Lei TRAIGA: o direito texano da IA já em aplicação

O essencial

• A lei TRAIGA (HB 149) vigora desde 1 de janeiro de 2026 e abrange qualquer organização cujo sistema de IA seja utilizado por residentes no Texas, independentemente da sede social.
• O diploma proíbe sete práticas. Três recaem apenas sobre entidades públicas, razão pela qual a maioria dos operadores privados as afasta logo numa primeira leitura.
• A lei TRAIGA assenta na intenção e não no resultado. A secção 552.056 esclarece que o impacto discriminatório indireto não basta para consubstanciar discriminação ilícita.
• A obrigação efetiva é probatória: a secção 552.105(e)(2)(D) reconhece uma defesa a quem cumpra substancialmente o quadro de gestão de risco do NIST.
• A ação cabe exclusivamente ao procurador-geral do Texas, com prazo de sanação de sessenta dias e coimas que ascendem a 200.000 dólares.

Porque uma lei texana interessa a uma empresa portuguesa

O Texas Responsible Artificial Intelligence Governance Act, que todos designam pelo acrónimo TRAIGA, foi promulgado pelo governador Greg Abbott a 22 de junho de 2025 e produz efeitos desde 1 de janeiro de 2026. Quase todas as análises ainda em circulação datam das duas semanas seguintes à promulgação, quando a questão interessante era perceber o que o legislador acabara de aprovar. Essa questão está respondida. A que hoje se coloca é outra: o que deve conseguir demonstrar quem responde pela conformidade. Para um grupo português a questão não é académica. O âmbito de aplicação da lei TRAIGA não depende da sede social nem de um estabelecimento estável, mas sim da utilização: a partir do momento em que um produto ou serviço é usado por residentes texanos, o diploma aplica-se. Basta uma filial norte-americana, uma plataforma SaaS comercializada do outro lado do Atlântico ou um módulo de IA incorporado numa solução de exportação para que o grupo entre no perímetro. A lei TRAIGA acrescenta quatro novos capítulos ao Business and Commerce Code texano. O capítulo 551 contém as definições, o capítulo 552 reúne as proibições e o aparelho sancionatório, o capítulo 553 cria um ambiente de testes regulamentar confiado ao Department of Information Resources e o capítulo 554 institui um conselho consultivo sobre IA. O diploma altera ainda a legislação biométrica estadual na secção 503.001, disposição que as sínteses tendem a ignorar.

Um âmbito de aplicação assente na utilização

O critério de conexão merece repetição, por desnortear os juristas habituados ao raciocínio territorial. A lei TRAIGA abrange quem desenvolve ou coloca em serviço um sistema de IA no Texas, quem aí promove ou exerce atividade comercial, e quem oferece produtos ou serviços utilizados por residentes texanos. Não se prevê qualquer limiar de volume de negócios, de efetivos ou de implantação. Daí resulta que o perímetro não se retira do organograma societário. Constrói-se a partir de um inventário dos sistemas de IA e das populações que estes alcançam, exercício que, para a maioria das organizações, continua a ser o dado de partida mais difícil de obter.

As sete práticas proibidas, secção a secção

Ler as proibições como um bloco homogéneo constitui o erro mais frequente, uma vez que não se dirigem aos mesmos destinatários.

Deveres que recaem apenas sobre entidades públicas

A secção 552.051 obriga a administração a informar, em linguagem clara e percetível, que a pessoa está a interagir com um sistema de IA. A informação deve preceder ou acompanhar a interação e não pode ficar remetida para condições gerais. A secção 552.053 proíbe a entidade pública de recorrer à IA para atribuir uma pontuação social ou avaliação categorial análoga de que resulte tratamento desfavorável. A secção 552.054 proíbe a entidade pública de identificar univocamente uma pessoa determinada através de dados biométricos sem o seu consentimento. Estas três disposições explicam que a doutrina descreva a lei TRAIGA como um diploma dirigido sobretudo à esfera pública. Para um operador privado constituem contexto e não obrigação, salvo se fornecer a administração texana, caso em que regressam por via contratual.

Deveres que alcançam os operadores privados

A secção 552.052 proíbe desenvolver ou colocar em serviço um sistema de IA concebido para incitar uma pessoa à automutilação, ao dano de terceiros ou à prática de um crime. A secção 552.055 visa o sistema desenvolvido ou colocado em serviço com a única finalidade de comprimir os direitos constitucionais de uma pessoa. A secção 552.056 proíbe o sistema desenvolvido ou colocado em serviço com a intenção de discriminar ilicitamente uma categoria protegida. O texto acrescenta expressamente que o impacto discriminatório indireto não basta, por si só, para demonstrar essa intenção. A secção 552.057 proíbe os sistemas concebidos para produzir material de abuso sexual de menores ou falsificações profundas de conteúdo sexual. Uma empresa gerida com normalidade afasta as quatro. Ninguém constrói uma ferramenta de pré-seleção de candidaturas com a intenção de discriminar, e a norma não pergunta se o modelo discrimina de facto. Precisamente por isso o esforço de conformidade não deve concentrar-se nas proibições. Os testes sobre risco da IA mantêm todo o interesse, mas sob a lei TRAIGA mudam de natureza: passam a ser prova em vez de dever.

A intenção em vez do efeito: a opção que estrutura o diploma

O critério intencional constitui a decisão fundadora do legislador texano. O regulamento europeu da IA e a lei originária do Colorado partiam ambos do resultado possível e obrigavam a procurá-lo antecipadamente. A lei TRAIGA pergunta se esse resultado foi querido. O alívio é real e seria desonesto minimizá-lo: nenhum dever de diligência, nenhuma avaliação de impacto obrigatória, nenhum registo, nenhum depósito de algoritmo. As versões anteriores continham um dever geral de transparência para os operadores privados e uma política obrigatória de mitigação de risco; ambos desapareceram antes da aprovação, conforme a sociedade K&L Gates documentou na altura. A cilada reside no que um critério intencional provoca em litígio. Quando a responsabilidade depende do efeito, a discussão é estatística. Quando depende da intenção, a discussão incide sobre o que se sabia, sobre aquilo de que se fora advertido e sobre o que se fez em seguida. Cada documento interno passa então a elemento de acusação ou de defesa: um relatório de equipa vermelha que ateste a deteção de uma falha e a respetiva correção protege, ao passo que o mesmo relatório, se atestar a deteção e a subsequente colocação em produção, prejudica. A lei TRAIGA não impõe a condução de uma gestão de risco de IA. Torna discretamente o seu rasto escrito no terreno em que se será julgado.

A defesa constitui o cerne do regime

Trata-se da disposição que a maioria das sínteses despacha numa frase antes de seguir adiante. A secção 552.105(e)(2)(D) reconhece a quem seja chamado a responder uma defesa quando cumpra substancialmente a versão mais recente do quadro de gestão de risco de IA do NIST, incluindo o perfil dedicado à IA generativa NIST-AI-600-1, ou outro quadro de gestão de risco reconhecido a nível nacional ou internacional. O paradoxo merece destaque. Um diploma desprovido de avaliação de impacto obrigatória e de qualquer formalidade declarativa indica, ainda assim, um referencial externo preciso e faz da sua concretização causa de exclusão de responsabilidade. O dever não desapareceu: deslocou-se do início do processo, onde uma autoridade o teria recolhido, para o fim, onde será a própria assessoria jurídica a ter de o produzir.

O que significa conformidade substancial

A conformidade substancial não se atesta por certificado algum e o Texas não mantém qualquer registo de empresas conformes. É uma alegação que depois importa sustentar, o que a torna inteiramente dependente da documentação. Na prática, as quatro funções do NIST AI RMF devem ser acompanhadas de elementos probatórios: GOVERN sob a forma de políticas, funções e responsáveis identificados; MAP sob a forma de inventário com finalidade documentada por sistema; MEASURE sob a forma de resultados de testes, avaliações e campanhas de equipa vermelha datados; MANAGE sob a forma de tratamento rastreado dos riscos assim revelados. O adjetivo decisivo é datado. Um referencial adotado depois de recebida a notificação do procurador-geral não configura conformidade substancial, mas reação. A defesa só existe se o rasto anteceder a queixa.

As outras três vias de exoneração

A conformidade substancial não é a única saída. A lei TRAIGA reconhece igualmente as infrações detetadas através de testes internos, exercícios de equipa vermelha ou avaliações adversariais, premiando as organizações que procuram ativamente os seus próprios defeitos. Reconhece a observância das orientações emitidas por uma agência estadual competente. E reconhece, por fim, as medidas adotadas na sequência de um processo de revisão interna documentado. O diploma protege ainda os programadores e operadores quando um terceiro faz uso desviado do sistema. A proteção não opera automaticamente na prática: demonstrar que o uso indevido é imputável ao terceiro pressupõe poder atestar para que fim o sistema fora concebido e como fora instruído, o que continua a ser matéria documental. O nosso guia de auditoria de sistemas de IA explica como estruturar essas verificações para que os respetivos resultados permaneçam utilizáveis mais tarde.

O aparelho sancionatório: quem age, em que prazos e a que custo

A perseguição é centralizada e estreita. A secção 552.101 atribui ao procurador-geral do Texas competência exclusiva. Não se abre qualquer ação privada, pelo que a lei TRAIGA não expõe ao litígio em massa, fragilidade que associações como a EFF-Austin assinalaram na perspetiva da defesa do consumidor. A sequência procedimental merece ser memorizada. A secção 552.102 obriga o procurador-geral a manter um canal eletrónico de receção de queixas. A secção 552.103 autoriza-o a emitir um pedido de investigação civil logo que receba a queixa, pedido que pode alcançar elementos operacionais, incluindo os dados de treino. A secção 552.104 exige notificação escrita e veda a ação antes do sexagésimo dia subsequente, abrindo uma janela de sanação. As coimas da secção 552.105 são graduadas: de 10.000 a 12.000 dólares para a infração sanável, de 80.000 a 200.000 dólares quando o não seja, e de 2.000 a 40.000 dólares diários em caso de persistência. A secção 552.106 permite às agências estaduais acrescentar sanções administrativas às entidades que licenciam, até 100.000 dólares e até à revogação do título. O número que deve orientar a organização não é o teto de 200.000 dólares, mas o prazo de sessenta dias. Uma janela de sanação só aproveita à organização capaz de identificar todos os sistemas envolvidos, apurar o respetivo comportamento e alterá-los em dois meses. Trata-se de uma capacidade operacional, a mesma que a preparação para a comunicação de incidentes exige. As organizações incapazes de inventariar depressa verão mecanicamente as infrações sanáveis transformarem-se em insanáveis. Impõe-se uma reserva quanto ao estado atual da prática. A lei TRAIGA é recente, o aparelho de controlo do procurador-geral e a regulamentação de execução do Department of Information Resources foram-se estruturando ao longo de 2026, e não existe ainda um corpo decisório significativo. Importa portanto raciocinar sobre o texto e não sobre uma casuística que não existe.

A lei TRAIGA e o Colorado após a viragem de 2026

Durante dezoito meses a contraposição corrente opunha um Colorado exigente a um Texas permissivo. Essa leitura está ultrapassada. A 14 de maio de 2026 o governador Polis promulgou o diploma SB 26-189, que revoga o Colorado AI Act e o substitui pelo Automated Decision-Making Technology Act, aplicável a partir de 1 de janeiro de 2027. O texto substitutivo elimina o dever de diligência, a obrigação de programa de gestão de risco e as avaliações de impacto em favor de um regime informativo, conforme a sociedade Skadden analisou. Foi o Colorado que se aproximou do Texas, e não o inverso. A consequência é de ordem arquitetónica. Os dois regimes norte-americanos ainda de pé divergem na mecânica mas convergem naquilo que exigem conservar: <table header-row=”true”> <tr> <td></td> <td>Lei TRAIGA (Texas, em vigor)</td> <td>Colorado ADMT (desde janeiro de 2027)</td> </tr> <tr> <td>Pressuposto</td> <td>Intenção de causar um dano proibido</td> <td>Decisões de repercussão significativa</td> </tr> <tr> <td>Critério discriminatório</td> <td>Apenas intencional, impacto indireto insuficiente</td> <td>Sem dever geral de diligência</td> </tr> <tr> <td>Avaliação de impacto</td> <td>Não exigida</td> <td>Não exigida após a revogação</td> </tr> <tr> <td>Dever principal do privado</td> <td>Abster-se das práticas proibidas</td> <td>Informar, também sobre efeitos adversos</td> </tr> <tr> <td>Mecanismo de proteção</td> <td>Defesa baseada no NIST AI RMF</td> <td>Cumprimento dos deveres de informação</td> </tr> <tr> <td>Supervisão</td> <td>Apenas procurador-geral, sessenta dias</td> <td>Procurador-geral, regime próprio</td> </tr> </table> Um único conjunto de controlos responde a ambos, e esse conjunto nada tem de especificamente norte-americano: um inventário, uma finalidade documentada por sistema, provas de avaliação e uma capacidade de informação. A nossa análise da lei do Colorado após SB 26-189 desenvolve a segunda coluna.

O ambiente de testes regulamentar: a quem se dirige realmente

O capítulo 553 cria junto do Department of Information Resources um ambiente de testes que permite ao participante autorizado ensaiar um sistema de IA sem obter previamente a licença ou autorização normalmente exigida. A secção 553.053 limita a participação a trinta e seis meses, prorrogáveis mediante aprovação. O acesso nada tem de informal. A secção 553.052 exige uma descrição do sistema, uma avaliação dos benefícios esperados, planos de mitigação dos riscos identificados e a prova do cumprimento da legislação federal aplicável em matéria de IA. As secções 553.101 a 553.103 impõem prestação de contas trimestral. A leitura honesta, que as comunicações comerciais habitualmente evitam: o ambiente de testes interessa quando um regime de autorização estadual bloqueia efetivamente uma experimentação, o que na prática abrange saúde, seguros, serviços financeiros e parte da contratação pública. Se nada estiver a bloquear, o mecanismo acrescenta um dever de reporte e um exercício de avaliação em troca de uma dispensa sem utilidade. Deve pois ser ponderado no conjunto das leis de IA e não como curiosidade texana.

Um plano de adequação a noventa dias

Para uma organização que parta do zero, esta é a ordem que garante terreno defensável mais depressa.

1. Inventariar o que toca o Texas. Todo o sistema de IA ao serviço de utilizadores texanos, incluindo as funcionalidades incorporadas em ferramentas SaaS e a shadow AI que ninguém declarou. O perímetro define-se pelos utilizadores e não pelas sociedades.
2. Confrontar cada sistema com as sete proibições. Com toda a probabilidade afastará todas. Registe ainda assim o exame, com data e responsável designado, porque a ausência de intenção proibida é uma alegação que poderá ter de ser demonstrada.
3. Instalar a conformidade com o NIST AI RMF como ativo de defesa. Não como um cartaz. GOVERN, MAP, MEASURE e MANAGE, cada um suportado por documentos datados e dimensionado ao risco do sistema. É este trabalho que torna disponível a secção 552.105(e)(2)(D), e é de longe a rubrica mais rentável da lista.
4. Integrar o prazo de sessenta dias na gestão de crise. Ensaie o percurso que vai da notificação do procurador-geral à identificação dos sistemas, à alteração do comportamento e à resposta escrita. Verifique que é capaz, em vez de o presumir.
5. Constituir o rasto intencional. Finalidades por sistema, resultados de avaliação e de equipa vermelha, aprovações de revisão e decisões tomadas sobre os achados. Sob um critério intencional esse rasto é o processo, e uma política de IA que defina quem o alimenta e com que cadência evita ter de o reconstituir a posteriori.

Nada disto é específico do Texas, e é esse justamente o argumento. Trata-se do mesmo substrato que a auditabilidade exige em qualquer jurisdição.

Perguntas frequentes

O que significa o acrónimo TRAIGA? TRAIGA designa o Texas Responsible Artificial Intelligence Governance Act, aprovado com o número HB 149 pela 89.ª legislatura texana, promulgado a 22 de junho de 2025 e aplicável desde 1 de janeiro de 2026. O acrónimo coincide com uma forma verbal espanhola de uso corrente, pelo que as pesquisas devolvem resultados mistos. O diploma pertinente é o que insere os capítulos 551 a 554 no Business and Commerce Code do Texas. Pode uma empresa portuguesa ficar sujeita à lei TRAIGA? Sim. O diploma abrange quem desenvolve ou coloca em serviço um sistema de IA no Texas, quem aí exerce atividade comercial e quem oferece produtos ou serviços utilizados por residentes texanos. Não se exige sede social nem estabelecimento, e não existe limiar de dimensão. Bastam uma filial norte-americana, uma oferta SaaS acessível a partir do Texas ou um componente de IA integrado num produto exportado. A lei TRAIGA exige uma avaliação de impacto? Não. Ao contrário do regulamento europeu da IA e da lei originária do Colorado, a lei TRAIGA não impõe avaliação de impacto, nem registo, nem depósito de algoritmo. A nuance reside na defesa da secção 552.105(e)(2)(D), que valoriza uma conformidade documentada ao quadro do NIST. A maioria das organizações acaba assim por produzir elementos análogos, ainda que por razão distinta. Que coimas estão previstas? De 10.000 a 12.000 dólares para a infração sanável, de 80.000 a 200.000 dólares quando o não seja, e de 2.000 a 40.000 dólares diários em caso de persistência. As agências estaduais podem acrescentar sanções administrativas até 100.000 dólares às entidades que licenciam. Uma vez que o procurador-geral tem de notificar e aguardar sessenta dias, a sanabilidade depende em larga medida da rapidez de resposta. Como se articula a lei TRAIGA com o regulamento europeu da IA? Os dois textos sobrepõem-se pouco: o regulamento europeu classifica os sistemas por nível de risco e impõe deveres a montante, ao passo que a lei TRAIGA proíbe comportamentos e premeia a prova a jusante. Quem esteja sujeito a ambos não precisa de manter dois dispositivos. A documentação já exigida pelo regulamento europeu alimenta diretamente a defesa texana, desde que datada e referida a cada sistema. Podem os consumidores intentar ação? Não. A secção 552.101 reserva a ação ao procurador-geral e o diploma não abre qualquer via privada. Os consumidores podem apresentar queixa através do canal previsto na secção 552.102, mas não dispõem de meio próprio. A lei neutraliza ainda os regulamentos municipais ou de condado contrários, pelo que a supervisão permanece deliberadamente num só canal. Vale a pena candidatar-se ao ambiente de testes? Apenas se um regime de autorização estadual bloquear realmente uma colocação em serviço. A participação dura até trinta e seis meses e suspende determinadas autorizações, mas o acesso pressupõe uma avaliação de benefícios, planos de mitigação e a prova do cumprimento do direito federal aplicável, com prestação de contas trimestral. Para um operador privado que nada bloqueie, o mecanismo acrescenta deveres sem retirar nenhum.

Conclusão

A lei TRAIGA presta-se a ser subestimada porque a leitura imediata está correta: as proibições são estreitas, a generalidade dos operadores privados afasta-as e nada tem de ser depositado junto de quem quer que seja. Parar aí constitui o erro. Um critério intencional não elimina a necessidade de prova, desloca-a, e a secção 552.105(e)(2)(D) enuncia sem ambiguidade que prova o Estado aceitará. O recuo do Colorado para um regime informativo torna a questão mais séria e não menos, pois a abordagem texana passa a ser o modelo provável para os Estados que legislem em seguida. As organizações que absorverão a menor custo as próximas cinco leis estaduais serão as que tiverem construído um só inventário, um só conjunto de controlos e uma só cadeia probatória ancorada num quadro reconhecido. É uma questão de governação da IA, não uma questão texana, e resolve-se de uma vez por todas.