perguntas, marca consultas ou informa preços, o cliente tem de perceber que está a falar com IA. Uma frase chega: «Olá, sou a assistente virtual da [empresa]» no início da conversa resolve o requisito. Vale a pena ligar este ponto à demonstração que mantemos no ar: a ZapDesk é uma rececionista de IA para WhatsApp de PME que atende 24/7, responde com a base de conhecimento da empresa, informa preços e horários, marca consultas e guarda contactos interessados — e anuncia-se como assistente virtual desde a primeira mensagem. Pode experimentá-la em direto aqui: https://zapdesk-demo.vercel.app/ Há uma armadilha que convém evitar: a transparência não é só o aviso inicial. Se a conversa escalar para um humano, diga-o também. E se o sistema gera conteúdo que o cliente vai publicar ou partilhar — orçamentos, descrições, imagens —, a regra de marcação da secção anterior entra em jogo. As duas regras do artigo 50.º trabalham em par: uma olha para a conversa, a outra para o conteúdo.
As multas: o que o rascunho de 12 de outubro diz
O rascunho publicado a 12 de outubro (Ares(2026)9589403) não cria as multas — os tetos já estão na lei — mas descreve como o Gabinete Europeu para a IA as vai aplicar: acesso ao processo após as conclusões preliminares, proteção dos segredos comerciais de terceiros e um prazo de prescrição de cinco anos para impor multas, reiniciado por atos de investigação, com um teto absoluto de dez anos. Os tetos, já em vigor, têm três níveis. Para as PME e as pequenas empresas de média capitalização, aplica-se o valor mais baixo de cada par — um detalhe de proporcionalidade que o rascunho confirma e que o Digital Omnibus veio reforçar. Há ainda um instrumento à parte: as sanções pecuniárias compulsórias diárias, até 5% da receita média diária ou do volume de negócios anual mundial do exercício anterior, por cada dia de incumprimento. É o mecanismo para quem ignora uma decisão, não para quem comete um erro pontual. Duas notas de contexto. Primeira: o regime de multas do Gabinete aplica-se à sua esfera de supervisão direta — sistemas construídos sobre modelos de IA de uso geral pelo mesmo fornecedor e sistemas integrados em grandes plataformas. O uso corrente de um chatbot de terceiros não coloca uma PME sob a supervisão direta do Gabinete; a fiscalização do dia a dia é das autoridades nacionais. Segunda: as multas nacionais são definidas por cada Estado-Membro, com proporcionalidade obrigatória para PME. A tabela resume os três níveis:
| Infração | Teto: grandes empresas | Teto: PME |
|---|---|---|
| Práticas proibidas (artigo 5.º) | 35 M€ ou 7% do volume de negócios | o valor mais baixo do par |
| Outras infrações ou incumprimento de decisões | 15 M€ ou 3% do volume de negócios | o valor mais baixo do par |
| Informação inexata, incompleta ou enganosa | 7,5 M€ ou 1% do volume de negócios | o valor mais baixo do par |
Checklist: o que fazer esta semana
Sem consultores, sem software novo. Seis passos práticos, do mais urgente ao mais estrutural. 1. Faça o registo das ferramentas de IA. Uma folha simples: ferramenta, para que serve, quem é o responsável, que dados toca, se fala com clientes e quem revê o resultado. Demora uma tarde e é o documento que uma fiscalização pede primeiro. 2. Dê uma sessão de formação por perfil. 60 a 90 minutos com exemplos do seu negócio: para operadores, uso seguro e verificação; para gestores, riscos e documentação; para quem decide, responsabilidades. Registe quem participou, quando e que temas foram abordados. 3. Cubra os prestadores externos. Se o contabilista, a agência ou um freelancer usam IA em seu nome, inclua-os na formação ou exija por escrito que cumprem o artigo 4.º. A responsabilidade segue a cadeia. 4. Ponha o aviso de transparência. Em cada chatbot ou assistente de WhatsApp que fale com clientes, uma linha no início da conversa: «está a falar com um assistente de IA». Verifique também o que acontece quando a conversa passa para um humano. 5. Pergunte aos fornecedores sobre marcação. Para cada ferramenta que gera texto, imagem, áudio ou vídeo, peça por escrito como marca o conteúdo como gerado por IA. O prazo de 2 de dezembro aproxima-se. 6. Reveja o que decide sobre pessoas ou dinheiro. Qualquer uso de IA em recrutamento, crédito, avaliação de desempenho ou preços personalizados merece revisão humana e documentação própria — é território de alto risco, com regras a chegar a 2 de dezembro de 2027. Nada disto exige orçamento. Exige apenas que a literacia em IA deixe de ser «algo para tratar um dia» e passe a ser um registo, uma sessão e um aviso. A lei já cá está — e agora há quem a fiscalize.
Perguntas Frequentes (FAQ)
A minha empresa é pequena. O artigo 4.º aplica-se mesmo a nós?
Sim. A obrigação aplica-se a todos os fornecedores e utilizadores profissionais de sistemas de IA, independentemente do tamanho — e abrange todos os sistemas, não apenas os de alto risco. O que muda com o tamanho é a proporcionalidade: uma empresa de cinco pessoas não precisa do programa de uma multinacional, precisa de medidas adequadas aos seus riscos — uma sessão de formação, um registo de ferramentas, um aviso de transparência. O Digital Omnibus veio aliás reforçar as simplificações para PME.
Usamos apenas o ChatGPT e o Copilot. Continuamos obrigados?
Sim. Quem usa ferramentas de terceiros é utilizador profissional (deployer) e está dentro do âmbito do artigo 4.º. A lei não distingue entre um sistema comprado à medida e uma subscrição mensal: o que conta é que há pessoas a operar IA em seu nome. A sua equipa precisa de literacia de uso seguro — verificar resultados, saber que dados nunca pode colar no prompt e reconhecer quando algo corre mal.
Quantas horas de formação exige a lei?
Nenhum número fixo. O regulamento não define currículo, horas mínimas nem certificação — exige medidas proporcionais ao conhecimento técnico, à experiência e à formação de cada pessoa, ao contexto de utilização e às pessoas afetadas. Na prática, uma sessão de 60 a 90 minutos por perfil, com exemplos do seu negócio, cobre o essencial para uma PME. O que a autoridade vai pedir não é um diploma: é o registo — quem participou, quando e sobre que temas.
O nosso contabilista usa IA por nós. De quem é a responsabilidade?
Sua, na medida em que ele atua em seu nome. O artigo 4.º estende-se expressamente a «outras pessoas que lidem com a operação e utilização dos sistemas de IA» por conta da empresa — prestadores de serviços, freelancers, consultores. Inclua-os na sua formação ou exija por escrito que cumprem o artigo 4.º. É a dimensão da cadeia de fornecimento que mais lacunas cria quando uma autoridade pede evidências.
O que acontece se não fizermos nada?
Desde 2 de agosto de 2026, as autoridades nacionais de fiscalização têm poderes formais de supervisão — e os programas de literacia em IA, ou a sua ausência, estão entre as primeiras coisas que vão examinar. O quadro sancionatório prevê, para este tipo de infrações, até 15 milhões de euros ou 3% do volume de negócios mundial, com proporcionalidade obrigatória para PME. Não é preciso imaginar o pior cenário: basta perceber que uma empresa que documentou formação básica e um registo de ferramentas está numa posição incomparavelmente melhor do que uma que não fez nada.