Alguns prazos do AI Act mudaram.
As regras de transparência já se aplicam.
O Digital Omnibus deu aos sistemas de alto risco do Anexo III até dezembro de 2027. Às regras de transparência não deu tempo nenhum. Essas aplicam-se desde 2 de agosto de 2026. Em três semanas, com âmbito fechado, identificamos que regras se aplicam ao seu produto e a partir de que data.
Calendário do AI Act da UE atualizado em setembro de 2026.
O que mudou
- 2 de agosto de 2026
Aplicam-se as obrigações de transparência do artigo 50.º
A sua empresa informa os utilizadores de que estão a falar com uma IA e identifica o conteúdo gerado por IA.
- 2 de dezembro de 2026
Termina o período de tolerância para a marcação
Os sistemas de IA já colocados no mercado antes de 2 de agosto de 2026 têm até esta data para marcar o conteúdo gerado por IA num formato legível por máquina.
- 2 de dezembro de 2027
Obrigações de alto risco do Anexo III
Sistemas classificados pela utilização, em áreas como emprego, crédito, educação e serviços essenciais. Estava previsto para agosto de 2026.
- 2 de agosto de 2028
Obrigações de alto risco do Anexo I
Sistemas de alto risco integrados em produtos.
O Digital Omnibus (acordado em maio de 2026 e em vigor desde 27 de julho de 2026 como Regulamento (UE) 2026/1744) adiou dois dos maiores prazos do AI Act. As obrigações de transparência do artigo 50.º mantiveram o calendário.
Se ouviu que «o AI Act foi adiado» e deixou de ler, pode não ter reparado que as regras de transparência já se aplicam. O erro contrário também custa dinheiro: investir em conformidade de alto risco de que só vai precisar em dezembro de 2027. Na auditoria verificamos que regras se aplicam ao seu produto e a partir de que data.
As coimas podem chegar a 35 milhões de euros ou 7% do volume de negócios anual a nível mundial no caso de práticas proibidas, e a 15 milhões de euros ou 3% por incumprimento das obrigações de alto risco ou de transparência, a partir do momento em que se apliquem à sua empresa.
Para quem é
- Uma startup europeia, algures entre 10 e 100 pessoas, que lançou funcionalidades de IA nos últimos 18 meses.
- Quem põe a OpenAI, a Anthropic ou outra API de modelos à frente dos clientes.
- Equipas que desenvolvem agentes ou automação, ou qualquer coisa que pontue e classifique.
- Fundadores prestes a abrir uma ronda ou a vender a empresa, cujos investidores ou compradores vão querer uma auditoria credível ao código feito com IA durante a due diligence.
- E fundadores que sabem que o AI Act toca no seu produto em algum ponto, mas não sabem dizer onde.
Se nem sabe se o AI Act da UE se aplica à sua empresa, faça a verificação de exposição de 60 segundos e tem uma resposta em linguagem simples num minuto.
Vai abrir uma ronda
ou ser adquirido?
Se a sua equipa avançou depressa com Claude Code, Cursor ou algo semelhante, a due diligence técnica vai querer saber quem reviu esse código e o que ele expõe. Isto vale mesmo que nada no seu produto ponha IA à frente dos clientes. Para estes casos fazemos uma versão da auditoria para antes de uma ronda ou de uma aquisição. O âmbito é o mesmo, tal como as três semanas, mas organizamos o trabalho em torno das perguntas que a equipa técnica do investidor ou do comprador lhe vai fazer.
O que está incluído
Âmbito fechado, 3 semanas.
- 1
Uma lista de todos os sistemas de IA do seu produto e de todos os processos da empresa que usam IA.
- 2
Cada sistema colocado no seu nível de risco do AI Act da UE: proibido, alto risco, risco limitado ou risco mínimo.
- 3
Uma análise dos serviços de IA de terceiros de que depende e da situação de conformidade de cada um.
- 4
Uma revisão de segurança dos seus servidores MCP e das permissões dos agentes. Abrem uma superfície de ataque diferente da que cobre a lista habitual de segurança aplicacional.
- 5
A documentação para a avaliação da conformidade, se algum dos seus sistemas for de alto risco.
- 6
Recomendações de supervisão humana e de registo, cada uma com uma estimativa do esforço de implementação.
- 7
Um plano de correções, ordenado pelo prazo que o afeta primeiro.
- 8
Uma chamada de 90 minutos no fim, em que percorremos tudo com o seu fundador e o responsável técnico.
Cronograma
- Semana 1
- Arrancamos, fazemos a lista dos seus sistemas de IA e revemos os fornecedores.
- Semana 2
- Classificamos o risco, identificamos as lacunas e redigimos a documentação.
- Semana 3
- Recebe o relatório final e o plano, e explicamos-lhe os dois.
Podemos começar até 5 dias úteis após a assinatura. Se marcar agora a auditoria de 3 semanas, recebe os resultados antes do prazo de marcação de 2 de dezembro de 2026, e fica também com um avanço documentado para o prazo de alto risco de dezembro de 2027.
Porquê nós
- Construímos software de produção todos os dias, por isso cada recomendação vem com uma estimativa de esforço que os seus engenheiros conseguem planear.
- Estamos em Portugal e cumprimos o RGPD no nosso próprio trabalho, por isso as regras europeias fazem parte do nosso dia a dia.
- Já lançámos funcionalidades de IA em produtos ativos: Loadmile, GoShip e GrowSober.
- Se concluirmos que não precisa de uma auditoria completa, dizemos-lhe na chamada gratuita de 20 minutos e indicamos a opção mais económica.
Perguntas
frequentes
O prazo do AI Act da UE não foi adiado? Porquê agir agora?
Em parte, sim. O Digital Omnibus (Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026) adiou o prazo de alto risco do Anexo III para 2 de dezembro de 2027. O artigo 50.º manteve as datas. As suas regras de transparência aplicam-se desde 2 de agosto de 2026, e um sistema que já estava no mercado antes dessa data tem até 2 de dezembro de 2026 para marcar o conteúdo gerado por IA num formato legível por máquina. Por isso, na auditoria, associamos cada um dos seus sistemas à data que lhe corresponde. Evita correrias mais tarde e não gasta dinheiro em trabalho de conformidade que pode esperar.
Precisamos disto se só usamos o ChatGPT?
O ChatGPT, por si só, dificilmente coloca a sua empresa no nível de alto risco. É provável que precise na mesma de uma política de utilização, de uma avaliação de risco do fornecedor e de algum controlo sobre colaboradores que usam ferramentas de IA que ninguém aprovou (shadow AI). A verificação de exposição mostra-lhe em que situação está.
E se o nosso caso de uso for de baixo risco?
Nesse caso dizemos-lho na chamada de 20 minutos, e fica por aí. Não lhe vendemos uma auditoria de que não precisa.
Também podem tratar das correções depois da auditoria?
Sim, se quiser. Pode passar logo para um acordo de CTO fracionado ou para um Build Sprint, e implementamos as recomendações. Ainda assim, a auditoria tem um preço fixo próprio, por isso a sua equipa é livre de fazer as correções.
Como funciona a chamada gratuita de 20 minutos?
Comece pela verificação de exposição de 60 segundos. Dá-lhe o seu nível de risco provável. Se o resultado pedir uma análise mais atenta, marcamos uma chamada: conta-nos como é o produto e como usa IA, e nós dizemos-lhe se o AI Act da UE se aplica e ao abrigo de que anexo, o que a auditoria cobriria no seu caso e se recomendamos avançar. Ninguém abre uma apresentação de slides.
Conheça a sua exposição.
A verificação de exposição demora 60 segundos, e uma chamada de seguimento, se precisar, demora 20 minutos.