As regras de transparência do Regulamento da IA já se aplicam: o que muda no seu site

Em 2 de agosto de 2026 passaram a ser aplicáveis as obrigações de transparência do artigo 50.º do Regulamento da Inteligência Artificial da UE (Regulamento (UE) 2024/1689, o AI Act). Ao contrário das disposições sobre risco elevado, que foram adiadas, esta parte chegou dentro do calendário.

Interessa a muito mais empresas do que a expressão «regulação da IA» deixa supor. Não é preciso estar a desenvolver modelos. Se tem um chatbot na página de apoio, gera descrições de produtos com um modelo de linguagem ou usa uma ferramenta de IA para produzir imagens para as suas campanhas, o artigo 50.º faz agora parte das suas obrigações de conformidade.

Eis o que se aplica, o que não se aplica e como isto se traduz em trabalho concreto.

O calendário revisto, porque mudou

Durante 2026 houve uma confusão real sobre que prazos do Regulamento da IA se mantinham. O Omnibus Digital sobre a IA, proposto em 19 de novembro de 2025 e acordado ao longo de 2026, adiou partes do regime. O quadro atual:

• 2 de fevereiro de 2025: proibição de práticas inaceitáveis, incluindo a classificação social, a manipulação subliminar e certas formas de identificação biométrica. Já em vigor, sem alterações.
• 2 de agosto de 2025: obrigações para os prestadores de modelos de IA de finalidade geral. Em vigor.
• 2 de agosto de 2026: obrigações de transparência do artigo 50.º. Em vigor desde já.
• 2 de dezembro de 2026: proibição das aplicações de «nudificação» e fim do período de tolerância para a marcação legível por máquina pelos sistemas generativos já colocados no mercado antes de 2 de agosto de 2026. Os sistemas colocados no mercado desde então têm de marcar os seus resultados desde o primeiro dia.
• 2 de dezembro de 2027: prazo de conformidade para os sistemas de risco elevado autónomos do anexo III, adiado de 2 de agosto de 2026.
• 2 de agosto de 2028: prazo de conformidade para a IA de risco elevado integrada em produtos regulados.

O adiamento aplica-se ao nível de risco elevado. Se partiu do princípio de que o Regulamento inteiro tinha derrapado, deixou escapar a parte que mais atinge as equipas de produto comuns.

O que exige o artigo 50.º

Quatro obrigações, para situações diferentes.

1. Informar as pessoas de que estão a falar com uma máquina

Se um sistema de IA se destina a interagir diretamente com pessoas, tem de ser concebido de modo a que essas pessoas sejam informadas de que estão a interagir com uma IA, salvo se isso for óbvio para uma pessoa razoavelmente informada e atenta.

Abrange chatbots de apoio, assistentes de voz, sistemas telefónicos baseados em IA e agentes de vendas conversacionais. A obrigação recai sobre o prestador na fase de conceção, mas, se instala um destes sistemas no seu site com a sua própria marca, são os seus utilizadores que têm de ser informados.

A fasquia do «óbvio» é mais baixa do que a maioria pensa. Um widget chamado «Assistente de IA» com o ícone de um robô provavelmente cumpre. Uma janela de chat que abre com «Olá, sou a Anna, do apoio ao cliente. Em que posso ajudar?» e nunca diz o contrário não cumpre.

2. Marcar o conteúdo sintético de forma legível por máquina

Os prestadores de sistemas de IA que geram áudio, imagem, vídeo ou texto sintéticos têm de marcar os resultados num formato legível por máquina, para que possam ser detetados como gerados ou manipulados artificialmente. A marcação tem de ser eficaz, interoperável, sólida e fiável, na medida em que for tecnicamente viável.

Na prática, isto aponta para as credenciais de conteúdo e os metadados de proveniência, sendo a C2PA a abordagem mais desenvolvida, e para a marca de água nos modelos que a suportam. O dever de marcação aplica-se desde 2 de agosto de 2026; os sistemas generativos que já estavam no mercado antes dessa data têm até 2 de dezembro de 2026 para cumprir.

Se usa um fornecedor comercial de modelos, a maior parte desta obrigação é dele. A sua exposição está no que o seu pipeline faz depois aos resultados. Remover metadados no processamento de imagem, voltar a codificar ou transformar na CDN pode apagar precisamente a marcação que a lei lhe pede para preservar. É um risco real num pipeline de ativos comum, e vale a pena verificá-lo.

3. Divulgar as falsificações profundas e o texto de interesse público gerado por IA

Os responsáveis pela implantação de sistemas que geram ou manipulam conteúdos de imagem, áudio ou vídeo que constituam uma falsificação profunda (deepfake) têm de divulgar que esse conteúdo foi gerado ou manipulado artificialmente. Existe uma exceção para obras manifestamente artísticas, criativas, satíricas ou de ficção, em que a divulgação pode ser mais discreta e não deve prejudicar a obra.

Além disso, quem publica texto gerado ou assistido por IA sobre questões de interesse público tem de o divulgar, salvo se o conteúdo tiver passado por revisão humana e uma pessoa singular ou coletiva assumir a responsabilidade editorial.

Esta segunda exceção é importante para as equipas de marketing. Um texto assistido por IA que um editor humano reviu e aprovou, em geral, não precisa de etiqueta. O que precisa é de um registo de que a revisão aconteceu: um estado no fluxo de trabalho, um registo de aprovações, um responsável identificado.

4. Reconhecimento de emoções e categorização biométrica

Os responsáveis pela implantação de sistemas de reconhecimento de emoções ou de categorização biométrica têm de informar as pessoas expostas a eles e tratar os dados pessoais em conformidade com o RGPD. O âmbito é mais restrito, mas, se o seu produto faz análise de sentimento em videochamadas ou infere atributos a partir de imagens, analise isto com cuidado.

O Código de Práticas e as orientações da Comissão

Há agora dois documentos que preenchem os pormenores. O Código de Práticas final sobre a marcação e a rotulagem de conteúdos gerados por IA foi publicado em 10 de junho de 2026. Tem uma secção para os prestadores, sobre marcação e deteção, e outra para os responsáveis pela implantação, sobre a rotulagem de falsificações profundas e de texto gerado por IA, e a Comissão e o Comité Europeu para a Inteligência Artificial confirmaram-no como instrumento voluntário adequado para demonstrar a conformidade. Cerca de 190 empresas e organizações tinham-no assinado até ao final de julho de 2026. A assinatura é facultativa, mas, se não assinar, tem de demonstrar que as suas próprias medidas são adequadas.

Em 20 de julho de 2026, a Comissão publicou as suas orientações sobre o artigo 50.º. Não são vinculativas, e só o Tribunal de Justiça pode interpretar o Regulamento com autoridade. Alguns pontos interessam às equipas que gerem sites. A correção gramatical, pequenos retoques de estilo e as traduções geradas por IA contam como edição corrente e não precisam de marca legível por máquina; os resumos e as reescritas por IA que alteram o sentido precisam. Os resultados curtos, como palavras isoladas, legendas de imagens, texto alternativo e etiquetas de interface, ficam fora do dever de marcação, tal como o código-fonte.

Como a informação tem de ser apresentada

O artigo 50.º diz que a informação tem de ser prestada de forma clara e distinguível, o mais tardar no momento da primeira interação ou exposição, e tem de cumprir os requisitos de acessibilidade aplicáveis.

Esta última cláusula liga-se diretamente ao Ato Europeu da Acessibilidade. Uma divulgação que só aparece numa dica ao passar o rato, em texto cinzento de baixo contraste ou numa imagem sem texto alternativo falha duas vezes.

Implicações práticas:

• A divulgação aparece antes ou no momento da primeira interação, não nos termos de utilização.
• É texto legível no DOM acessível, não algo embutido numa imagem.
• Resiste à navegação por teclado e ao acesso por leitor de ecrã.
• Está traduzida. Num site multilingue, uma divulgação sobre IA apenas em inglês não é clara para um utilizador polaco.

Como isto se traduz em tarefas

Para a maioria das equipas, o trabalho em si é pequeno, o que é uma boa razão para não o adiar.

Chat e interfaces conversacionais. Acrescente uma indicação visível e permanente no cabeçalho do widget e na mensagem de abertura. Garanta que existe em todas as línguas em que trabalha. Se passa a conversa para um humano, diga-o nesse momento, porque é precisamente nessa transição que muda aquilo que o utilizador presume.

Pipelines de conteúdos. Audite onde é que os ativos gerados por IA entram no seu sistema e o que acontece aos seus metadados. Se o processamento de imagem remove os dados de proveniência, preserve-os ou volte a aplicá-los. Mantenha um campo de proveniência no registo de cada ativo.

Fluxo editorial. Se publica conteúdos assistidos por IA sobre algo que se pareça com temas de interesse público, acrescente uma etapa de revisão com um aprovador identificado e guarde a aprovação. É essa a sua isenção, e uma isenção que não consegue provar não é uma isenção.

Componentes. Construa um pequeno componente de divulgação e use-o de forma coerente, em vez de escrever a etiqueta avulso em cinco sítios. Além disso, fica com um único sítio para alterar quando as orientações evoluírem.

Inventário. Mantenha uma lista de todos os sistemas de IA do produto: o que é, quem o fornece, o que gera, quem é o prestador e quem é o responsável pela implantação, e que obrigações do artigo 50.º se aplicam. Quando um regulador ou um cliente perguntar, a resposta é esta.

Quem é prestador e quem é responsável pela implantação

O Regulamento divide as obrigações entre os prestadores, que desenvolvem um sistema e o colocam no mercado, e os responsáveis pela implantação, que o utilizam sob a sua própria autoridade.

A maioria das empresas são responsáveis pela implantação. É o papel mais leve, mas tem uma armadilha: se modificar substancialmente um sistema, lhe puser o seu nome ou a sua marca, ou alterar a sua finalidade prevista, pode passar a ser prestador e herdar as obrigações mais pesadas.

Envolver um modelo comercial no seu próprio produto, dar-lhe uma persona e lançá-lo com a sua marca é uma situação que vale a pena mostrar ao seu advogado, porque a resposta depende de pormenores que só a sua equipa conhece.

O que fica fora do âmbito

Vale a pena dizê-lo com clareza, porque o alargamento descontrolado do âmbito nos projetos internos de conformidade faz perder muito tempo.

O artigo 50.º não obriga a rotular todas as utilizações de aprendizagem automática. Um motor de recomendação que ordena produtos não gera conteúdo sintético nem interage como agente conversacional. A filtragem de spam, a pontuação de fraude, a ordenação de resultados de pesquisa e a previsão da procura ficam fora destas regras de transparência em concreto, embora possam levantar questões do RGPD sobre decisões automatizadas.

Também não passa a ser um sistema de risco elevado só por usar IA. A classificação como risco elevado decorre do anexo I e do anexo III, ligada a casos de utilização específicos como o emprego, o crédito, a educação, os serviços essenciais e os componentes de segurança. Se está num desses casos, o seu prazo é 2 de dezembro de 2027 ou 2 de agosto de 2028, e o programa de trabalho é muito maior.

A realidade da fiscalização

As coimas previstas no Regulamento da IA são significativas: até 15 milhões de euros ou 3 % do volume de negócios anual a nível mundial para muitas infrações. As autoridades nacionais de fiscalização do mercado ainda estão a ganhar capacidade, e é pouco provável que o primeiro ano de fiscalização seja agressivo com pequenos responsáveis pela implantação que atuam de boa-fé.

Dito isto, as obrigações de transparência são, de todo o Regulamento, o que qualquer pessoa consegue verificar mais facilmente de fora. Um regulador, um jornalista ou um concorrente pode abrir o seu site e ver se o chatbot se identifica. Não é preciso investigação nenhuma.

Barato de cumprir, e óbvio para qualquer um quando não cumpre. É a pior combinação para arriscar.

Onde isto se enquadra

O Regulamento da IA é uma peça de um conjunto muito mais vasto de regras digitais da UE. Se está a mapear tudo, o nosso guia de conformidade digital da UE para 2026 mostra o que se aplica e quando, e o guia de engenharia para o RGPD trata da camada de proteção de dados sobre a qual assentam os sistemas de IA.

Integramos funcionalidades de IA em produtos de empresas que operam na Europa, o que significa que tratamos das questões de divulgação, proveniência e pista de auditoria como parte normal da entrega, e não como um exercício de conformidade à parte. Se quer uma revisão de onde aparece IA no seu produto e do que o artigo 50.º lhe exige, escreva para office@c9group.dev.

Somos engenheiros, não advogados. As questões de classificação, sobretudo a fronteira entre prestador e responsável pela implantação, são para o seu advogado. Nós garantimos que o sistema corresponde à resposta.