De todas as obrigações do AI Act, a do artigo 4 é a que afeta mais empresas e a que menos atenção tem recebido. Não depende do nível de risco: basta que alguém na empresa use um sistema de IA no seu trabalho. E em 2026 isso inclui quase toda a gente, desde quem redige e-mails com o ChatGPT até quem filtra currículos com o ATS.
Aplica-se desde fevereiro de 2025. Em julho de 2026, o Omnibus Digital mudou-lhe a redação, e convém saber exatamente em quê.
O que dizia e o que diz agora
A versão original obrigava fornecedores e responsáveis pela implantação a adotar medidas para garantir que o seu pessoal tinha um nível suficiente de literacia em IA. Era uma obrigação de resultado: se um colaborador não sabia o suficiente, a empresa estava em incumprimento.
Depois do Omnibus, a obrigação é de meios: é preciso adotar medidas para apoiar o desenvolvimento dessa literacia, e o texto esclarece que não exige garantir um nível concreto em cada pessoa. O considerando do Omnibus justifica-o com o encargo que representava para as PME.
O que não mudou:
- A obrigação continua a existir. Mudou a forma como se mede, não a necessidade de a cumprir.
- O âmbito. Abrange o pessoal próprio e outras pessoas que usam os sistemas em nome da empresa: colaboradores, trabalhadores independentes, uma agência que gere as suas campanhas com IA.
- O contexto. As medidas têm de ter em conta os conhecimentos técnicos de cada pessoa, a sua experiência e o contexto em que o sistema é usado. Uma formação genérica igual para todos encaixa mal nisso.
Na prática, “adotar medidas” demonstra-se com registos. As perguntas e respostas publicadas pela Comissão em maio de 2025 já indicavam que não é preciso medir o nível de cada colaborador e que bastam registos internos.
O risco que a formação resolve
Para lá do cumprimento, há um motivo prático para levar isto a sério, e está no que as pessoas fazem com as ferramentas de IA quando ninguém lhes explicou nada:
- Colar dados pessoais num chatbot gratuito. Uma lista de clientes para ordenar, um contrato com nomes e números de identificação para resumir. Conforme a ferramenta e o plano, esses dados podem ser usados para treinar modelos ou ser tratados fora da UE, e isso é um problema de RGPD antes de ser um problema de AI Act.
- Confiar num número ou numa citação inventada. Um relatório com uma sentença que não existe ou um dado de mercado que o modelo tirou do nada.
- Aceitar o que o sistema propõe sem olhar. Um ATS que ordena candidatos e uma pessoa que só entrevista os cinco primeiros.
Os três reduzem-se com regras claras e meia hora de explicação com exemplos do trabalho de cada equipa.
Um plano por funções para uma PME
1. Inventário de utilização. Pergunte a cada equipa que ferramentas de IA usa, com que conta (pessoal ou da empresa) e para quê. Sai quase sempre uma lista mais longa do que o esperado, com ferramentas que ninguém aprovou.
2. Regras de utilização numa página. Que ferramentas estão aprovadas e com que plano, que dados nunca se colam (dados pessoais de clientes, dados de saúde, contratos, código com credenciais), o que é preciso rever antes de publicar ou enviar algo gerado com IA, e a quem perguntar quando há dúvidas.
3. Formação conforme a função. O que cada perfil precisa de saber é diferente:
| Perfil | O que usa | O que tem de saber |
|---|---|---|
| Apoio ao cliente | Chatbot do site, assistente de respostas | Que o chatbot pode prometer coisas que a empresa não oferece, como detetá-lo e quando passar a conversa a uma pessoa |
| Marketing | Geradores de texto, imagem e vídeo | Que conteúdo tem de ser identificado como gerado com IA, direitos de imagem e licenças de uso comercial |
| Recursos humanos | ATS com ranking ou filtragem | Que é um sistema de risco elevado, que a decisão final é sua e como rever os candidatos que o sistema descarta |
| Desenvolvimento | Assistentes de código, APIs de modelos | Que dados saem para o fornecedor, como avaliar as respostas de um modelo e o que registar |
| Direção | Tudo o que está acima | Que sistemas existem, que nível de risco têm e quem responde por cada um |
4. Registo. Uma folha com quem recebeu que formação e quando, as regras de utilização com a data da versão e as alterações sempre que entra uma ferramenta nova. É o que mostraria se a autoridade nacional de fiscalização do mercado (em Espanha, a AESIA) ou um cliente o pedisse.
5. Revisão quando as ferramentas mudam. Não é preciso um curso anual. Sempre que se aprova uma ferramenta nova ou muda uma função importante, basta um aviso à equipa afetada com o que muda.
Como se encaixa no resto do AI Act
A literacia é a base das restantes obrigações. A supervisão humana que o risco elevado vai exigir a partir de dezembro de 2027 não funciona se quem supervisiona não percebe onde o sistema falha. A transparência do artigo 50, que se aplica desde agosto de 2026, depende de o marketing saber que conteúdo tem de ser identificado.
Tem o calendário completo no guia do AI Act e a parte ética, que vai além do obrigatório, em como transformar princípios em testes.
Se quiser começar pelo inventário, é o primeiro passo da nossa auditoria de IA responsável: sai a lista de sistemas, o nível de risco de cada um e o que precisa de saber cada equipa que os usa.