Inteligência artificial em Portugal: o AI Act e a proteção de dados
Atualizado em 30 de outubro de 2026 · Pietro Cravero, EPD certificado
Quem fiscaliza em Portugal
A ANACOM foi indicada como autoridade de fiscalização do mercado e ponto de contacto único, ao lado de outras entidades com competências setoriais.
Segundo as informações disponíveis em outubro de 2026, o diploma nacional que define competências e coimas ainda não tinha sido publicado. A CNPD mantém a competência sobre os dados pessoais tratados pelos sistemas de IA.
Literacia em IA (art. 4.º)
Fornecedores e responsáveis pela implantação devem adotar medidas para que o pessoal que usa sistemas de IA tenha conhecimentos suficientes. Com o Regulamento (UE) 2026/1744, aplicável desde 27 de julho de 2026, trata-se de uma obrigação de adotar medidas, e não de garantir um determinado nível.
Na prática: uma regra interna sobre que ferramentas se podem usar e com que dados, e uma formação curta documentada.
Transparência (art. 50.º)
O fornecedor deve conceber o sistema de forma a que as pessoas saibam que estão a interagir com uma IA (n.º 1). A marcação de conteúdos gerados, legível por máquina, é obrigação do fornecedor (n.º 2), com prazo até 2 de dezembro de 2026 para os sistemas já no mercado antes de 2 de agosto de 2026.
Quem usa IA para gerar deepfakes, ou textos publicados para informar o público sobre questões de interesse público, deve divulgar que o conteúdo foi gerado ou manipulado (n.º 4); para os textos há exceção quando houve revisão humana e responsabilidade editorial.
E o RGPD?
Se o sistema trata dados pessoais, são necessários fundamento jurídico, informação, contratos com o fornecedor e, muitas vezes, avaliação de impacto. As decisões exclusivamente automatizadas com efeitos significativos seguem o art. 22.º do RGPD.
Os sistemas de risco elevado do anexo III, como recrutamento ou avaliação de crédito, terão obrigações a partir de 2 de dezembro de 2027.
Perguntas frequentes
Uma empresa que só usa o ChatGPT tem obrigações?
Sim, como responsável pela implantação: literacia (art. 4.º), regras internas sobre os dados introduzidos e, se tratar dados pessoais, o RGPD.
A CNPD fiscaliza o AI Act?
A CNPD fiscaliza os dados pessoais. Para o AI Act a autoridade indicada é a ANACOM; a distribuição definitiva de competências depende do diploma nacional.
Quando se aplicam as regras para sistemas de risco elevado?
Para os sistemas do anexo III, a partir de 2 de dezembro de 2027; para a IA em produtos regulados do anexo I, a partir de 2 de agosto de 2028.
Informação geral, não constitui aconselhamento jurídico para um caso concreto. Atualizado em 30 de outubro de 2026.
Quer aplicar isto à sua organização?
Envie-nos a sua situação: respondemos por escrito, em português, com uma primeira avaliação gratuita.