O Regulamento (UE) 2024/1689, de 13 de junho, conhecido como AI ACT, estabelece, pela primeira vez na União Europeia, um enquadramento jurídico vinculativo para o desenvolvimento, colocação no mercado e utilização de sistemas de inteligência artificial (IA).
Assim, com foco na mitigação de riscos e na proteção dos direitos fundamentais, o AI ACT estabelece um quadro de obrigações para fornecedores, utilizadores e outros intervenientes no ciclo de vida de sistemas de IA, fixando um regime contraordenacional, pautado por sanções proporcionais e dissuasoras da violação das normas estabelecidas.
O preço da não-conformidade: infrações e coimas no AI ACT
O AI ACT define sanções administrativas com base em limites definidos no mesmo diploma, que refletem a gravidade da infração e a dimensão económica da entidade infratora.
Ainda que de forma não expressa, as infrações das normas previstas no AI ACT encontram-se classificadas como muito graves, graves e leves:
- As infrações muito graves são aquelas que dizem respeito a práticas proibidas, nos termos do artigo 5.º, como é o caso colocação no mercado de sistemas de IA que recorram a técnicas subliminares, manipuladoras ou enganadoras para influenciar de forma substancial o comportamento de pessoas, prejudicando seriamente a sua capacidade de tomar decisões informadas e levando-as a agir de modo que lhes possa causar danos significativos.
- As infrações graves reportam-se à inconformidade com os requisitos gerais ou aplicáveis a modelos de IA de finalidade geral, que não os estabelecidos no artigo 5.º. Enquadram-se neste grupo de infrações, por exemplo, a violação de obrigações relativas a sistemas de alto risco, incluindo falhas nos processos de avaliação de conformidade, documentação técnica ou medidas de mitigação de riscos.
- As infrações leves respeitam à prestação de informações incorretas, incompletas ou falaciosas às entidades ou autoridades nacionais competentes.
A moldura das coimas aplicadas varia consoante a sua classificação, assim:
- Infrações muito graves: aplicação de coimas até € 35.000.000,00 ou, tratando-se de uma empresa, até 7 % do seu volume de negócios anual a nível mundial no exercício anterior, consoante o que for mais elevado;
- Infrações graves: aplicação de coimas até € 15.000.000,00 ou, tratando-se de uma empresa, até 3 % do seu volume de negócios anual a nível mundial no exercício anterior, consoante o que for mais elevado;
- Infrações leves: aplicação de coimas até € 7.500.000,00 ou, tratando-se de uma empresa, até 1 % do seu volume de negócios anual total a nível mundial no exercício anterior, consoante o que for mais elevado.
Para as pequenas e médias empresas, aplicar-se-á o valor mais baixo entre os dois montantes.
Quem fiscaliza? Estrutura de controlo do AI ACT
A implementação prática do AI ACT deve assentar não só em regras claras, mas também num modelo de fiscalização eficaz e estruturado, que assegura o cumprimento das obrigações legais por parte de todos os intervenientes no ciclo de vida dos sistemas de inteligência artificial.
Ao abrigo do regulamento, cada Estado-Membro deverá designar as autoridades nacionais competentes para proceder fiscalização do cumprimento do regulamento e uma autoridade nacional de controlo, com competências como autoridade notificadora e fiscalizadora do mercado.
Estas entidades serão responsáveis pela aplicação das coimas, pela investigação de infrações e pela comunicação das mesmas à Comissão Europeia, que terá um papel coordenador, garantindo uma abordagem harmonizada entre Estados-Membros.
No caso português foram designadas 14 entidades setoriais competentes para este efeito, já tendo sido notificadas à Comissão Europeia: Autoridade Nacional de Comunicações (ANACOM); Inspeção-Geral das Finanças (IGF); Gabinete Nacional de Segurança (GNS); Entidade Reguladora para a Comunicação Social (ERC); Inspeção-Geral da Defesa Nacional (IGDN); Inspeção-Geral dos Serviços de Justiça (IGSJ); Polícia Judiciária (PJ); Inspeção-Geral da Administração Interna (IGAI); Inspeção-Geral da Educação e Ciência (IGEC); Entidade Reguladora da Saúde (ERS); Autoridade de Segurança Alimentar e Económica (ASAE); Inspeção-Geral do Ministério do Trabalho, Solidariedade e Segurança Social (IGMTSSS); Autoridade para as Condições do Trabalho (ACT); Entidade Reguladora dos Serviços Energéticos (ERSE).
O modelo de fiscalização do AI ACT deverá combinar a supervisão nacional e coordenação europeia, procurando garantir equilíbrio entre inovação e proteção dos direitos fundamentais. As empresas deverão, desde já, preparar-se para responder de forma célere e transparente às exigências destas entidades, nomeadamente através da implementação de políticas internas de compliance e auditoria contínua.
Da teoria à prática – as datas-chave da implementação
A entrada em vigor do AI ACT marca apenas o início de um processo de implementação faseado, cuidadosamente estruturado para permitir uma adaptação progressiva dos Estados-Membros, empresas e outras entidades envolvidas.
Os próximos passos da implementação são os seguintes:
- A partir de 2 de agosto de 2025: tornar-se-ão aplicáveis as regras referentes às autoridades notificadoras, modelos de IA de finalidade geral, governance, sanções e confidencialidade;
- A partir de 2 de agosto de 2026: entrada em vigor das restantes matérias do regulamento.
- A partir de 2 de agosto de 2027: será obrigatória a conformidade plena para sistemas de IA de risco elevado.
O regime contraordenacional do AI ACT não é apenas uma formalidade jurídica, é um sinal claro de que a União Europeia encara a inteligência artificial como uma matéria de interesse público e de proteção de direitos fundamentais.
O avultado valor das coimas previstas para a infração das regras previstas no regulamento representa um real e concreto risco financeiro, que recomenda, desde já, o desenvolvimento de uma cultura interna de compliance real e consistente. Sem políticas e processos de controlo eficazes, será inevitável que organizações que lidam com IA possam, mesmo involuntariamente, incorrer em infrações. Implementar mecanismos internos de auditoria, registos técnicos, controlo documental e formação contínua não é apenas prudente, é essencial para garantir conformidade e proteger a reputação das organizações num cenário regulatório que tende a ser cada vez mais exigente. Mais do que uma obrigação, o compliance em matéria de IA deve ser encarado como um investimento estratégico.
A preparação atempada para este novo quadro legal será crucial para garantir não apenas a conformidade legal e prevenir o risco financeiro, mas também a confiança dos cidadãos e operadores económicos numa utilização de IA segura e responsável.
por Alexandra Mota Gomes e Margarida Sousa de Magalhães, Área de Prática – Criminal, Contraordenacional e Compliance
