A inteligência artificial deixou de ser um extra no ecommerce: está nos chatbots de apoio ao cliente, nos motores de recomendação, na geração de descrições e imagens de produto, na definição dinâmica de preços e até na triagem de candidaturas de emprego. Com o AI Act, a União Europeia tornou-se a primeira região do mundo a regular a IA de forma abrangente — e isso tem consequências diretas para quem constrói, faz crescer e escala uma loja online.
Neste guia do Ecommerce Para Todos, explicamos o que é o AI Act, que regras já se aplicam, o que foi adiado pelo pacote Digital Omnibus, e apresentamos uma checklist prático para colocar a sua loja em conformidade.
A lógica do regulamento é simples de entender: quanto maior o risco que um sistema de IA representa para as pessoas, mais exigentes são as regras. É a chamada abordagem baseada no risco, organizada numa pirâmide de quatro níveis.
A pirâmide de risco do AI Act
Risco inaceitável
Alto risco
Risco limitado
Risco mínimo
Nível de risco
O que significa
Exemplos no ecommerce
Risco inaceitável Proibido
Práticas proibidas pelo artigo 5.º: técnicas subliminares ou manipuladoras que distorcem materialmente o comportamento, exploração de vulnerabilidades (idade, deficiência, situação socioeconómica), social scoring, reconhecimento de emoções no local de trabalho.
Interfaces enganosas potenciadas por IA que levam o cliente a decisões que causam dano significativo; IA que explora deliberadamente vulnerabilidades de menores ou pessoas em situação económica frágil; análise de emoções dos colaboradores do apoio ao cliente.
Alto risco Regras exigentes
Sistemas do Anexo III (e componentes de segurança de produtos regulados do Anexo I). Exigem gestão de risco, documentação técnica, supervisão humana, registo e avaliação de conformidade.
IA de recrutamento e seleção de pessoal; avaliação de solvabilidade / credit scoring (relevante em pagamentos faseados); identificação biométrica.
Risco limitado Transparência
Obrigações de transparência do artigo 50.º: informar que se interage com IA, marcar conteúdo sintético, revelar deepfakes.
Chatbots e assistentes virtuais da loja; imagens, vídeos, áudio e textos de produto gerados por IA; avatares sintéticos em campanhas.
Risco mínimo Sem obrigações novas
A grande maioria dos sistemas: sem requisitos adicionais, apenas boas práticas voluntárias.
Filtros de spam, otimização de stock e logística, pesquisa interna no site, a generalidade dos motores de recomendação.
Calendário: o que já se aplica e o que foi adiado
O AI Act entrou em vigor a 1 de agosto de 2024, mas a aplicação é faseada. Atenção a uma novidade importante de 2026: o pacote legislativo Digital Omnibus (Regulamento (UE) 2026/1744, em vigor desde julho de 2026) adiou as obrigações dos sistemas de alto risco, mas manteve tudo o resto no calendário original — incluindo as regras de transparência que afetam a maioria das lojas online.
Calendário de aplicação do AI Act (atualizado a agosto de 2026)
2 fev 2025
Proibições + literacia em IA
2 ago 2025
Modelos GPAI + sanções
2 ago 2026
Aplicação geral + transparência
2 dez 2026
Fim da tolerância na marcação
2 dez 2027
Alto risco (Anexo III)
2 ago 2028
IA em produtos regulados (Anexo I)
Data
O que passa a aplicar-se
Estado
2 fev 2025
Práticas proibidas (art. 5.º) e literacia em IA (art. 4.º) — formação das equipas que usam IA.
Em vigor
2 ago 2025
Regras para modelos de IA de finalidade geral (GPAI, como os grandes modelos de linguagem), governação e regime sancionatório.
Em vigor
2 ago 2026
Aplicação geral do regulamento, incluindo as obrigações de transparência do art. 50.º (chatbots, conteúdo sintético, deepfakes).
Em vigor
2 dez 2026
Fim do período de tolerância para a marcação técnica (legível por máquina) de conteúdos de sistemas de IA generativa colocados no mercado antes de 2 ago 2026.
A caminho
2 dez 2027
Obrigações dos sistemas de alto risco do Anexo III (recrutamento, credit scoring, biometria, etc.) — adiadas pelo Digital Omnibus (antes: 2 ago 2026).
Adiado
2 ago 2028
Obrigações para IA integrada em produtos regulados (Anexo I / art. 6.º, n.º 1) — adiadas pelo Digital Omnibus (antes: 2 ago 2027).
Adiado
Nota importante: o adiamento para dezembro de 2027 abrange apenas os sistemas de alto risco. As proibições, as regras para modelos GPAI e as obrigações de transparência do artigo 50.º não foram adiadas e aplicam-se já hoje.
O que muda, na prática, para a sua loja online
1. Chatbots e assistentes virtuais: o cliente tem de saber que fala com IA
O artigo 50.º, n.º 1, exige que qualquer sistema de IA concebido para interagir diretamente com pessoas as informe de que estão a interagir com IA — salvo quando isso for óbvio para um utilizador razoavelmente informado. Na prática: o chatbot da sua loja deve identificar-se como assistente virtual logo na primeira interação, de forma clara. Um simples “Olá! Sou o assistente virtual da loja X” resolve a questão e ainda gera confiança.
2. Conteúdo gerado por IA: marcação obrigatória
Se usa IA generativa para criar imagens de produto, vídeos promocionais, áudio ou texto, os fornecedores desses sistemas devem garantir que os resultados são marcados em formato legível por máquina e detetáveis como gerados artificialmente (art. 50.º, n.º 2). Como utilizador profissional (deployer), a sua responsabilidade direta concentra-se nos deepfakes: se gerar ou manipular imagem, áudio ou vídeo que constitua um deepfake — por exemplo, um avatar realista de uma pessoa a “apresentar” o seu produto — tem de divulgar que o conteúdo foi gerado ou manipulado artificialmente (art. 50.º, n.º 4).
3. Dark patterns com IA: linha vermelha
O artigo 5.º proíbe sistemas de IA que usem técnicas subliminares, manipuladoras ou enganosas que distorçam materialmente o comportamento e causem (ou possam causar) dano significativo, bem como sistemas que explorem vulnerabilidades ligadas à idade, deficiência ou situação socioeconómica. Personalização agressiva que empurre deliberadamente pessoas vulneráveis para compras danosas não é apenas má prática: é uma prática proibida, com as coimas mais elevadas de todo o regulamento. Esta regra soma-se às que já existem no RGPD e no Digital Services Act contra dark patterns.
4. Recrutamento e gestão de equipas com IA: alto risco
Sistemas de IA usados para recrutar, filtrar candidaturas, avaliar candidatos, promover, atribuir tarefas ou monitorizar o desempenho dos colaboradores constam do Anexo III — são de alto risco. As obrigações completas só se aplicam a partir de 2 de dezembro de 2027, mas quem usa estas ferramentas deve começar já a inventariá-las e a exigir garantias aos fornecedores. Atenção: o reconhecimento de emoções no local de trabalho é proibido desde fevereiro de 2025 (salvo razões médicas ou de segurança).
5. Pagamentos faseados e crédito: atenção ao credit scoring
A avaliação de solvabilidade de pessoas singulares por IA é alto risco (Anexo III, ponto 5). Se a sua loja oferece soluções de crédito ou buy now, pay later através de parceiros, a conformidade cabe sobretudo ao fornecedor do sistema — mas convém garantir contratualmente que os parceiros cumprem.
6. Literacia em IA: formar a equipa já é obrigação
Desde 2 de fevereiro de 2025, o artigo 4.º exige que as empresas que fornecem ou utilizam sistemas de IA assegurem um nível suficiente de literacia em IA das suas equipas. Para uma PME de ecommerce, isto significa formação básica: o que a ferramenta faz, que limites tem e que cuidados exigir ao usá-la com dados de clientes.
Coimas: quanto custa não cumprir
Regime sancionatório do AI Act (art. 99.º)
Práticas proibidas (art. 5.º)
35 M€ ou 7%
Incumprimento de obrigações (incl. art. 50.º)
15 M€ ou 3%
Informações enganosas às autoridades
7,5 M€ ou 1%
Infração
Coima máxima
Ou % da faturação mundial anual
Práticas de IA proibidas (art. 5.º)
35 000 000 €
7% (o valor mais alto)
Incumprimento de obrigações de fornecedores, importadores, distribuidores e utilizadores — incluindo a transparência do art. 50.º
15 000 000 €
3% (o valor mais alto)
Prestação de informações incorretas, incompletas ou enganosas às autoridades
7 500 000 €
1% (o valor mais alto)
Boa notícia para as PME: no caso das PME e startups, aplica-se o menor dos dois valores (montante fixo ou percentagem), e as autoridades devem ter em conta a viabilidade económica da empresa ao fixar a coima. Em Portugal, a supervisão do AI Act foi atribuída à ANACOM.
Checklist de conformidade para lojas online
Checklist de conformidade com o AI Act para lojas online
0 / 9
Parabéns! A sua loja está no bom caminho para a conformidade com o AI Act. Lembre-se: a conformidade é um processo contínuo — reveja este checklist sempre que adotar novas ferramentas de IA.
Perguntas frequentes sobre o AI Act e o ecommerce
O AI Act aplica-se à minha loja online, mesmo sendo uma PME?
Sim. O AI Act aplica-se a qualquer empresa que forneça ou utilize sistemas de IA na UE, independentemente da dimensão. A boa notícia é que a maioria das ferramentas de IA usadas no ecommerce cai nos níveis de risco mínimo ou limitado, onde as obrigações se resumem essencialmente a transparência. Para as PME, as coimas têm limites mais favoráveis.
O meu chatbot tem mesmo de dizer que é uma IA?
Sim, desde 2 de agosto de 2026. O artigo 50.º exige que as pessoas sejam informadas de que estão a interagir com um sistema de IA, de forma clara e o mais tardar na primeira interação — a menos que isso seja óbvio para um utilizador razoavelmente atento.
Posso continuar a usar imagens e descrições de produto geradas por IA?
Pode. O AI Act não proíbe conteúdo gerado por IA — exige transparência. A marcação técnica (legível por máquina) é sobretudo responsabilidade do fornecedor da ferramenta; a sua obrigação direta enquanto loja é divulgar deepfakes, isto é, conteúdos realistas que representem pessoas, factos ou eventos de forma artificial. Texto revisto por humanos com responsabilidade editorial tem regras mais leves.
Os motores de recomendação e o dynamic pricing são de alto risco?
Em regra, não. Recomendação de produtos e otimização de preços não constam do Anexo III, pelo que são considerados de risco mínimo. A linha vermelha é o artigo 5.º: estas ferramentas não podem recorrer a técnicas manipuladoras ou explorar vulnerabilidades (por exemplo, de menores ou de pessoas em fragilidade económica) de forma que cause dano significativo.
O que mudou com o Digital Omnibus de 2026?
O Digital Omnibus adiou as obrigações dos sistemas de alto risco do Anexo III de 2 de agosto de 2026 para 2 de dezembro de 2027 (e as do Anexo I para 2 de agosto de 2028). Não mudou nada nas proibições, nas regras GPAI nem na transparência do artigo 50.º, que se aplicam no calendário original.
Que coimas arrisco se não cumprir?
Até 35 milhões de euros ou 7% da faturação mundial para práticas proibidas; até 15 milhões ou 3% para o incumprimento das restantes obrigações (incluindo transparência); até 7,5 milhões ou 1% por prestar informações enganosas às autoridades. Nas PME aplica-se o menor dos dois valores
Quem fiscaliza o AI Act em Portugal?
A ANACOM foi designada como autoridade de supervisão do AI Act em Portugal, articulando-se com o Serviço Europeu para a IA (AI Office) da Comissão Europeia, que supervisiona os modelos de finalidade geral.
O AI Act substitui o RGPD?
Não. São regimes complementares: o RGPD regula o tratamento de dados pessoais; o AI Act regula os sistemas de IA em si. Uma ferramenta de IA que trate dados de clientes tem de cumprir os dois.
Conclusão: transparência é a palavra de ordem
Para a esmagadora maioria das lojas online, cumprir o AI Act em 2026 não exige uma revolução: exige transparência e organização. Identifique a IA que usa, diga aos clientes quando falam com uma máquina, rotule o que é sintético, afaste-se de práticas manipuladoras e forme a sua equipa. Quem tratar a conformidade como vantagem competitiva — e não como custo — vai transformar confiança em conversões. E no ecommerce, confiança é a moeda mais valiosa que existe.
· Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho, de 13 de junho de 2024 (AI Act) — Jornal Oficial da UE, 12.7.2024 (arts. 4.º, 5.º, 6.º, 50.º, 99.º, 113.º e Anexo III).
· Digital Omnibus / Regulamento (UE) 2026/1744 — adiamento das obrigações de alto risco (Praxikon / AI Act Blog NL; Gibson Dunn, 2026).
· ANACOM designada autoridade de supervisão do AI Act em Portugal (Andersen Portugal, 2025).
Este artigo tem caráter informativo e não constitui aconselhamento jurídico. Para situações concretas, consulte um advogado especializado.
