Marta Oliveira, Chief Data Officer do Banco Atlântico Sul (3 100 colaboradores, 1,4 mil milhões € de produto bancário), recebe em fevereiro de 2025 um alerta do compliance: o motor de scoring de crédito automatizado caiu na categoria de alto risco do EU AI Act. Prazo de conformidade plena? Não é amanhã — mas também não é daqui a uma década. Antes de continuar a ler: sabe exatamente que sistemas de IA correm no seu banco e em que data cada obrigação se torna exigível?
O Regulamento (UE) 2024/1689 (Artificial Intelligence Act) entrou em vigor a 1 de agosto de 2024. A sua aplicação não é imediata nem uniforme: o legislador europeu fixou um calendário escalonado. É essencial conhecê-lo com precisão para planear os investimentos de conformidade sem alarmismo.
As datas-chave são quatro. As proibições do artigo 5.º (por exemplo, social scoring ou reconhecimento de emoções no local de trabalho) aplicam-se desde 2 de fevereiro de 2025. As obrigações dos modelos de finalidade geral (GPAI, art. 51) aplicam-se desde 2 de agosto de 2025. A maioria das obrigações dos sistemas de alto risco do Anexo III aplica-se a 2 de agosto de 2026. Os sistemas de alto risco incorporados em produtos já regulados (Anexo I) seguem o calendário mais alargado, até 2 de agosto de 2027.
Sistema de IA de alto risco no setor financeiro (Anexo III)
O Anexo III do Regulamento (UE) 2024/1689 inclui, entre os casos de alto risco, os sistemas de IA usados para avaliar a solvabilidade de pessoas singulares e estabelecer o seu scoring de crédito, bem como os usados em seguros de vida e saúde para avaliação de risco e tarifação. Para um banco português, o motor de scoring de crédito ao consumo automatizado é, portanto, um sistema de alto risco: exige gestão de risco documentada, dados de treino de qualidade, registo de eventos (logging), supervisão humana e avaliação de conformidade antes de 2 de agosto de 2026.
| Categoria | Exemplo no setor financeiro PT | Aplicável a partir de | Obrigações principais |
|---|---|---|---|
| Práticas proibidas (art. 5) | Social scoring, manipulação subliminar | 02-02-2025 | Proibição total; coima até 35 M€ ou 7 % do volume de negócios mundial |
| GPAI (art. 51) | Modelos generativos de base (LLM) usados pelo banco | 02-08-2025 | Documentação técnica, resumo dos dados de treino, política de direitos de autor |
| Alto risco (Anexo III) | Scoring de crédito, tarifação de seguros por IA | 02-08-2026 | Gestão de risco, logging, supervisão humana, avaliação de conformidade, registo UE |
| Alto risco (Anexo I, produtos regulados) | IA incorporada em dispositivos médicos / máquinas | 02-08-2027 | Integração na legislação setorial existente |
| Risco de transparência (art. 50) | Chatbot de apoio ao cliente, conteúdos gerados por IA | 02-08-2026 | Dever de informar que se interage com IA; marcar conteúdos sintéticos |
A geração aumentada por recuperação (Retrieval Augmented Generation, RAG) combina um modelo de base (LLM) com uma base de conhecimento própria da empresa (base vetorial). A vantagem do ponto de vista do RGPD é clara: os dados da instituição não alimentam o treino do modelo; são injetados como contexto a cada pergunta. Assim evita-se a fuga de dados pessoais para o modelo, mantendo-se a rastreabilidade da fonte.
A CDO Marta Oliveira encomenda um trabalho em três passos. Passo 1 — inventário de IA: identificam-se 19 sistemas, dos quais 3 de alto risco (scoring de crédito, deteção de fraude com decisão automática, tarifação do seguro associado ao crédito). Passo 2 — conselho de governação de IA: CTO, CISO, encarregado de proteção de dados (DPO), responsável de compliance e jurista externo. Passo 3 — avaliação de conformidade dos 3 sistemas de alto risco até 1 de agosto de 2026: sistema de gestão de risco, documentação técnica, registo de eventos e supervisão humana (human-in-the-loop). Custo estimado da conformidade: cerca de 180 000 € em 18 meses.
⚠️Tratar o EU AI Act como aplicável de imediato em bloco
→ O regulamento aplica-se de forma faseada: proibições em 02-02-2025, GPAI em 02-08-2025, alto risco do Anexo III em 02-08-2026 e Anexo I em 02-08-2027. Planeie cada obrigação na sua data própria; não suspenda projetos por supor um prazo único antecipado.
⚠️Não construir um inventário de IA antes da data do alto risco
→ Sem um inventário estruturado segundo o Anexo III, é impossível saber que sistemas exigem avaliação de conformidade até 02-08-2026. Cada sistema usado — incluindo soluções SaaS adquiridas — deve ser classificado e documentado.
⚠️Construir um RAG sem classificação de dados conforme ao RGPD
→ Nem todos os dados podem ser indexados numa base vetorial. Os dados pessoais de categorias especiais (RGPD art. 9, p. ex. saúde) exigem avaliação de impacto sobre a proteção de dados (AIPD, art. 35) antes da integração no RAG.
A articulação com a supervisão nacional é decisiva. O Banco de Portugal supervisiona as instituições de crédito e acompanha o uso de IA na concessão de crédito e na deteção de fraude; a CMVM supervisiona os mercados e a IA aplicada à gestão de ativos e à robo-advisory. Nenhuma destas autoridades substitui o EU AI Act — o regulamento europeu é diretamente aplicável —, mas a sua doutrina de supervisão indica como a conformidade será efetivamente fiscalizada no terreno.
Cuidados práticos na implementação de RAG em bancos portugueses. Primeiro, o controlo de acessos: se a base vetorial indexa documentos de todos os departamentos, um colaborador pode aceder a atas do conselho de administração — o controlo de acessos baseado em papéis (RBAC) ao nível da base vetorial é obrigatório. Segundo, as alucinações e a citação de fontes: os LLM, sem contexto, devolvem informação falsa com aparência de certeza; sistemas RAG em produção devem impor citação de fonte com ligação ao documento e uma camada de revisão humana para respostas de risco. Terceiro, o RGPD art. 22: decisões totalmente automatizadas com efeitos significativos sobre pessoas singulares (p. ex. recusa de crédito sem intervenção humana) exigem direito a revisão por uma pessoa.
Calcule indicadores de governação de IA para a sua instituição: percentagem de sistemas classificados, taxa de conformidade dos sistemas de alto risco e afetação de orçamento ao AI Act.
Ouvrir le calculateur →Consultor de governação de IA e conformidade EU AI Act para instituições financeiras portuguesas
Questions suggerees
A partir de que data se aplicam, em regra, as obrigações dos sistemas de IA de alto risco do Anexo III (p. ex. scoring de crédito) ao abrigo do Regulamento (UE) 2024/1689?
Bonne réponse : 2 de agosto de 2026
As obrigações dos sistemas de alto risco do Anexo III aplicam-se a 2 de agosto de 2026. As proibições do art. 5 aplicam-se desde 02-02-2025 e as obrigações GPAI desde 02-08-2025; o Anexo I (produtos regulados) segue até 02-08-2027.