Literacia em IA: o que exige o artigo 4.º do Regulamento IA

O essencial

• A literacia em IA constitui uma obrigação vinculativa nos termos do artigo 4.º do Regulamento IA. Abrange todos os prestadores e todos os responsáveis pela implantação, independentemente do nível de risco, e aplica-se desde 2 de fevereiro de 2025.
• O omnibus digital reescreveu o artigo 4.º com efeitos a partir de 27 de julho de 2026. Passa a exigir-se a adoção de medidas de apoio ao desenvolvimento da literacia em IA, e não a garantia de um nível determinado numa pessoa concreta.
• As autoridades nacionais de fiscalização do mercado supervisionam o artigo 4.º desde 2 de agosto de 2026. O Serviço para a IA não exerce essa competência.
• A Comissão não exige certificados nem avaliação dos conhecimentos dos trabalhadores. Espera, todavia, um registo interno das medidas adotadas.
• A exposição real não resulta de um quadro de pessoal sem formação, mas de um quadro de pessoal formado cuja formação não pode ser comprovada.

O que o Regulamento IA entende por literacia em IA

Grande parte do que se escreve sobre o tema descreve uma capacidade individual: saber o que é um modelo, formular melhores instruções, detetar uma alucinação. O Regulamento europeu adota um sentido mais restrito e bastante mais exigente.

O artigo 3.º, ponto 56, do Regulamento (UE) 2024/1689 define a literacia no domínio da IA como as «competências, os conhecimentos e a compreensão que permitem aos prestadores, aos responsáveis pela implantação e às pessoas afetadas, tendo em conta os respetivos direitos e obrigações, proceder a uma implantação informada dos sistemas de IA, bem como ganhar consciência das oportunidades e dos riscos da IA e dos danos que esta pode causar».

Daí decorrem três consequências. O critério é a implantação informada, não a destreza com a ferramenta: alguém pode manejar com à-vontade um assistente conversacional e continuar sem literacia em IA no sentido da norma, se não souber explicar o que o sistema produz sobre as pessoas a quem se aplica. A definição é expressamente relativa aos «respetivos direitos e obrigações», pelo que o nível exigível a uma direção de compras difere do exigível a um perfil técnico de dados. Por fim, abrange as pessoas afetadas e não apenas quem opera o sistema.

É por isso que a literacia em IA pertence ao dispositivo de conformidade mais do que ao plano de formação. Integra as obrigações de base descritas no nosso guia operacional do Regulamento IA e prende-se com a organização e não com um sistema em concreto.

O artigo 4.º mudou em julho de 2026

A versão aplicável desde 2 de fevereiro de 2025 obrigava prestadores e responsáveis pela implantação a «assegurar, na medida do possível, um nível suficiente de literacia no domínio da IA» do seu pessoal. Essa redação alimentou dois anos de discussão sobre o alcance de «suficiente» e sobre a forma de o demonstrar.

O omnibus digital resolveu a questão suprimindo o termo. O Regulamento (UE) 2026/1744 foi publicado no Jornal Oficial em 24 de julho de 2026 e entrou em vigor em 27 de julho de 2026. O artigo 4.º passa a exigir a adoção de «medidas destinadas a apoiar o desenvolvimento da literacia no domínio da IA», precisando que a obrigação «não exige que os prestadores ou os responsáveis pela implantação garantam um nível determinado de literacia no domínio da IA de qualquer pessoa».

Trata-se de uma alteração da natureza jurídica, não de uma revogação. O artigo 4.º passa de obrigação de resultado a obrigação de meios. Já não responde pelo grau de competência atingido por determinado trabalhador, mas pelas medidas que adotou. O patamar substantivo desce e o patamar documental sobe, porque a diligência só é visível se deixar rasto.

O que não mudou

O âmbito de aplicação mantém-se. O artigo 4.º continua a vincular prestadores e responsáveis pela implantação e permanece indiferente ao nível de risco: vale para um filtro de spam tanto como para um sistema do anexo III. Nada na reescrita restringe os destinatários nem dispensa as organizações de menor dimensão. O artigo 4.º, n.º 2, continua a obrigar a Comissão e os Estados-Membros a prestar apoio, com atenção particular às PME, e o n.º 3 mantém o encargo ao Comité de formular recomendações apoiadas nos quadros europeus de competências. Um programa de literacia em IA construído sobre o texto anterior não se perde. O que muda é aquilo que defende quando lhe perguntam.

Quem é abrangido, e quem conta como pessoal

O artigo 4.º refere-se ao «pessoal e outras pessoas envolvidas na operação e utilização de sistemas de IA em seu nome». A segunda parte da fórmula faz o trabalho decisivo, e é aí que as organizações subavaliam o seu perímetro.

As perguntas e respostas do Serviço para a IA incluem nessas «outras pessoas» os contratantes, os prestadores de serviços e os clientes. Quem atue em seu nome na operação ou utilização de um sistema de IA fica dentro do perímetro, conste ou não do seu mapa de pessoal.

O Centre for Information Policy Leadership, no estudo de maio de 2025 dedicado ao artigo 4.º, recomenda alargar ainda mais o ângulo: o pessoal de todas as áreas, incluindo as comerciais e de marketing, os contratantes, os fornecedores externos, os clientes, os utilizadores e as pessoas afetadas pela utilização do sistema. O raciocínio é operacional e não jurídico. Quem gera a exposição do artigo 4.º raramente constrói os modelos. É o comercial que promete uma funcionalidade que o sistema não tem e a equipa operacional que utiliza em silêncio uma ferramenta que ninguém inventariou.

Este segundo caso merece ser nomeado, porque literacia em IA e IA sombra são o mesmo problema visto de dois ângulos. Ninguém pode estar esclarecido sobre sistemas cuja utilização a organização não reconheceu.

A fiscalização começou em 2 de agosto de 2026

Eis o dado ausente de quase toda a literatura sobre a matéria: a obrigação já é sancionável.

As autoridades nacionais de fiscalização do mercado supervisionam e fazem cumprir o artigo 4.º desde 2 de agosto de 2026. O Serviço para a IA não desempenha essa função. A competência cabe à autoridade designada em cada Estado-Membro, o que implica práticas, intensidade de controlo e procedimentos distintos de país para país. Em Portugal, a articulação com interlocutores já conhecidos das organizações, designadamente a CNPD no que respeita ao tratamento de dados pessoais, condicionará em boa medida a forma como estas verificações se enxertam nos dispositivos existentes.

As sanções decorrem do direito nacional. Nos termos do artigo 99.º, os Estados-Membros deviam estabelecer até 2 de agosto de 2025 o seu próprio regime de sanções e outras medidas de execução, dentro de limites escalonados: até 35 milhões de euros ou 7 % do volume de negócios anual mundial nas práticas proibidas, até 15 milhões de euros ou 3 % do volume de negócios anual mundial na maioria das restantes obrigações dos operadores, e até 7,5 milhões de euros ou 1,5 % por informações enganosas prestadas às autoridades. O artigo 4.º situa-se no escalão intermédio. As sanções devem ser proporcionadas, atendendo à natureza e à gravidade da infração e ao seu caráter doloso ou negligente.

Repare na sequência. O patamar substantivo desceu em 27 de julho de 2026 e os poderes de fiscalização foram ativados seis dias depois. Uma organização que retivesse apenas o título do omnibus concluiria que o artigo 4.º ficou mais leve: teria razão quanto ao padrão e erraria quanto ao risco. Antes de 2 de agosto de 2026, um programa de literacia em IA frágil era um problema no papel. Desde então é matéria sobre a qual uma autoridade pode interrogar, e o juízo de proporcionalidade favorece quem demonstra um percurso deliberado face a quem nada apresenta. É a mesma arquitetura descrita no nosso panorama regulatório da IA: primeiro chegam as obrigações, depois a máquina de supervisão, e o intervalo entre ambas é a zona de exposição.

O que as autoridades vão pedir na prática

A Comissão foi invulgarmente clara quanto ao que o artigo 4.º não exige. Das suas perguntas e respostas resulta que não é necessário qualquer certificado e que o artigo 4.º não comporta obrigação de medir os conhecimentos de IA dos trabalhadores.

Não existe, pois, programa imposto, acreditação, exame ou obrigação de classificar o seu pessoal. O que a Comissão recomenda é conservar um registo interno das formações e das demais iniciativas de acompanhamento. Não é prescrito qualquer formato.

Essa aparente folga deve ser lida em conjunto com as obrigações documentais dos sistemas de risco elevado. O CIPL formula-o com precisão: para a maioria dos sistemas, o artigo 4.º não impõe um dever técnico expresso de documentar a competência do pessoal, mas os prestadores e os responsáveis pela implantação de sistemas de risco elevado têm de documentar e demonstrar o cumprimento de determinadas obrigações do Regulamento, e as práticas de literacia em IA podem ser consideradas abrangidas por esse âmbito. Quem opera um sistema de risco elevado pode ver as suas evidências integradas na documentação técnica do artigo 11.º, n.º 1, e do anexo IV, tema desenvolvido no nosso guia sobre os requisitos de documentação do Regulamento IA.

O processo mínimo defensável

Uma obrigação de meios defende-se com documentos. Seis deles cobrem o essencial:

1. Uma matriz de funções e competências que indique que funções exigem que compreensão, e porquê.
2. Um registo de formações que documente quem recebeu o quê, em que data e sob que forma.
3. Os comprovativos de tomada de conhecimento das políticas internas, que vinculam o pessoal às regras de utilização aceitável da IA.
4. Uma taxonomia comum de IA, para que «sistema de IA» signifique o mesmo nas compras, no jurídico e na engenharia.
5. Um inventário de casos de uso avaliados, que torna a taxonomia operativa em vez de decorativa.
6. Uma cadência de revisão com responsável designado e assinatura, comprovando que o programa é mantido e não arquivado.

Nada disto pressupõe certificados. Tudo isto resiste a uma pergunta.

Construir um programa que produz provas

O CIPL enuncia oito boas práticas para o artigo 4.º. Reformuladas como controlos e não como conselhos, condensam-se num modelo operacional mais enxuto.

Comece pelo patrocínio de topo. Os programas de literacia em IA alojados apenas na função de formação perdem fôlego; os que resistem são visivelmente tutelados acima dela. Integre depois em vez de isolar: as organizações sujeitas ao artigo 4.º estão quase sempre sujeitas em simultâneo à proteção de dados, à cibersegurança, à defesa do consumidor e a regulamentação setorial. Tratar a literacia em IA como módulo autónomo duplica esforços e fragmenta as provas. O seu lugar é dentro do quadro de governação da IA já existente.

Diferenciar por função, não um módulo único

O módulo único difundido a toda a empresa é a opção mais frequente e a mais fraca. Não responde à necessidade real de ninguém e produz um registo que trata de forma idêntica exposições muito diferentes.

A alternativa consiste numa base comum, seguida de módulos dirigidos consoante a função, a experiência prévia e o contacto efetivo com o sistema. Quando os recursos são escassos, o CIPL sugere escalar primeiro para os intervenientes de maior impacto ou de interação mais intensa com a tecnologia. Na prática são quase sempre as compras, as áreas comerciais e quem assegura a automação voltada para o cliente, bem antes da equipa de ciência de dados, que já conhece os riscos.

Para além da formação

A formação isolada desatualiza-se mais depressa do que a tecnologia evolui. Os mecanismos que resistem são estruturais: um comité de IA com representantes de cada área, pontos focais de IA identificados e capazes de avaliar quando um assunto deve subir de nível, uma árvore de decisão que indique a uma equipa se o que está a construir cabe na definição interna de sistema de IA e que passos se seguem, um canal para sinalizar de forma anónima uma utilização arriscada, e um ciclo de retorno com indicadores acompanhados, para que o programa se ajuste ao ritmo das normas e das ferramentas.

Cada um destes mecanismos deixa rasto como subproduto do seu funcionamento. É esse o ponto. Um controlo que gera provas enquanto opera vale mais do que um controlo que é preciso reconstituir na véspera de uma inspeção.

Correspondência com a ISO 42001 e o NIST AI RMF

Quem já trabalha para um sistema de gestão tem feita a maior parte do trabalho do artigo 4.º.

A norma ISO/IEC 42001:2023 exige, no ponto 7.2, determinar a competência necessária das pessoas cujo trabalho afeta o desempenho do sistema de gestão de IA, assegurar essa competência e conservar informação documentada como prova. O ponto 7.3 exige que essas mesmas pessoas conheçam a política de IA e o seu contributo para ela. É a substância do artigo 4.º, expressa como requisito auditável com uma obrigação de conservação associada.

O NIST AI Risk Management Framework cobre o mesmo terreno na função GOVERN, em especial GOVERN 4 sobre cultura de gestão do risco e GOVERN 5 sobre envolvimento dos intervenientes relevantes.

A alavanca está em não construir três programas. Uma única matriz de funções e módulos, mantida segundo um calendário de revisão documentado e assinado pelo responsável de governação, pode satisfazer o artigo 4.º do Regulamento IA, o ponto 7.2 da ISO 42001 e o GOVERN 4 do NIST a partir de uma só pista de auditoria. A nossa correspondência entre NIST AI RMF, ISO 42001 e Regulamento IA detalha as restantes sobreposições, e a análise da pilha normativa explica porque a certificação só por si não fecha a lacuna.

Perguntas frequentes

O que significa literacia em IA segundo o Regulamento?

O artigo 3.º, ponto 56, define-a como as competências, os conhecimentos e a compreensão que permitem a prestadores, responsáveis pela implantação e pessoas afetadas proceder a uma implantação informada dos sistemas de IA e ganhar consciência das oportunidades, dos riscos e dos danos possíveis. É apreciada à luz dos direitos e obrigações de cada um, pelo que o nível esperado varia com a função. É mais estrita do que a aceção corrente no domínio educativo, que descreve normalmente uma destreza pessoal com as ferramentas.

Qual é um exemplo concreto?

Um profissional de recrutamento capaz de explicar com que critérios uma ferramenta de pré-seleção ordena as candidaturas, que sabe que essa ferramenta não pode fundamentar sozinha uma recusa, que reconhece um resultado anómalo e conhece a via de escalamento. Repare no que falta: nenhuma capacidade de construir o modelo e nenhum vocabulário técnico. Decide de forma informada sobre um sistema que não opera tecnicamente, que é exatamente o que a norma pretende.

O que é preciso para cumprir?

No plano organizacional: uma definição partilhada do que conta como sistema de IA, um inventário das utilizações, uma base comum de compreensão, profundidade dirigida às funções realmente expostas e um registo das medidas adotadas. No plano individual, a exigência ajusta-se à função, ao conhecimento técnico, à experiência e ao contexto de utilização.

A formação é obrigatória nos termos do artigo 4.º?

A formação é o meio habitual, mas não é imposta enquanto tal. O artigo 4.º exige medidas de apoio ao desenvolvimento da literacia em IA. Contam os percursos formais e também os guias internos, as notas informativas, as árvores de decisão e o acompanhamento no terreno. A Comissão confirmou que não é preciso certificado e que não existe obrigação de medir os conhecimentos dos trabalhadores.

O que acontece em caso de incumprimento?

Desde 2 de agosto de 2026, as autoridades nacionais de fiscalização do mercado podem supervisionar e fazer cumprir o artigo 4.º. As sanções são fixadas pelo direito nacional dentro dos limites do artigo 99.º; as obrigações desta categoria situam-se no escalão limitado a 15 milhões de euros ou 3 % do volume de negócios anual mundial. Devem ser proporcionadas à natureza e à gravidade da infração e ao seu caráter doloso ou negligente, razão pela qual um percurso documentado conta mesmo quando o resultado é imperfeito.

Abrange empresas sediadas fora da UE?

Sim, sempre que o Regulamento lhes seja aplicável. Alcança os prestadores que colocam sistemas no mercado da União e os responsáveis pela implantação nela estabelecidos, bem como determinados operadores de países terceiros cujos resultados produzidos pelo sistema sejam utilizados na União. Uma sociedade norte-americana ou britânica que implante IA com efeitos sobre pessoas na União suporta a mesma obrigação que uma sociedade nela sediada.

Conclusão

A literacia em IA tornou-se, sem alarido, uma das poucas obrigações do Regulamento IA que abrange todas as organizações, em qualquer nível de risco, desde já. O omnibus digital tornou o padrão mais acessível e, ao chegar poucos dias antes do início da fiscalização, tornou-o mais difícil de ignorar.

As organizações que terão dificuldades numa inspeção não serão as de pessoal sem formação. Serão aquelas cuja formação existiu mas não deixou rasto: sem matriz, sem registo, sem responsável, sem data de revisão. Trate a literacia em IA como um controlo de base que produz provas enquanto opera, ligue-a uma só vez à ISO 42001 e ao NIST AI RMF, e a questão do artigo 4.º resolver-se-á por si.

Para ver como esta obrigação se articula com o resto do seu dispositivo sob a forma de controlo documentado, descubra como a AI Sigil operacionaliza a governação da IA.