Este artigo é assinado por Gonçalo Asper Caro.
É
uma boa notícia. Depois de dois anos durante os quais empresas, associações setoriais e profissionais de compliance sinalizaram, de forma consistente, que os prazos originais do AI Act eram irrealistas para grande parte do tecido empresarial europeu, o legislador ajustou o calendário à realidade operacional das organizações.
Adiam-se prazos, aliviam-se encargos e ganham-se meses. Mas será que «adiar» é sinónimo de «resolver»?
Vale a pena analisar o que muda, sobretudo para quem gere pessoas e trata dados no contexto da relação laboral, e perceber se a resposta exige mais nuances do que o discurso da simplificação sugere.
O adiamento que mais interessa a quem gere pessoas
O ponto com impacto mais direto nos Recursos Humanos está no Anexo III do AI Act, onde se enquadram, em regra, os sistemas de IA de risco elevado em contexto laboral.
É o caso de motores de triagem curricular, sistemas de avaliação de desempenho assistidos por IA, ferramentas de distribuição de tarefas ou de monitorização da produtividade e algoritmos de apoio a decisões de promoção.
Estes sistemas permanecem sujeitos, quando classificados como de risco elevado, a obrigações de documentação técnica, avaliação de conformidade, supervisão humana e registo.
O que muda é o calendário. A aplicação das principais obrigações relativas aos sistemas do Anexo III passa de 2 de agosto de 2026 para 2 de dezembro de 2027.
É mais de um ano de fôlego adicional. Contudo, esse fôlego não deve ser interpretado como uma pausa. Representa, sobretudo, uma janela para uma preparação estruturada, em vez de uma conformidade apressada e reativa.
É aqui que vale a pena parar por um momento, porque a tentação de suspirar de alívio é humana e compreensível.
Quem gere projetos de compliance conhece bem aquela sensação muito particular: o prazo aproxima-se, a documentação está incompleta, o fornecedor do sistema de recrutamento ainda não respondeu ao pedido de informação técnica enviado há seis semanas e o gabinete jurídico já perdeu a conta às reuniões em que prometeu «ter isto fechado até ao verão».
De repente, chega a notícia de que há mais um ano e quatro meses pela frente.
É quase um alívio físico. Sente-se nos ombros. Mas talvez valha a pena perguntar o que este adiamento revela sobre o estado da preparação europeia para este tema.
Um regulamento que precisa de ver os seus prazos revistos antes de a maior parte das suas obrigações se aplicar não representa necessariamente um exercício de simplificação bem-sucedido. Pode ser o sinal mais honesto de todos: nem os Estados-Membros nem uma parte significativa das empresas estavam perto de estar preparados.
Isto não significa que o adiamento seja uma admissão de fracasso regulatório. Pelo contrário, representa o reconhecimento ponderado de que a implementação séria de sistemas de gestão da qualidade, documentação técnica e supervisão humana exige tempo real de preparação.
As organizações que já tinham iniciado este trabalho de mapeamento podem agora consolidá-lo, testá-lo e corrigi-lo sem o peso artificial de uma data que as obrigaria a escolher entre fazer bem e cumprir a tempo.
A pergunta que fica no ar é se o problema de fundo, a maturidade real das organizações para lidar com sistemas de IA de risco elevado em contexto laboral, se resolve com mais tempo ou se apenas se transfere para dezembro de 2027 a constatação de que o tempo nunca foi o único obstáculo.
Durante este período, os sistemas de IA usados em contexto laboral continuam sujeitos às regras nacionais e europeias de proteção de dados e às obrigações de transparência já aplicáveis. Estas regras não foram adiadas.
O risco prático é que o adiamento das obrigações específicas dos sistemas de risco elevado crie, em algumas organizações, a ilusão confortável de uma moratória geral que nunca existiu.
Pequenas empresas de média capitalização: quem beneficia da simplificação
O Omnibus estende às chamadas small mid-caps, empresas de pequena e média capitalização, algumas flexibilidades anteriormente associadas às PME.
Estas empresas ficavam muitas vezes presas a um regime pensado para grandes multinacionais, apesar de não possuírem a mesma capacidade de resposta. Ao mesmo tempo, já não beneficiavam de todas as medidas reservadas às PME.
O novo regime prevê, entre outras medidas, documentação técnica simplificada, requisitos proporcionais para os sistemas de gestão da qualidade e limites proporcionais para determinadas sanções.
A possibilidade prevista no artigo 63.º de cumprir de forma simplificada certos elementos do sistema de gestão da qualidade do artigo 17.º, antes reservada às microempresas, passa a abranger as PME, entre elas as startups, desde que não possuam empresas parceiras ou associadas nos termos previstos.
Do ponto de vista empresarial, esta extensão é bem-vinda para organizações em crescimento que desenvolvem ou adotam ferramentas de IA sem possuírem a estrutura de compliance de uma multinacional.
Existe aqui uma lógica de bom senso que seria injusto negar. Exigir a uma organização de cem ou duzentos trabalhadores, ainda a construir o seu departamento jurídico interno, a mesma carga documental exigida a um grupo multinacional pode ser desproporcionado e contraproducente.
Contudo, convém introduzir uma nuance. Boa parte destas simplificações aplica-se às organizações quando estas assumem a posição de fornecedoras de sistemas de IA. Uma empresa que apenas adquire e utiliza uma solução de terceiros será, em regra, responsável pela implementação ou utilizadora do sistema, com obrigações diferentes.
Em qualquer dos casos, a simplificação documental não equivale a dispensa de responsabilidade.
O fornecedor continua responsável pelas obrigações que o AI Act lhe atribui, entre elas o sistema de gestão da qualidade, a documentação técnica e a avaliação de conformidade. A organização que utiliza o sistema também não pode transferir para o fornecedor as suas próprias responsabilidades, como a supervisão humana, a utilização de acordo com as instruções, a monitorização do funcionamento e a proteção dos trabalhadores afetados.
A questão de fundo não é apenas jurídica. É também uma questão de equidade.
O regime de risco elevado foi pensado para proteger trabalhadores e candidatos de decisões algorítmicas com impacto significativo. Estas decisões podem ocorrer precisamente em empresas com dimensão suficiente para automatizar processos de recrutamento e gestão de pessoas em larga escala, com milhares de candidaturas processadas sem que um recrutador humano veja sequer uma parte delas.
Alargar a simplificação a empresas de maior dimensão intermédia é uma escolha legítima e defensável. Mas não deve ser apresentada como uma mera alteração técnica ou um simples ajuste de calendário.
Literacia em IA: de obrigação de resultado a obrigação de meios
Uma alteração discreta, quase escondida entre outras mais mediáticas, mas com peso prático para os departamentos de Recursos Humanos, está na reformulação do artigo 4.º do AI Act.
A anterior exigência de assegurar um determinado nível de literacia em IA transforma-se num dever de adotar medidas que apoiem o desenvolvimento dessa literacia. A Comissão e os Estados-Membros passam também a ter um papel mais ativo nesse esforço.
Pode parecer um detalhe de redação jurídica, quase insignificante ao lado dos grandes adiamentos que dominam os títulos das newsletters. Não é.
A diferença entre «garantir» e «promover» separa dois padrões regulatórios distintos. Passa-se de uma obrigação de resultado, que exigiria à empresa a demonstração de que os trabalhadores atingiram um determinado nível de compreensão, para uma obrigação de meios, centrada nas medidas adotadas para apoiar essa aprendizagem.
Para as organizações, isto não significa que a formação dos colaboradores deixe de ser necessária. Significa que a evidência documental das ações de formação, dos materiais informativos e do apoio prestado às equipas ganha especial relevância como demonstração de conformidade.
Quem já tentou «garantir» um nível de literacia numa equipa de recrutamento, com rotatividade de pessoal e colaboradores em diferentes fases de adaptação tecnológica, sabe como essa palavra era difícil de honrar de forma verificável.
Como se demonstra, com provas concretas, que se assegurou a compreensão de um sistema complexo por parte de todas as pessoas envolvidas na sua operação?
Um dever de adotar medidas que apoiem a literacia constitui um padrão que as empresas conseguem cumprir, documentar e demonstrar através de ações de formação, materiais informativos e acompanhamento das equipas.
A substância da proteção mantém-se. Os trabalhadores continuam a precisar de informação e capacitação sobre os sistemas que operam ou que os afetam. O que muda é o critério de avaliação da conformidade, que passa a ser mais realista e verificável.
Ainda assim, cada organização deve colocar uma pergunta incómoda: estamos a aproveitar esta flexibilização para investir de forma genuína na capacitação das equipas ou vamos usá-la como desculpa para fazer apenas o mínimo?
A resposta não altera a lei, mas muda a qualidade das decisões que os sistemas de IA podem tomar sobre pessoas reais. E isso continua a ser um problema de gestão, não apenas de conformidade legal.
O ponto que cruza IA e proteção de dados: deteção de enviesamentos
É neste ponto que o Omnibus toca diretamente o território da proteção de dados pessoais e onde a análise não pode limitar-se à leitura isolada do AI Act.
O novo artigo 4.º-A passa a permitir, de forma expressa e excecional, o tratamento de categorias especiais de dados pessoais para a deteção e correção de enviesamentos em sistemas de inteligência artificial.
Este é um dos avanços mais úteis do pacote para qualquer empregador que leve a sério a não discriminação.
Ao mesmo tempo, é também o ponto do Omnibus que mais obriga a parar para pensar.
O RGPD sempre tratou as categorias especiais de dados com uma desconfiança estrutural, e por boas razões históricas. São dados que serviram, ao longo do tempo, para discriminar, perseguir, excluir e catalogar pessoas por aquilo que são, e não por aquilo que fazem.
Por isso, o regime europeu de proteção de dados construiu à sua volta uma lógica de exceção muito apertada, aplicável apenas em circunstâncias específicas e com salvaguardas reforçadas.
O Omnibus cria uma permissão expressa para este tratamento, mas exige condições rigorosas. O tratamento tem de ser estritamente necessário, não pode ser substituído de forma eficaz por dados sintéticos ou anonimizados e deve respeitar medidas reforçadas de segurança, limitação de acesso, pseudonimização, documentação e eliminação.
O texto identifica os operadores que podem recorrer a esta possibilidade. Abrange fornecedores de sistemas de risco elevado e, mediante condições específicas, fornecedores e responsáveis pela implementação de outros sistemas e modelos, bem como responsáveis pela implementação de sistemas de risco elevado.
O regulamento esclarece também que esta permissão não cria, por si só, uma obrigação geral de realizar exercícios de deteção e correção de enviesamentos.
A questão que permanece não é, portanto, saber se qualquer responsável pelo tratamento pode invocar esta finalidade sem limites. A verdadeira questão será perceber como as autoridades distinguirão um exercício genuíno, necessário e documentado de deteção de enviesamentos de uma justificação genérica para tratar dados sensíveis.
Sem uma interpretação exigente, existe o risco de esta finalidade ser usada para legitimar tratamentos que, noutras circunstâncias, seriam ilícitos ou desproporcionados.
Este risco merece especial atenção enquanto não existirem orientações concretas das autoridades de proteção de dados sobre a articulação entre os dois regimes.
Para os departamentos de proteção de dados e de Recursos Humanos, esta é a alteração do Omnibus que exige uma leitura particularmente cuidadosa.
Não porque crie uma nova obrigação de compliance, mas porque cria uma nova permissão. E as permissões podem ser tão perigosas como as obrigações quando parecem nobres nos seus objetivos, mas abrem espaço para um tratamento excessivo de dados sensíveis dos próprios trabalhadores.
Marcação de conteúdos gerados por IA: dois prazos diferentes
Outra distinção importante relaciona-se com o artigo 50.º, n.º 2, que obriga os fornecedores de sistemas que geram conteúdos sintéticos de áudio, imagem, vídeo ou texto a assegurar que esses resultados são identificáveis num formato legível por máquina.
O prazo de 2 de dezembro de 2026 aplica-se aos fornecedores de sistemas colocados no mercado antes de 2 de agosto de 2026. Trata-se de um período transitório para sistemas que já estavam no mercado, não de um adiamento geral da obrigação para todos os sistemas.
Para os sistemas colocados no mercado a partir de 2 de agosto de 2026, as obrigações de transparência são aplicáveis de acordo com o calendário geral do regulamento.
Mantém-se também, desde 2 de agosto de 2026, a obrigação dirigida aos fornecedores de sistemas destinados a interagir diretamente com pessoas. Esses sistemas devem ser concebidos para que a pessoa saiba que interage com uma IA, exceto quando tal seja evidente no contexto.
As obrigações dirigidas às organizações que utilizam determinados sistemas, previstas nos números 3 e 4 do artigo 50.º, também permanecem aplicáveis. É o caso da utilização de sistemas de reconhecimento de emoções, categorização biométrica, deepfakes ou textos gerados por IA para informar o público sobre matérias de interesse público.
Uma empresa que utilize um chatbot de IA na comunicação com trabalhadores ou candidatos não deve, por isso, presumir que beneficia de uma moratória geral. Deve confirmar se o sistema foi concebido para prestar a informação necessária e cumprir as obrigações que lhe sejam aplicáveis enquanto entidade utilizadora, além das regras de proteção de dados.
Existe aqui uma assimetria comunicacional que merece atenção.
O Omnibus é frequentemente apresentado como um «adiamento generalizado» de obrigações. Contudo, uma das obrigações mais visíveis para trabalhadores e candidatos, saber com clareza que estão a interagir com um sistema de IA, mantém-se no calendário geral aplicável desde agosto de 2026.
Vale a pena perguntar quantas organizações já cumprem esta obrigação em todos os pontos de contacto com trabalhadores e candidatos.
Pode existir um canal esquecido, um chatbot introduzido à pressa ou uma ferramenta que nunca passou por uma revisão jurídica. O Omnibus não cria aqui uma dificuldade adicional. Serve como lembrete para confirmar se a prática corresponde à intenção declarada.
O que os Recursos Humanos devem fazer agora
O Omnibus da IA não constitui um convite ao adiamento da conformidade. É um convite à sua estruturação e a uma leitura mais crítica do discurso da simplificação.
Para os departamentos de Recursos Humanos, a recomendação prática assenta em três frentes.
Primeiro, aproveitar o prazo alargado até dezembro de 2027 para mapear com rigor os sistemas de IA utilizados no recrutamento, na avaliação e na gestão de trabalhadores. Cada sistema deve ser corretamente classificado segundo o respetivo risco, e a organização deve perceber se assume a posição de fornecedora, responsável pela implementação ou ambas.
Segundo, rever desde já as obrigações de transparência do artigo 50.º que já se aplicam às interações com candidatos e trabalhadores. O adiamento dos sistemas de risco elevado não suspende estas regras.
Terceiro, envolver as equipas de proteção de dados sempre que se pondere usar a nova permissão de tratamento de categorias especiais de dados para deteção de enviesamentos. Antes de qualquer tratamento, devem existir uma finalidade concreta, uma análise de necessidade, salvaguardas adequadas e documentação completa.
Fica por resolver a questão que apenas a prática de supervisão e as futuras orientações poderão esclarecer: em que medida esta nova permissão será interpretada de forma restritiva ou extensiva pelas autoridades de proteção de dados e até que ponto a simplificação do calendário se traduzirá numa conformidade mais sólida ou apenas num pretexto para adiar e fazer menos.
O sinal dado pelo Omnibus é claro. O legislador europeu mostrou disponibilidade para ouvir quem, todos os dias, tem de transformar princípios abstratos em práticas concretas de gestão de pessoas.
Cabe agora a cada empresa usar o tempo adicional para se preparar para as obrigações que se aproximam.
Aproveite e leia já as últimas edições da RHmagazine AQUI
