O Regulamento da IA não tem limiar de dimensão. Aplica-se em função do papel e do território e, a partir do momento em que as pessoas da sua empresa usam IA no trabalho, a sua organização assume o papel de responsável pela implantação, com obrigações próprias. Quais são essas obrigações depende do que a IA decide — não da dimensão que tem.
Nenhuma delas é sobre a sua dimensão.
As pessoas da sua organização usam IA no exercício do seu trabalho?
É responsável pela implantação.
É o caso de quase todas as empresas e é a resposta que a maioria das organizações erra. Não desenvolver IA significa apenas que não é prestador. Não o coloca fora do Regulamento.
Coloca um sistema de IA no mercado ou coloca-o em serviço em seu próprio nome?
É prestador.
Obrigações substancialmente mais pesadas, e pode chegar aqui sem o pretender — ver abaixo.
Importa, distribui ou vende um produto com IA incorporada?
Também está abrangido.
Importadores, distribuidores, fabricantes de produtos e mandatários têm cada um os seus próprios deveres.
É por isto que o Regulamento alcança fornecedores que nunca tiveram uma entidade na UE, e é também por isto que o seu auditor vai perguntar onde corre cada sistema.
Nada no Regulamento funciona como os limiares de trabalhadores ou de volume de negócios de outra legislação da UE. As pequenas e médias empresas têm formas mais leves de cumprir — documentação técnica simplificada, ambientes de testagem da regulamentação, coimas ajustadas à sua dimensão — e não uma isenção de cumprir.
Duas destas datas mudaram em julho de 2026. A que já é exigível não mudou.
Todos os prestadores e todos os responsáveis pela implantação, em qualquer nível de risco. Medidas razoáveis para que as pessoas que usam IA compreendam o que ela pode e não pode fazer.
Todos.
Os prestadores de modelos, e o aparelho de fiscalização que sustenta tudo o resto.
Dizer às pessoas quando estão a lidar com IA. Marcar os conteúdos sintéticos. Já exigível pelas autoridades nacionais, com coimas até 15 milhões de euros ou 3 % do volume de negócios a nível mundial.
Período de tolerância para os sistemas generativos já colocados no mercado antes de agosto de 2026.
Supervisão humana, monitorização, informação aos trabalhadores — e conservação dos registos gerados automaticamente pelo sistema durante pelo menos seis meses.
Máquinas, dispositivos médicos, veículos e o resto do regime de segurança dos produtos.
As datas de dezembro de 2027 e de agosto de 2028 foram alteradas pelo Digital Omnibus, o Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026. As obrigações de transparência não foram alteradas — uma distinção que muita da orientação publicada continua a errar.
O risco elevado define-se pelo que o sistema decide sobre as pessoas, não pelo grau de sofisticação que tem. Estas são as áreas do anexo III em que uma empresa comum realmente toca.
Triagem de candidaturas, atribuição de tarefas, monitorização do desempenho, decisões de promoção ou de cessação do contrato.
Avaliação da solvabilidade e fixação de preços em função do risco nos seguros de vida e de saúde.
Admissão, avaliação dos resultados da aprendizagem, vigilância de exames.
Identificação à distância, categorização biométrica, reconhecimento de emoções.
Um fabricante que deixa uma ferramenta de IA pré-selecionar candidatos é o responsável pela implantação de um sistema de risco elevado. Muito poucos o sabem.
A terceira coluna é a honesta. Nenhuma plataforma torna uma organização conforme, e qualquer fornecedor cuja tabela tenha apenas duas colunas está a vender-lhe alguma coisa.
| A obrigação | O que a Tandevia regista ou aplica | O que fica consigo |
|---|---|---|
| Literacia no domínio da IAArtigo 4.º | Um registo de quem usa que modelo, para quê e com que frequência — para que a formação possa ser dirigida às pessoas e às tarefas que dela precisam. | Decidir o que os seus colaboradores precisam de compreender, e ensiná-los de facto. |
| Saber que IA temA condição prévia para tudo o resto | Cada pedido atribuído a uma pessoa, equipa, aplicação ou agente, em modelos comerciais, de pesos abertos e autoalojados. | Classificar cada utilização face ao anexo III e decidir o seu nível de risco. |
| Transparência para com as pessoasArtigo 50.º | Que modelos uma aplicação pode alcançar, para que um assistente virado para o cliente não possa ser mudado em silêncio para um modelo não declarado. | Escrever a informação nas interfaces que os seus clientes veem de facto. Isso é uma propriedade da sua interface, não da camada que está por baixo. |
| Supervisão humanaArtigo 26.º, n.º 1 | Pontos de aprovação no Workflow Studio, com o aprovador, o momento e a decisão registados em cada execução. | Escolher que passos precisam de uma pessoa, e dar a essa pessoa autoridade real para recusar. |
| Conservar os registosArtigo 26.º, n.º 6 | Um registo consultável de cada pedido, modelo, decisão e custo, com retenção configurável — incluindo o que foi retido antes de chegar a um modelo, exportável como documento. | Definir a retenção em pelo menos seis meses e conciliá-la com as suas regras de proteção de dados. |
| Monitorizar o funcionamentoArtigo 26.º, n.º 5 | Utilização, custo e decisões de política por equipa e aplicação, com alertas antes de se atingir um teto. | Agir sobre o que a monitorização mostra, e comunicar os incidentes graves. |
| Utilizar conforme as instruçõesArtigo 26.º, n.º 1 | Um catálogo de modelos aprovados por equipa. Os modelos não aprovados ficam indisponíveis, e não apenas desaconselhados. | Ler as instruções de utilização do prestador e configurar em conformidade. |
| Governação dos dados de entradaArtigo 26.º, n.º 4 | Inspeção do conteúdo antes de sair da sua rede, e do conteúdo que chega de fontes externas antes de um modelo o ler — aplicada por política. | Decidir o que pode sequer ser enviado, e a quem. |
Uma coisa a confrontar com o seu próprio plano: o artigo 26.º, n.º 6, fixa um mínimo de seis meses para os registos do responsável pela implantação de um sistema de risco elevado. Na Tandevia, isso significa a retenção do Business ou do Enterprise — o plano Team guarda três meses, abaixo desse mínimo.
Três caminhos transformam um responsável pela implantação em prestador. Quando qualquer um deles se aplica, as obrigações do prestador previstas no artigo 16.º passam a ser suas e o fornecedor inicial deixa de ser o prestador desse sistema.
O terceiro é o que apanha as empresas comuns. Construir, a partir de um modelo de finalidade geral, uma automação que faz a triagem de candidatos a emprego é exatamente essa alteração de finalidade — e é uma decisão normalmente tomada por uma equipa que nunca leu o Regulamento.
Isto é um mapa, não aconselhamento jurídico. Nada aqui torna uma organização conforme, e nenhum produto o consegue fazer — a classificação, a formação, a informação e a responsabilização continuam a ser suas. Confirme a sua própria situação com os seus próprios advogados.
Reflete a lei tal como está em setembro de 2026, incluindo o Regulamento (UE) 2026/1744. O Regulamento da IA continua a evoluir; é por isso que esta página indica a data a que se reporta.
Não pode classificar, documentar nem formar para uma utilização de IA que não vê — e isso é verdade quaisquer que sejam as obrigações que acabem por lhe ser aplicáveis. É também a parte que demora mais tempo, e é por isso que o adiamento para dezembro de 2027 é tempo para usar e não tempo para esperar.