O Regulamento (UE) 2024/1689, conhecido como Regulamento da IA ou AI Act, fixou o dia 2 de agosto de 2026 como data geral de aplicação. Essa data já passou, e boa parte da cobertura resumiu-a dizendo que a União Europeia acabava de adiar a norma. O resumo é enganador para quem tem de responder pela formação do seu pessoal.
O adiamento existe, mas tem um perímetro preciso. O Digital Omnibus sobre IA deslocou as obrigações dos sistemas de risco elevado, aquelas que exigem gestão de riscos, documentação técnica, avaliação da conformidade e supervisão humana. O que não deslocou foi a obrigação que fala de pessoas.
Este artigo não percorre o regulamento inteiro nem entra na classificação de riscos. Centra-se no artigo 4.º, no que exige em matéria de formação, em quem abrange dentro de uma organização que apenas utiliza ferramentas de IA e em que evidência sustenta esse cumprimento.
O que adiou o Digital Omnibus e o que se mantém em calendário?
O Digital Omnibus sobre IA reordenou o calendário do regulamento ao longo de 2026. A deslocação afeta os sistemas de risco elevado, não o conjunto da norma, e essa distinção muda bastante a leitura do título de jornal.
| Bloco de obrigações | Data em vigor |
|---|---|
| Literacia em matéria de IA (artigo 4.º) | Em aplicação desde 2 de fevereiro de 2025 |
| Práticas proibidas | Em aplicação desde 2 de fevereiro de 2025 |
| Transparência (artigo 50.º) | 2 de agosto de 2026, sem alterações |
| Sistemas de risco elevado do anexo III | 2 de dezembro de 2027, adiada |
| Sistemas de risco elevado do anexo I | 2 de agosto de 2028, adiada |
O artigo 4.º não figura entre o que foi adiado porque já estava em aplicação desde fevereiro de 2025. O que mudou com o Digital Omnibus foi a sua redação. A obrigação passou de garantir um nível suficiente de literacia em matéria de IA para apoiar o desenvolvimento dessa literacia, uma formulação menos exigente no resultado e que mantém intacto o dever de agir.
Convém não ler essa nuance como uma redução de importância, porque em paralelo aconteceu o contrário. A Comissão Europeia explica nas suas perguntas e respostas sobre literacia em matéria de IA que a obrigação já se aplicava desde 2 de fevereiro de 2025 e que as autoridades nacionais de fiscalização do mercado começaram a supervisioná-la e a fazê-la cumprir a 2 de agosto de 2026.
Durante ano e meio a obrigação existiu sem autoridade que a revisse. Esse período terminou.
O que exige o artigo 4.º sobre literacia em matéria de IA?
O artigo 4.º obriga os fornecedores e os responsáveis pela implantação de sistemas de IA a adotarem medidas para que o seu pessoal, e as demais pessoas que se ocupam do funcionamento e da utilização desses sistemas em seu nome, desenvolvam literacia em matéria de IA.
A literacia em matéria de IA é a capacidade de uma pessoa utilizar sistemas de inteligência artificial com conhecimento de causa, percebendo o que a ferramenta consegue fazer, onde falha e que consequências tem o seu resultado sobre quem o recebe. Não é formação técnica sobre como se constrói um modelo, mas critério sobre como se usa e quando convém desconfiar do que devolve.
A norma não fixa um programa, nem horas mínimas, nem um certificado a fechar. Enumera, em vez disso, os fatores que modulam a medida, e são eles que levam duas organizações com o mesmo quadro de pessoal a terem de formar de maneira diferente.
- Os conhecimentos técnicos, a experiência, a educação e a formação prévias de cada pessoa.
- O contexto em que os sistemas de IA serão utilizados.
- As pessoas ou os grupos de pessoas sobre os quais esses sistemas serão utilizados.
Este último fator é o que mais passa despercebido. A exigência não depende apenas de quem opera a ferramenta, mas de sobre quem recai o seu resultado. Um sistema que intervém em decisões sobre candidatos, clientes ou doentes eleva a fasquia do que o seu operador precisa de compreender, ainda que a interface seja simples.
A ausência de um programa fechado não é um vazio que convenha celebrar. Significa que a organização decide o âmbito e depois tem de o justificar, tal como acontece com o princípio da proporcionalidade noutros quadros europeus. É a mesma lógica de responsabilidade própria que já aparecia nas exigências de sensibilização da Diretiva NIS2.
A quem chega a obrigação dentro da tua organização?
Aqui está o ponto que mais vezes é mal calculado. O artigo 4.º não fala apenas de quem desenvolve IA, fala também do responsável pela implantação, ou seja, de quem utiliza um sistema de IA sob a sua própria autoridade num contexto profissional.
Com essa definição, a obrigação deixa de ser um assunto do setor tecnológico. Uma sociedade de consultoria que usa um assistente para redigir minutas, um departamento de recursos humanos que filtra currículos com uma ferramenta comercial ou uma equipa de apoio com um chatbot entram na previsão sem terem programado nada.
A confusão habitual consiste em olhar para a classificação de risco antes de olhar para a própria figura. Que um sistema não seja de risco elevado, e que as suas obrigações específicas tenham passado para dezembro de 2027, não altera o artigo 4.º, que se aplica independentemente do nível de risco do sistema utilizado. Uma organização pode ficar totalmente fora do anexo III e continuar a ter de formar quem opera as suas ferramentas.
Determinar o próprio enquadramento é, de novo, uma decisão da organização e não uma notificação que chegue de fora. É o mesmo cálculo que o DORA obriga a fazer sobre o seu âmbito de aplicação, onde também não existe um registo oficial de entidades sujeitas.
O perímetro também não se fica pelo quadro de pessoal. O artigo refere-se ao pessoal e às demais pessoas que se ocupam do funcionamento e da utilização dos sistemas por conta da organização, pelo que um prestador que opera a ferramenta fica dentro do mesmo círculo. É a deslocação para a cadeia de fornecimento que já vimos noutros quadros e que convém resolver antes de aparecer num questionário de segurança de um cliente.
Há um efeito secundário que merece atenção. Quando uma organização não forma as suas pessoas na utilização de IA, o uso não desaparece, torna-se invisível e migra para ferramentas pessoais fora de qualquer controlo, um fenómeno que analisámos ao ver porque bloquear o ChatGPT não resolve o shadow AI. A literacia em matéria de IA e a redução desse risco são o mesmo trabalho.
Como se demonstra a literacia em IA perante a autoridade?
Demonstra-se com registos, e com registos que expliquem decisões. Como o artigo 4.º exige ajustar as medidas ao perfil de cada pessoa e ao contexto de utilização, uma lista de presenças numa sessão genérica responde mal à pergunta que a autoridade vai fazer.
Na camada das pessoas, a evidência que sustenta o cumprimento costuma apoiar-se nestes elementos.
- Inventário dos sistemas de IA em uso e das áreas que os operam, que é o que delimita o âmbito da formação.
- Identificação do papel de cada pessoa relativamente a esses sistemas, distinguindo quem decide, quem opera e quem revê o resultado.
- Conteúdos diferenciados por esse papel, com um âmbito justificável perante os fatores do artigo 4.º.
- Registo de quem recebeu formação, quando e sobre o quê, com cobertura do pessoal externo que opera sistemas em nome da organização.
- Atualização sustentada no tempo, porque o catálogo de ferramentas muda mais depressa do que o plano de formação anual.
Essa exigência de rastreabilidade por função não é novidade para quem já trabalhou outros quadros. A diferença entre comprovar formação e comprovar comportamento desenvolvi-a ao detalhar o controlo 6.3 da ISO 27001:2022, e o problema de reconstruir esse rasto à mão aparece nas perguntas do auditor que uma folha de Excel não responde.
A SMARTFENSE, enquanto plataforma de sensibilização com presença na Europa e na América Latina, dispõe de um programa formativo dedicado ao Regulamento da IA com 10 módulos organizados em dois percursos, um para todo o pessoal e outro para a direção e o C-Level. Cada ação fica registada e segmentada por grupo e por função, que é a unidade em que o artigo 4.º coloca a exigência. O detalhe está na página de conformidade com o Regulamento da IA e o mapa normativo completo na página de conformidade.
O calendário do Regulamento da IA mexeu-se para os sistemas e ficou parado para as pessoas. Essa assimetria diz algo sobre como o legislador europeu entende o risco desta tecnologia, e deixa as organizações com uma obrigação em vigor há mais de um ano que agora, além disso, tem quem a fiscalize.
Deixe um comentário