O essencial
- A avaliação da conformidade é o procedimento pelo qual um prestador demonstra que um sistema de IA de risco elevado cumpre os requisitos do capítulo III, secção 2, do Regulamento IA antes de chegar ao mercado.
- O artigo 43.º abre duas vias: o controlo interno do anexo VI, ou o exame do sistema de gestão da qualidade e da documentação técnica por um organismo notificado, nos termos do anexo VII.
- Apenas o ponto 1 do anexo III, a biometria, pode conduzir a um organismo notificado. Os pontos 2 a 8 autoavaliam-se.
- O ómnibus digital adiou para 2 de dezembro de 2027 o prazo dos sistemas autónomos de risco elevado e para 2 de agosto de 2028 o da IA integrada em produtos regulados.
- Não foi citada qualquer norma harmonizada no Jornal Oficial nem foi designado qualquer organismo notificado, pelo que hoje ninguém pode invocar a presunção de conformidade.
O que é realmente uma avaliação da conformidade
A avaliação da conformidade não nasceu com a inteligência artificial. O mercado único europeu recorre a ela há décadas para responder a uma única pergunta: este produto cumpre as regras que lhe são aplicáveis? A Comissão Europeia trata-a como uma peça estruturante da livre circulação de mercadorias, e a CEI define-a como o conjunto de atividades que demonstram o cumprimento de requisitos especificados.
São atividades familiares a quem já certificou um produto: ensaio, inspeção, auditoria, validação e verificação, certificação. Acima delas situa-se a acreditação, que atesta a competência do organismo que ensaia ou certifica. O ANSI National Accreditation Board segue a mesma arrumação.
O segundo eixo prende-se com quem faz a verificação. Na avaliação de primeira parte é o próprio prestador que verifica o seu produto e emite uma declaração. Na de segunda parte é o comprador que verifica. Na de terceira parte intervém um organismo independente. A maior parte da legislação de produto da União combina as três formas e reserva a intervenção externa para as categorias em que errar sai caro.
Um sistema de IA quebra, contudo, o padrão num ponto. Não existe amostra física para colocar em banco de ensaio. Uma avaliação da conformidade sobre software que aprende não pode inspecionar um objeto acabado, pelo que inspeciona antes o processo e o registo documental: como o sistema foi concebido, com que dados foi treinado, como foi testado, que riscos foram identificados e como foram tratados, e por que via uma pessoa pode intervir. É por isso que a versão do Regulamento IA se assemelha mais a uma auditoria de sistema de gestão do que a um ensaio de produto, e favorece as organizações que já mantêm um programa estruturado de conformidade em IA.
Precisa mesmo de uma? O filtro do artigo 6.º
Antes de escolher uma via, importa determinar se a obrigação se aplica. Muitas equipas dão-se por abrangidas e constroem um processo que não devem. Outras consideram-se fora do âmbito e nunca documentam o raciocínio, o que constitui, só por si, um incumprimento.
Produtos do anexo I e sistemas autónomos do anexo III
O artigo 6.º abre duas portas para o estatuto de risco elevado. O n.º 1 abrange a IA que constitui componente de segurança de um produto já regulado pela legislação de harmonização da União enumerada no anexo I, ou que seja ela própria esse produto: dispositivos médicos, máquinas, ascensores ou brinquedos, desde que essa legislação já exija uma avaliação por terceiros. O n.º 2, conjugado com o anexo III, cobre oito domínios autónomos: biometria, infraestruturas críticas, educação, emprego, serviços essenciais, aplicação da lei, migração e administração da justiça.
A distinção tem consequências comerciais imediatas. Quem se situa no mundo do anexo I vê o artigo 43.º, n.º 3, enxertar os requisitos relativos à IA no procedimento de avaliação da conformidade que o seu setor já percorre. Não surge um segundo procedimento, mas conteúdo novo dentro de um procedimento existente. Quem se situa no mundo do anexo III tem no procedimento do Regulamento IA a totalidade do dever.
A derrogação do artigo 6.º, n.º 3, e o limite da definição de perfis
O artigo 6.º, n.º 3, é a saída de emergência, e é mais estreita do que quase todos os resumos deixam supor. Um sistema abrangido pelo anexo III não é de risco elevado quando não apresenta risco significativo de dano para a saúde, a segurança ou os direitos fundamentais das pessoas singulares, desde que preencha pelo menos uma de quatro condições: executar uma tarefa processual restrita; melhorar o resultado de uma atividade humana já concluída; detetar padrões de decisão ou desvios face a padrões anteriores sem substituir nem influenciar a apreciação humana na ausência de revisão adequada; ou executar uma tarefa preparatória de uma avaliação enquadrada no anexo III.
Uma regra prevalece sobre as quatro. Um sistema que efetue definição de perfis de pessoas singulares é sempre de risco elevado, por mais restrita ou preparatória que a tarefa pareça. As equipas que constroem funcionalidades de ordenação de candidaturas ou de pontuação de clientes leem mal este ponto com regularidade, razão pela qual a regulamentação da IA no recrutamento apanha tantos prestadores em falta.
A derrogação também não é gratuita. Quem a invoca tem de documentar essa apreciação antes da colocação no mercado ou da colocação em serviço e registar o sistema. Em qualquer dos casos produz-se um entregável de conformidade. A única questão é saber se se trata de um processo técnico completo ou de uma nota de isenção fundamentada.
As duas vias de avaliação da conformidade previstas no artigo 43.º
O artigo 43.º é curto, e os seus quatro primeiros números respondem a quase todas as questões práticas.
Anexo VI: o controlo interno
O controlo interno é autoavaliação. O prestador verifica se o seu sistema de gestão da qualidade cumpre o artigo 17.º, confronta a documentação técnica com os requisitos do capítulo III, secção 2, e assegura que a conceção e o acompanhamento pós-comercialização são coerentes com essa documentação. Nenhum terceiro intervém. Depois, o prestador elabora a declaração, apõe a marcação e regista o sistema.
O controlo interno não baixa a fasquia. Aplica o mesmo critério, com menos leitores.
Anexo VII: sistema de gestão da qualidade e documentação técnica
O anexo VII traz um organismo notificado ao longo de cinco secções. Esse organismo avalia se o sistema de gestão da qualidade satisfaz o artigo 17.º e se se mantém adequado e eficaz em funcionamento. Examina depois a documentação técnica face à secção 2 e pode ir mais longe: exigir provas adicionais, realizar ensaios próprios, aceder aos conjuntos de dados de treino, validação e teste e, mediante pedido fundamentado, aos próprios modelos treinados.
A aprovação não é um acontecimento isolado. O organismo realiza auditorias de vigilância periódicas, e o prestador tem de comunicar as alterações previstas para que o organismo decida entre uma certificação suplementar e um novo exame completo.
Quem tem realmente escolha
É o ponto mais frequentemente enunciado de forma imprecisa. O artigo 43.º, n.º 1, respeita exclusivamente ao ponto 1 do anexo III, ou seja, aos sistemas biométricos. Esses prestadores podem optar entre o anexo VI e o anexo VII quando tenham aplicado normas harmonizadas ou especificações comuns. Se tais normas não existirem, tiverem sido aplicadas apenas em parte, ou o prestador não tiver aplicado as especificações comuns disponíveis, a via do anexo VII torna-se obrigatória.
O artigo 43.º, n.º 2, cobre os pontos 2 a 8 do anexo III e não deixa margem: esses prestadores seguem o procedimento de controlo interno do anexo VI, sem intervenção de organismo notificado. Se o seu sistema atribui notação de crédito, corrige exames, filtra currículos ou faz triagem de urgências, nenhum organismo independente o validará. Assina o próprio.
Duas ressalvas merecem retenção. Primeiro, quando um sistema de risco elevado se destina a ser colocado em serviço por autoridades policiais, de imigração ou de asilo, ou por instituições da União, é a autoridade de fiscalização do mercado que atua como organismo notificado. Segundo, o artigo 43.º, n.º 6, permite à Comissão alargar por ato delegado a via do anexo VII aos pontos 2 a 8, ponderando a eficácia do controlo interno face à capacidade disponível dos organismos notificados. A autoavaliação de hoje não tem garantia de assim permanecer.
As provas que uma avaliação da conformidade examina
Qualquer que seja a via, a lista de leitura é a mesma. Uma avaliação da conformidade consome os entregáveis que o capítulo III, secção 2, já obriga a manter.
- Artigo 9.º, um sistema de gestão de riscos que percorra todo o ciclo de vida, com riscos identificados, medidas adotadas e juízo sobre o risco residual. É aí que uma prática disciplinada de gestão de riscos de IA se paga.
- Artigo 10.º, dados e governação de dados: proveniência, pertinência, representatividade e exame de enviesamentos dos conjuntos de treino, validação e teste.
- Artigo 11.º e anexo IV, a documentação técnica, elaborada antes da colocação no mercado e mantida atualizada. É o entregável mais volumoso e o de prazo mais longo, pelo que a documentação de sistemas de IA merece uma frente de trabalho própria.
- Artigo 12.º, registo automático de acontecimentos ao longo de toda a vida do sistema.
- Artigo 13.º, transparência e instruções de utilização que permitam ao responsável pela implantação interpretar e usar o resultado.
- Artigo 14.º, supervisão humana inscrita na conceção, obrigação distinta da escolha operacional entre human in the loop e human on the loop.
- Artigo 15.º, exatidão, solidez e cibersegurança, com métricas declaradas.
- Artigo 17.º, o sistema de gestão da qualidade que liga tudo isto em políticas, procedimentos e responsabilidades documentadas.
Relendo a lista, emerge uma constante. Nada disto pode ser fabricado retrospetivamente nas semanas que antecedem um exame. As provas de governação de dados recolhem-se enquanto os dados são reunidos. As decisões sobre risco registam-se no momento em que são tomadas. Uma avaliação da conformidade não cria a conformidade: fotografa-a.
O que se assina no final
Três atos formais encerram a avaliação da conformidade, cada um com o seu artigo.
O artigo 47.º exige uma declaração UE de conformidade, elaborada para cada sistema de risco elevado, conservada durante dez anos após a colocação no mercado ou em serviço e facultada às autoridades nacionais competentes a pedido. Ao assiná-la, o prestador assume a responsabilidade pela conformidade.
O artigo 48.º rege a marcação CE, sujeita aos princípios gerais do artigo 30.º do Regulamento (CE) n.º 765/2008. Deve ser aposta de forma visível, legível e indelével ou, quando a natureza do sistema não o permita, na embalagem ou na documentação de acompanhamento. Nos sistemas fornecidos por via digital, a marcação CE digital só é admissível se continuar facilmente acessível a partir da interface ou através de um código legível por máquina. Se houve intervenção de um organismo notificado, o seu número de identificação segue a marcação e torna visível qual a via seguida.
O artigo 49.º e o anexo VIII exigem o registo na base de dados da UE antes da colocação no mercado, inclusive para os prestadores que tenham concluído, ao abrigo do artigo 6.º, n.º 3, que o seu sistema do anexo III não é de risco elevado. Sendo o registo um ato público, vale a pena tratar a ficha como comunicação externa e não como um formulário.
A infraestrutura que ainda não existe
Aqui está o ponto que os artigos mais bem posicionados omitem, e que altera o aspeto de um plano sensato.
A via do anexo VII assenta nos organismos notificados. De acordo com o que foi noticiado na primavera de 2026, nenhum organismo tinha ainda sido designado para a avaliação da conformidade ao abrigo do Regulamento IA, estando processos de designação em curso em vários Estados-Membros e a base de dados NANDO da Comissão a ser alargada às notificações relativas à IA. A capacidade, quando chegar, será limitada e partilhada por toda a União.
A via do anexo VI assenta, para ser praticável, nas normas harmonizadas. A Comissão mandatou o CEN e o CENELEC em maio de 2023 e alterou o pedido em junho de 2025 para o alinhar com o texto final. Os trabalhos falharam o objetivo de agosto de 2025 e, em meados de 2026, nenhum resultado do JTC 21 tinha sido citado no Jornal Oficial, que é o passo do qual decorre a presunção de conformidade. O CEN e o CENELEC responderam com um pacote excecional de medidas que autoriza a publicação direta após votação de inquérito favorável, de modo a alcançar disponibilidade perto do final de 2026. O panorama da normalização acompanha o ponto de situação, e as perguntas frequentes da própria Comissão reconhecem a pressão sobre os prazos.
Sobreponha os dois elementos e o impasse torna-se visível. O artigo 43.º, n.º 1, encaminha os prestadores de biometria para um organismo notificado precisamente quando as normas harmonizadas não são aplicadas, e não as aplicar é hoje a única possibilidade. Entretanto, todo o prestador abrangido pelos pontos 2 a 8 tem de se autoavaliar face ao texto legal despido, sem uma norma que o traduza em critérios verificáveis.
A resposta sensata não é esperar. Construa desde já o processo do anexo IV, execute o procedimento do anexo VI como ensaio geral face à secção 2 e registe as lacunas, vigie as citações no Jornal Oficial para invocar a presunção assim que estiver disponível e, se atua na biometria, abra cedo o diálogo com os organismos candidatos. Entretanto, alinhar os seus controlos com a ISO/IEC 42001 e o Regulamento IA continua a ser o substituto mais eficaz ao dispor.
Quando é preciso repetir tudo
Uma avaliação da conformidade não é definitiva. O artigo 43.º, n.º 4, exige uma nova sempre que um sistema de risco elevado sofra uma modificação substancial, independentemente de o sistema modificado voltar a ser distribuído ou permanecer em uso junto do responsável pela implantação atual.
A exceção contida no mesmo número merece ser projetada desde o início. As alterações predeterminadas pelo prestador e documentadas na documentação técnica no momento da avaliação inicial não constituem modificações substanciais, mesmo nos sistemas que continuam a aprender após a colocação no mercado. Essa única frase é a base jurídica sobre a qual um modelo atualizado em contínuo se mantém conforme entre exames. Implica também que a margem de alteração seja escrita no processo desde o arranque, de forma deliberada e ampla, porque tudo o que dela sair desencadeia uma repetição completa.
No regime do anexo VII a obrigação é contínua e não pontual. O prestador informa o organismo notificado das alterações previstas ao sistema de gestão da qualidade aprovado ou às especificações do sistema, e o organismo decide se basta uma certificação suplementar ou se é necessário um novo exame. A par disso existem auditorias de vigilância periódicas, razão pela qual a monitorização contínua da conformidade conta mais do que um esforço final rumo a uma data de lançamento.
O novo calendário e os próximos doze meses
Todos os artigos concorrentes sobre este tema continuam a citar 2 de agosto de 2026. Essa data já não está correta.
O Regulamento (UE) 2026/1744, ómnibus digital sobre IA, foi aprovado pelo Parlamento Europeu em 16 de junho de 2026, com 423 votos a favor, 57 contra e 174 abstenções, recebeu aprovação final do Conselho em 29 de junho de 2026, foi publicado no Jornal Oficial em 24 de julho de 2026 e entrou em vigor em 27 de julho de 2026, seis dias antes do prazo original. As obrigações relativas aos sistemas autónomos de risco elevado do anexo III aplicam-se agora a partir de 2 de dezembro de 2027, um adiamento de dezasseis meses. A IA integrada em produtos do anexo I transita para 2 de agosto de 2028. Mantêm-se inalteradas as práticas proibidas, em vigor desde 2 de fevereiro de 2025, e as obrigações relativas à IA de finalidade geral. O quadro completo consta do nosso panorama das leis de IA de 2026.
Dezasseis meses parecem generosos até se sequenciar o trabalho. Classificar ao abrigo do artigo 6.º e deixar o raciocínio por escrito. Montar o sistema de gestão da qualidade do artigo 17.º, examinado nas duas vias. Reunir o anexo IV, que num sistema com alguma complexidade se mede em trimestres e não em semanas. Conduzir uma análise de lacunas requisito a requisito face à secção 2. Decidir a via e, se for o anexo VII, assegurar um organismo. Só depois preparar a declaração, a marcação e a ficha de registo. As equipas que lerem a nova data como alívio e não como calendário chegarão lá com um processo incompleto, e é exatamente isso que uma avaliação da conformidade foi concebida para expor.
Perguntas frequentes
O que significa avaliação da conformidade?
A avaliação da conformidade é o processo pelo qual se demonstra que um produto, serviço, sistema, processo ou pessoa cumpre os requisitos de uma norma ou disposição determinada. Abrange ensaio, inspeção, auditoria, validação e verificação, e certificação, e pode ser realizada pelo próprio prestador, pelo comprador ou por um terceiro independente. A acreditação situa-se acima e confirma a competência do organismo avaliador.
O que são avaliações da conformidade aplicadas à IA?
Ao abrigo do Regulamento IA, trata-se do procedimento que um prestador tem de concluir antes de colocar no mercado um sistema de IA de risco elevado, para demonstrar que satisfaz os requisitos do capítulo III, secção 2. Ao contrário de um ensaio de produto, examina documentação e processos: gestão de riscos, governação de dados, documentação técnica, registo de acontecimentos, transparência, supervisão humana, exatidão e sistema de gestão da qualidade.
Preciso de um organismo notificado para o meu sistema de risco elevado?
Provavelmente não. Nos termos do artigo 43.º, n.º 2, os sistemas de risco elevado abrangidos pelos pontos 2 a 8 do anexo III seguem o controlo interno do anexo VI sem qualquer organismo notificado. Apenas os sistemas biométricos do ponto 1 o podem exigir, sobretudo quando as normas harmonizadas ou as especificações comuns não tenham sido plenamente aplicadas. Os sistemas cobertos pela legislação de produto do anexo I seguem o procedimento setorial já existente.
Qual é a diferença entre o anexo VI e o anexo VII?
O anexo VI é controlo interno: o prestador verifica por si o sistema de gestão da qualidade e a documentação técnica face aos requisitos e assina a declaração. O anexo VII acrescenta um organismo notificado independente que avalia o sistema de gestão da qualidade, examina a documentação técnica, pode pedir provas adicionais, ensaios, conjuntos de dados e até os modelos treinados, e conduz depois auditorias de vigilância periódicas.
Uma avaliação da conformidade caduca?
O Regulamento IA não fixa prazo de validade ao exame em si, mas também não se trata de um estado permanente. No regime do anexo VII, o organismo notificado realiza auditorias periódicas e tem de ser informado das alterações previstas, e nos termos do artigo 43.º, n.º 4, qualquer modificação substancial desencadeia um novo exame. A declaração de conformidade deve ser conservada dez anos.
O que acontece se eu retreinar ou atualizar o modelo?
Depende de a alteração ter sido antecipada. O artigo 43.º, n.º 4, exclui da noção de modificação substancial as alterações predeterminadas pelo prestador e documentadas na documentação técnica no momento da avaliação inicial, o que permite aos sistemas que continuam a aprender manterem-se conformes. As alterações que excedam essa margem documentada são modificações substanciais e exigem um novo exame.
Conclusão
O adiamento de dezasseis meses mudou o prazo, não o trabalho. No Regulamento IA, a avaliação da conformidade é um exercício de leitura feito sobre um processo que já tem de possuir, e é esse processo o verdadeiro entregável. Os prestadores dos pontos 2 a 8 do anexo III assinarão sozinhos a sua declaração, sem qualquer organismo externo que detete um registo de riscos frágil ou uma rastreabilidade de dados insuficiente, o que faz do rigor interno o único controlo. Quem atua na biometria enfrenta um ecossistema de avaliação por terceiros ainda em construção, onde a posição na fila contará. Em ambos os casos, o que determina o resultado acontece agora, no cuidado posto na recolha das provas, e não em dezembro de 2027. Para um ponto de partida estruturado, o nosso quadro de governação da IA liga estas obrigações aos controlos que produzem as provas.