Leis de IA na Califórnia: quem tem de cumprir e até quando

O essencial

• As leis de IA na Califórnia não formam um código único, mas um mosaico de leis específicas e regulamentos de agências; cerca de uma dúzia já vincula as empresas em 2026.
• As suas obrigações dependem do papel que desempenha: criador de modelos de fronteira, fornecedor de IA generativa, operador de chatbots, empregador, empresa sujeita à CCPA, plataforma ou fornecedor do Estado.
• O próximo prazo firme é 1 de janeiro de 2027, quando se aplicam as regras da CCPA sobre decisões automatizadas e as novas obrigações das plataformas.
• O governador Gavin Newsom assinou mais quatro leis de IA a 9 e 10 de setembro de 2026, e cerca de 30 projetos aguardam a sua decisão até 30 de setembro de 2026.
• A ofensiva federal contra as leis estaduais ainda não derrubou nenhuma norma californiana: compensa cumprir com controlos reutilizáveis noutras jurisdições.

As leis de IA na Califórnia já não dizem respeito apenas aos grandes laboratórios de Silicon Valley. Um retalhista que faz a triagem de candidaturas, um banco que avalia a solvência, um grupo de media que gera imagens e uma startup com um chatbot de companhia podem ficar sujeitos, cada um, a uma lei, um regulador e um calendário diferentes. Para uma empresa portuguesa que vende nos Estados Unidos ou aí tem trabalhadores, a dificuldade não está em ler uma lei, mas em identificar uma dúzia delas e perceber qual se aplica a que sistema. Este guia organiza as leis de IA na Califórnia por papel e por data: o que já é exigível, o que se aplica a partir de 1 de janeiro de 2027, o que foi assinado em setembro de 2026, o que continua pendente e como construir um único referencial de controlos que sirva também para o Colorado, o Texas e o Regulamento Europeu da IA. Informação verificada a 11 de setembro de 2026.

As leis de IA na Califórnia em resumo: um mosaico, não um código

A Califórnia tentou uma única vez o caminho de uma grande lei transversal. Em setembro de 2024, Gavin Newsom vetou o SB 1047, que teria imposto testes de segurança e um mecanismo de desligamento aos maiores modelos. Um ano depois assinou o sucessor, muito mais restrito, o SB 53, enquanto o Parlamento estadual continuava a legislar caso de uso a caso de uso. O resultado é um regime em três camadas:

1. Leis aprovadas pelo Parlamento e aplicadas sobretudo pelo Attorney General, por vezes com ação privada para os lesados.
2. Regulamentos de agências, em particular os da California Privacy Protection Agency (CPPA) sobre tecnologia de decisão automatizada (ADMT) e os do Civil Rights Council sobre sistemas de decisão automatizada no emprego.
3. Ordens executivas do governador, como a N-5-26 sobre compras públicas de IA, que vinculam a administração e, por contrato, os seus fornecedores.

O mapeamento regulatório da AI Sigil identifica na Califórnia cerca de 35 instrumentos e 110 obrigações distintas. A maioria das empresas cruza-se apenas com algumas. A tabela reúne as leis de IA na Califórnia que abrangem o maior número de empresas. <table header-row=”true”> <tr> <td>Norma</td> <td>A quem se dirige</td> <td>Estado</td> <td>Supervisão e sanção</td> </tr> <tr> <td>SB 53, lei de transparência da IA de fronteira</td> <td>Criadores de modelos de fronteira</td> <td>Em vigor desde 1 de janeiro de 2026</td> <td>Attorney General, até 1 milhão de dólares por infração</td> </tr> <tr> <td>AB 2013, transparência dos dados de treino</td> <td>Criadores de IA generativa disponibilizada na Califórnia</td> <td>Em vigor desde 1 de janeiro de 2026</td> <td>Attorney General</td> </tr> <tr> <td>SB 942 alterado pelo AB 853, California AI Transparency Act</td> <td>Fornecedores de IA generativa com mais de 1 milhão de utilizadores mensais; plataformas a partir de 2027</td> <td>Aplicável desde 2 de agosto de 2026</td> <td>Attorney General e advogados municipais, 5000 dólares por infração e por dia</td> </tr> <tr> <td>SB 243, chatbots de companhia</td> <td>Operadores de chatbots de companhia</td> <td>Em vigor desde 1 de janeiro de 2026</td> <td>Ação privada, 1000 dólares por infração</td> </tr> <tr> <td>Regulamentos da CCPA sobre ADMT e avaliações de risco</td> <td>Empresas sujeitas à CCPA</td> <td>Em vigor desde 1 de janeiro de 2026; conformidade ADMT até 1 de janeiro de 2027</td> <td>CPPA e Attorney General, até 7500 dólares por infração</td> </tr> <tr> <td>Regras FEHA sobre sistemas de decisão automatizada</td> <td>Empregadores com cinco ou mais trabalhadores e os seus agentes</td> <td>Em vigor desde 1 de outubro de 2025</td> <td>Civil Rights Department e ações judiciais</td> </tr> <tr> <td>AB 316</td> <td>Quem desenvolva, modifique ou utilize IA</td> <td>Em vigor desde 1 de janeiro de 2026</td> <td>Tribunais cíveis</td> </tr> </table> A visão global está no nosso guia sobre as leis de IA em 2026. Aqui concentramo-nos nas leis de IA na Califórnia, cujo verdadeiro desafio é o ritmo da mudança.

Que leis de IA na Califórnia se aplicam à sua empresa? A classificação por papel

Muitas equipas de conformidade abordam as leis de IA na Califórnia a partir da lista de números dos projetos. Funciona melhor o caminho inverso: partir do seu papel, porque cada norma é construída em torno de um ator e de um pressuposto concretos.

• Criador de um modelo de fronteira. Treinou, ou iniciou o treino de, um modelo fundacional com mais de 10\^26 operações de vírgula flutuante: aplica-se o SB 53. Se, além disso, a sua faturação anual ultrapassar 500 milhões de dólares, é um criador «grande», com obrigações adicionais. A Brookings estima que estejam abrangidas entre cinco e oito empresas. Saiba mais sobre o que é um frontier model.
• Fornecedor de IA generativa. O seu gerador de imagens, vídeo ou áudio está acessível ao público na Califórnia e ultrapassa um milhão de visitantes ou utilizadores mensais: aplica-se o California AI Transparency Act. Independentemente da dimensão, disponibilizar um sistema generativo a utilizadores californianos ativa a obrigação de documentação do AB 2013.
• Operador de um chatbot de companhia. O seu agente conversacional dá respostas adaptativas, quase humanas, capazes de sustentar uma relação: o SB 243 já se aplica, e o SB 1119 acrescenta auditorias de segurança infantil a partir de 2027.
• Empregador. Tem cinco ou mais trabalhadores e usa um sistema de decisão automatizada para recrutar, promover, remunerar ou despedir: aplicam-se as regras FEHA, e o fornecedor do software pode ser tratado como seu agente. O nosso guia sobre inteligência artificial no recrutamento compara-as com Nova Iorque, o Colorado, o Illinois e a União Europeia.
• Empresa sujeita à CCPA. Ultrapassa os limiares da CCPA e usa ADMT para uma decisão significativa sobre consumidores, candidatos ou trabalhadores: as regras da CPPA aplicam-se a partir de 1 de janeiro de 2027.
• Setor da saúde. O SB 1120 regula a IA na revisão de prestações, o AB 3030 exige avisos nas comunicações a doentes geradas com IA e o AB 489 proíbe que uma IA dê a entender que possui habilitação profissional de saúde.
• Grande plataforma ou serviço de alojamento. A partir de 1 de janeiro de 2027, o AB 853 obriga a detetar os dados de proveniência e proíbe alojar conscientemente geradores não conformes.
• Fornecedor do Estado. A ordem executiva N-5-26, de 30 de março de 2026, pede às administrações que integrem certificações de fornecedores de IA na contratação pública (Ropes & Gray).
• Todos. O AB 316 impede que se alegue em tribunal cível que «a IA agiu sozinha», e o SB 1001 continua a obrigar os bots a identificarem-se quando servem para vender ou influenciar um voto.

Não ter sede na Califórnia não protege. As leis de IA na Califórnia ligam-se a utilizadores, consumidores e trabalhadores situados no Estado: um fornecedor português com utilizadores californianos pode ficar abrangido sem ter qualquer escritório lá.

O que já se aplica: as obrigações exigíveis hoje

Entre as leis de IA na Califórnia, cinco instrumentos concentram a maior parte das obrigações de uma empresa típica. Cada um tem o seu pressuposto, o seu regulador e a sua documentação.

SB 53, a lei de transparência da IA de fronteira

Assinado a 29 de setembro de 2025 e em vigor desde 1 de janeiro de 2026, o SB 53 transforma compromissos voluntários em compromissos publicados. Um criador grande tem de publicar um quadro de gestão de riscos de fronteira que explique como identifica e mitiga os riscos catastróficos, alinhado com normas nacionais e internacionais e revisto pelo menos uma vez por ano. Todos os criadores de fronteira publicam um relatório de transparência a cada lançamento de um modelo novo ou substancialmente modificado. Os incidentes críticos de segurança são comunicados ao Office of Emergency Services nos 15 dias seguintes à sua descoberta, ou em 24 horas se houver risco iminente de morte ou lesão grave. Os canais internos de denúncia e a proteção dos denunciantes são obrigatórios, e o Attorney General pode exigir até 1 milhão de dólares por infração, segundo a Brookings. O risco catastrófico é definido de forma estrita: morte ou lesões graves de 50 ou mais pessoas, mais de mil milhões de dólares em danos, ajuda especializada para armas químicas, biológicas, radiológicas ou nucleares, ou um modelo que escapa ao controlo de quem o criou. Para um leitor europeu, o equivalente mais próximo é o capítulo de Segurança e proteção do código de práticas para a IA de finalidade geral, que se aplica já a partir de 10\^25 FLOP: quem mantém esse quadro para a União tem em mãos a maior parte do material exigido pelo SB 53.

AB 2013, a transparência dos dados de treino

Desde 1 de janeiro de 2026, quem desenvolve um sistema ou serviço de IA generativa disponibilizado na Califórnia tem de publicar no seu sítio web a documentação dos dados de treino: fontes e titulares dos conjuntos de dados, tipos de dados, presença de obras protegidas ou de dados pessoais, uso de dados sintéticos, períodos de recolha e operações de limpeza. A obrigação abrange os sistemas lançados ou substancialmente modificados desde 1 de janeiro de 2022, com uma atualização antes de cada modificação substancial. A xAI contestou a lei, alegando que destrói segredos comerciais e obriga a falar; a 4 de março de 2026, um juiz federal recusou a suspensão pedida e o processo continua (IAPP). Entre as leis de IA na Califórnia, é a mais próxima de uma obrigação europeia: o resumo público dos conteúdos de treino que o artigo 53.º do Regulamento da IA exige aos fornecedores de modelos de finalidade geral.

SB 942 e AB 853, o California AI Transparency Act

A lei é aplicável desde 2 de agosto de 2026, depois de o AB 853 ter adiado a data original de 1 de janeiro de 2026. Um fornecedor abrangido, ou seja, um sistema de IA generativa acessível ao público na Califórnia, que produz imagens, vídeo ou áudio e ultrapassa um milhão de visitantes ou utilizadores mensais, tem de:

• oferecer uma ferramenta de deteção pública e gratuita que indique se um conteúdo provém do seu sistema;
• dar ao utilizador a opção de uma marca visível, permanente ou extraordinariamente difícil de remover;
• incorporar em cada conteúdo uma marca latente que identifique o fornecedor, o sistema, a versão e a data de criação;
• exigir por contrato aos licenciados que preservem as marcas e revogar a licença no prazo de 96 horas após descobrir um incumprimento.

A partir de 1 de janeiro de 2027, as grandes plataformas terão de detetar e mostrar os dados de proveniência, e os serviços de alojamento deixarão de poder oferecer conscientemente geradores não conformes; os fabricantes de dispositivos de captura seguem-se a 1 de janeiro de 2028. A sanção chega a 5000 dólares por infração, e cada dia conta separadamente (Morgan Lewis). A lógica coincide com as obrigações de transparência do artigo 50.º do Regulamento da IA: uma única cadeia de proveniência pode servir as leis de IA na Califórnia e o regime europeu.

SB 243, os chatbots de companhia

Em vigor desde 1 de janeiro de 2026, o SB 243 obriga os operadores de chatbots de companhia a indicar que o agente é artificial sempre que uma pessoa razoável possa ser induzida em erro, a manter protocolos de deteção de ideação suicida com encaminhamento para serviços de crise e a publicar esses protocolos. Perante utilizadores que sabem ser menores, têm de informar do uso de IA, lembrar pelo menos de três em três horas que convém fazer uma pausa e adotar medidas razoáveis contra conteúdos sexualmente explícitos. A partir de 1 de julho de 2027, os operadores enviam um relatório anual ao Office of Suicide Prevention. Qualquer lesado pode reclamar o valor mais alto entre o dano efetivo e 1000 dólares por infração (Mayer Brown).

As regras FEHA sobre sistemas de decisão automatizada

Desde 1 de outubro de 2025, as regras do Civil Rights Council tornam ilícito o uso de um sistema de decisão automatizada que discrimine com base numa característica protegida, seja de forma intencional ou por impacto desproporcionado. O empregador conserva durante quatro anos os dados do sistema: descrições dos conjuntos de dados, pontuações e conclusões de auditoria. Os testes de enviesamento, ou a sua ausência, contam como prova, e o fornecedor que atua por conta do empregador pode ser tratado como seu agente (Jackson Lewis). Essa regra, pouco comum entre as leis de IA na Califórnia, transforma a avaliação de fornecedores numa necessidade jurídica, e não apenas numa boa prática.

As regras da CCPA sobre ADMT: o prazo de 1 de janeiro de 2027

Os regulamentos da CPPA sobre ADMT, avaliações de risco e auditorias de cibersegurança foram aprovados a 22 de setembro de 2025 e estão em vigor desde 1 de janeiro de 2026, mas as obrigações mais pesadas chegam de forma faseada. ADMT é qualquer tecnologia que trata dados pessoais para substituir, ou substituir no essencial, a decisão humana. Quando uma empresa a utiliza para uma decisão significativa, isto é, sobre crédito ou serviços financeiros, habitação, educação, emprego ou saúde, tem de, até 1 de janeiro de 2027:

• fornecer um aviso prévio sobre a finalidade, o funcionamento da tecnologia e os direitos da pessoa;
• oferecer um direito de oposição, salvo exceções, por exemplo uma via de recurso para um revisor humano;
• responder aos pedidos de acesso sobre a lógica da ADMT e a utilização do seu resultado.

É exigida uma avaliação de risco antes de qualquer tratamento que represente um risco significativo: venda ou partilha de dados pessoais, tratamento de dados sensíveis, uso de ADMT para uma decisão significativa, inferências automatizadas a partir de observação sistemática ou treino de uma ADMT. Os tratamentos iniciados antes de 2026 que continuam têm de ser avaliados até 31 de dezembro de 2027, e uma primeira declaração com um resumo tem de chegar à CPPA até 1 de abril de 2028. As avaliações são conservadas enquanto durar o tratamento ou durante cinco anos após a sua conclusão, consoante o que for mais longo (Morrison Foerster). Seguem-se as auditorias anuais de cibersegurança, com as primeiras certificações a 1 de abril de 2028 para empresas com mais de 100 milhões de dólares de faturação, em 2029 entre 50 e 100 milhões e em 2030 abaixo disso. Cada infração custa até 7500 dólares. De todas as leis de IA na Califórnia, esta é a que tem mais probabilidades de abranger um grupo europeu, porque os limiares da CCPA assentam na faturação e no volume de dados, não no uso de IA. A boa notícia: uma avaliação de impacto sobre a proteção de dados, como a que a CNPD exige para os tratamentos de risco elevado, cobre boa parte do terreno, tal como uma avaliação de impacto de IA. Construa o modelo uma vez e reutilize-o.

O que Newsom assinou em setembro de 2026 e o que continua pendente

A sessão legislativa de 2026 terminou a 31 de agosto com cerca de 30 projetos relacionados com a IA enviados ao governador, que tem até 30 de setembro de 2026 para os assinar ou vetar. Um projeto sobre o qual não decida torna-se lei sem a sua assinatura (Transparency Coalition). Na semana em que este guia foi escrito foram assinadas quatro leis, que deslocam as leis de IA na Califórnia da simples transparência para a verificação por terceiros. Assinadas a 9 de setembro de 2026. O SB 813 cria um quadro para organizações de verificação independentes que avaliam a conformidade de sistemas e modelos de IA com o direito estadual. O AB 1405 cria um registo público de auditores de IA com regras de independência, transparência e integridade; segundo a imprensa, a inscrição será obrigatória para as auditorias abrangidas a partir de 2029 (gabinete do governador). Em conjunto, criam o mercado da verificação por terceiros, onde as evidências de uma auditoria de IA serão postas à prova. Assinadas a 10 de setembro de 2026. O SB 1119 reforça as regras dos chatbots de companhia para menores: avaliação anual e documentada dos riscos para utilizadores menores, ferramentas de controlo parental, auditorias independentes de segurança infantil cujos relatórios chegam ao Attorney General em 90 dias, um relatório público do Attorney General a partir de 2028 e uma ação para menores e pais. O SB 867 impõe uma moratória de quatro anos aos brinquedos com chatbot de companhia para menores de 16 anos (CalMatters). Salvo disposição em contrário, uma lei californiana entra em vigor a 1 de janeiro do ano seguinte: planeie para 1 de janeiro de 2027. Ainda pendentes a 11 de setembro de 2026. Entre os projetos que alargariam as leis de IA na Califórnia e aguardam decisão contam-se:

• o SB 947, conhecido como «No Robo Bosses Act»: proibição de recorrer apenas a sistemas automatizados para sancionar ou despedir, com revisão humana e aviso (início proposto a 1 de julho de 2027);
• o AB 1609: aviso aos consumidores que interagem com chatbots de apoio ao cliente de grandes empresas;
• o SB 1000 e o AB 2713: alterações ao California AI Transparency Act para fornecedores e plataformas;
• o SB 503, o AB 2575, o AB 1979 e o SB 903: IA no apoio à decisão clínica, na prestação de cuidados e na psicoterapia;
• o SB 951 e o AB 1883: IA nos avisos de despedimento coletivo e na vigilância no local de trabalho;
• o SB 574: obrigações dos advogados que usam IA generativa.

As datas propostas para cada um constam do resumo de fim de sessão da Wiley. Trate esta lista como uma lista de acompanhamento e reveja-a depois de 30 de setembro.

O calendário das leis de IA na Califórnia, de 2025 a 2030

As datas seguintes transformam as leis de IA na Califórnia numa ferramenta de planeamento. Tudo o que é anterior a hoje já é exigível. A lei reformulada do Colorado também aponta para 1 de janeiro de 2027, como explica o nosso guia sobre a lei de IA do Colorado: é a meta natural de um programa para vários estados. <table header-row=”true”> <tr> <td>Data</td> <td>O que se aplica</td> <td>Quem</td> </tr> <tr> <td>1 de outubro de 2025</td> <td>Regras FEHA sobre sistemas de decisão automatizada</td> <td>Empregadores com cinco ou mais trabalhadores</td> </tr> <tr> <td>1 de janeiro de 2026</td> <td>SB 53, AB 2013, SB 243, AB 316, AB 489; regulamentos da CCPA em vigor, avaliações de risco para novos tratamentos</td> <td>Criadores de fronteira e de IA generativa, operadores de chatbots, empresas CCPA</td> </tr> <tr> <td>2 de agosto de 2026</td> <td>Obrigações principais do California AI Transparency Act</td> <td>Fornecedores de IA generativa com mais de 1 milhão de utilizadores mensais</td> </tr> <tr> <td>30 de setembro de 2026</td> <td>Prazo do governador para decidir sobre os projetos pendentes</td> <td>Lista de acompanhamento</td> </tr> <tr> <td>1 de janeiro de 2027</td> <td>Aviso, oposição e acesso ADMT; obrigações de plataformas e alojamento (AB 853); entrada em vigor prevista do SB 1119, SB 867, SB 813 e AB 1405</td> <td>Empresas CCPA, plataformas, operadores de chatbots, fabricantes de brinquedos</td> </tr> <tr> <td>1 de julho de 2027</td> <td>Primeiro relatório anual do SB 243 ao Office of Suicide Prevention</td> <td>Operadores de chatbots</td> </tr> <tr> <td>31 de dezembro de 2027</td> <td>Avaliações de risco dos tratamentos iniciados antes de 2026</td> <td>Empresas CCPA</td> </tr> <tr> <td>1 de janeiro de 2028</td> <td>Marcas nos dispositivos de captura; primeiro relatório anual do Attorney General sobre as auditorias do SB 1119</td> <td>Fabricantes de dispositivos, operadores de chatbots</td> </tr> <tr> <td>1 de abril de 2028</td> <td>Declaração das avaliações de risco; primeiras certificações de auditoria de cibersegurança</td> <td>Empresas CCPA com mais de 100 milhões de dólares de faturação</td> </tr> <tr> <td>2029</td> <td>Inscrição de auditores de IA (AB 1405, segundo a imprensa); auditorias de cibersegurança de empresas médias</td> <td>Auditores; empresas entre 50 e 100 milhões de dólares</td> </tr> <tr> <td>1 de abril de 2030</td> <td>Auditorias de cibersegurança das empresas mais pequenas</td> <td>Empresas CCPA com menos de 50 milhões de dólares</td> </tr> </table>

A primazia federal: cumprir mesmo assim

A 11 de dezembro de 2025, o presidente Trump assinou a ordem executiva 14365. Criou no Departamento de Justiça uma AI Litigation Task Force, operacional desde 9 de janeiro de 2026, encarregada de contestar as leis estaduais de IA; pediu ao Departamento do Comércio que identificasse até 11 de março de 2026 as leis estaduais consideradas «onerosas»; ligou parte dos fundos federais BEAD para a banda larga a essa análise e pediu ao Congresso que substituísse as regras estaduais por regras federais (King & Spalding). As leis de IA na Califórnia estavam no centro desse debate. Para as leis de IA na Califórnia, o efeito prático tem sido limitado. A primeira ação da Task Force foi juntar-se, em abril de 2026, à ação da xAI contra a lei do Colorado, um caso ultrapassado quando o Colorado reescreveu a sua lei em maio. Em meados de 2026 não havia registo de qualquer ação federal contra uma lei californiana de IA, e o Congresso não aprovou nenhuma moratória. Há ainda dois argumentos a favor do cumprimento. Várias leis de IA na Califórnia preveem ações privadas (SB 243, SB 1119, FEHA) que não dependem do Attorney General. E uma ordem executiva não pode revogar uma lei estadual: só o Congresso ou um tribunal a podem afastar. O próprio Newsom apresentou as assinaturas de setembro como resposta ao vazio federal. Para uma equipa de conformidade, a postura sensata é cumprir, documentar e manter controlos transferíveis, para que uma mudança num estado altere uma correspondência e não todo o programa. O nosso guia sobre a lei TRAIGA trata a vertente texana da mesma questão.

Um único referencial de controlos para a Califórnia, o Colorado, o Texas e o Regulamento da IA

Uma empresa presente nos Estados Unidos e na Europa não precisa de um programa californiano, outro para o Colorado e outro europeu. Precisa de um único referencial de controlos, com correspondências por jurisdição. A tabela mostra como as principais leis de IA na Califórnia se articulam com o Regulamento Europeu da IA. <table header-row=”true”> <tr> <td>Controlo</td> <td>Âncora californiana</td> <td>Âncora no Regulamento da IA</td> </tr> <tr> <td>Inventário de sistemas de IA com etiquetas de jurisdição</td> <td>Âmbito de cada lei californiana</td> <td>Artigo 6.º (classificação), artigo 49.º (registo)</td> </tr> <tr> <td>Aviso, oposição e revisão humana das decisões automatizadas</td> <td>Regras da CCPA sobre ADMT, regras FEHA</td> <td>Artigo 26.º, n.º 11 (informação), artigo 86.º (explicação)</td> </tr> <tr> <td>Proveniência e marcação de conteúdos</td> <td>SB 942 e AB 853</td> <td>Artigo 50.º, n.º 2</td> </tr> <tr> <td>Transparência de chatbots e bots</td> <td>SB 243, SB 1001</td> <td>Artigo 50.º, n.º 1</td> </tr> <tr> <td>Testes de enviesamento e rastreabilidade das decisões</td> <td>Regras FEHA, conservação de quatro anos</td> <td>Artigo 10.º, artigos 12.º e 26.º, n.º 6 (registos)</td> </tr> <tr> <td>Quadro de segurança e comunicação de incidentes</td> <td>SB 53</td> <td>Artigo 55.º, artigo 73.º</td> </tr> <tr> <td>Resumo dos dados de treino</td> <td>AB 2013</td> <td>Artigo 53.º, n.º 1, alínea d)</td> </tr> <tr> <td>Avaliação de risco ou de impacto</td> <td>Avaliações de risco CCPA, SB 1119</td> <td>Artigo 9.º, artigo 27.º</td> </tr> <tr> <td>Cláusulas com fornecedores e licenciados</td> <td>Obrigações dos licenciados do SB 942, regra do agente FEHA</td> <td>Artigo 25.º (cadeia de valor)</td> </tr> </table> O Colorado e o Texas cabem nas mesmas linhas que as leis de IA na Califórnia. O SB 26-189, assinado em maio de 2026, transformou a lei do Colorado num regime de informação sobre decisões automatizadas a partir de 1 de janeiro de 2027, coberto pela linha dos avisos. A lei texana TRAIGA, em vigor desde 1 de janeiro de 2026, é sobretudo uma lista de proibições baseadas na intenção, mais obrigações de transparência para as administrações, cobertas pelo inventário e por um filtro de usos proibidos. Em Portugal, onde a ANACOM foi designada em setembro de 2025 autoridade de fiscalização do mercado e ponto de contacto único para o Regulamento da IA, esta lógica será familiar. É o modelo que a AI Sigil aplica: 28 quadros regulatórios em quatro regiões, Califórnia incluída, ligados a uma única biblioteca de obrigações.

O dossiê de prova: os documentos exigíveis

Cada uma das leis de IA na Califórnia gera documentos que um regulador, um tribunal ou um queixoso pode exigir. Atribua um responsável a cada um antes que chegue o primeiro pedido. <table header-row=”true”> <tr> <td>Documento</td> <td>Norma</td> <td>Prazo ou conservação</td> </tr> <tr> <td>Quadro de gestão de riscos de fronteira e relatórios de transparência</td> <td>SB 53</td> <td>Quadro revisto pelo menos uma vez por ano; relatório a cada lançamento; informação ocultada conservada cinco anos</td> </tr> <tr> <td>Comunicações de incidentes críticos</td> <td>SB 53</td> <td>15 dias, ou 24 horas se o risco for iminente</td> </tr> <tr> <td>Documentação dos dados de treino</td> <td>AB 2013</td> <td>Antes do lançamento e antes de cada modificação substancial</td> </tr> <tr> <td>Especificação das marcas latentes, ferramenta de deteção, cláusulas de licença, registo de revogações</td> <td>SB 942 e AB 853</td> <td>Contínuo; revogação em 96 horas</td> </tr> <tr> <td>Número de encaminhamentos para serviços de crise e protocolos de prevenção do suicídio</td> <td>SB 243</td> <td>Relatório anual a partir de 1 de julho de 2027</td> </tr> <tr> <td>Entradas, saídas, pontuações e auditorias de enviesamento dos sistemas de decisão</td> <td>Regras FEHA</td> <td>Quatro anos</td> </tr> <tr> <td>Avisos ADMT, registos de oposição e de acesso</td> <td>Regulamentos CCPA</td> <td>A partir de 1 de janeiro de 2027</td> </tr> <tr> <td>Avaliações de risco</td> <td>Regulamentos CCPA</td> <td>Enquanto durar o tratamento ou cinco anos, consoante o mais longo</td> </tr> <tr> <td>Avaliações de risco infantil e relatórios de auditoria</td> <td>SB 1119</td> <td>Anuais; relatório ao Attorney General em 90 dias</td> </tr> </table> As comunicações de incidentes merecem o maior cuidado, porque o prazo do SB 53, tal como o do artigo 73.º do Regulamento da IA, conta a partir da descoberta. A experiência de monitorização da conformidade de sistemas de IA ajuda a gerir os dois relógios com um só processo.

Um plano de 90 dias para as leis de IA na Califórnia

Dias 1 a 30: inventário e âmbito. Registe cada sistema de IA, identifique os que chegam a utilizadores, consumidores ou trabalhadores na Califórnia e anote o seu papel em cada caso segundo a classificação acima. A maioria das organizações descobre nesta fase ferramentas não declaradas; o nosso guia de governança de IA mostra como organizar esse levantamento. Dias 31 a 60: fechar as lacunas de 1 de janeiro de 2027. Redija os avisos prévios ADMT, construa o circuito de oposição e acesso, realize as avaliações de risco que a ADMT desencadeia e verifique a deteção de proveniência se alojar conteúdos. Os operadores de chatbots devem planear já as auditorias do SB 1119, porque o mercado de auditores criado pelo SB 813 e pelo AB 1405 depressa ficará saturado. Dias 61 a 90: prova e acompanhamento. Atribua um responsável a cada documento do dossiê de prova, fixe datas de revisão e mantenha uma lista de acompanhamento dos projetos pendentes até 30 de setembro e dos litígios federais. Ligue os controlos a um referencial reconhecido como o NIST AI RMF, a norma nacional mais evidente para o alinhamento que o SB 53 exige aos quadros de fronteira.

Perguntas frequentes

A Califórnia tem uma lei de IA comparável ao Regulamento Europeu? Não. As leis de IA na Califórnia são normas específicas como o SB 53, o AB 2013, o SB 942 e o SB 243, complementadas por regulamentos de privacidade da CCPA e por regras antidiscriminação da FEHA. O único projeto transversal, o SB 1047, foi vetado em 2024. Na prática, não existe um teste de aplicação único: cada norma tem o seu pressuposto e o âmbito tem de ser verificado lei a lei, a partir do seu papel. As leis de IA na Califórnia aplicam-se a empresas portuguesas? Na maioria dos casos, sim. Ligam-se a utilizadores, consumidores e trabalhadores situados na Califórnia, não à sede da empresa. Um fornecedor europeu de IA generativa com mais de um milhão de utilizadores mensais californianos, ou um empregador que faz a triagem de candidatos californianos com uma ferramenta automatizada, pode ficar abrangido sem ter qualquer estabelecimento local. Que leis de IA na Califórnia se aplicam aos empregadores? Contam três conjuntos de regras. As regras FEHA sobre sistemas de decisão automatizada, em vigor desde 1 de outubro de 2025, proíbem resultados discriminatórios e exigem quatro anos de conservação. As regras da CCPA sobre ADMT exigem aviso, oposição e acesso nas decisões significativas de emprego a partir de 1 de janeiro de 2027. O SB 947, pendente até 30 de setembro de 2026, proibiria o recurso exclusivo a sistemas automatizados para sancionar ou despedir. Quando se aplicam as regras da CCPA sobre ADMT? Os regulamentos estão em vigor desde 1 de janeiro de 2026, mas uma empresa que já usa ADMT para decisões significativas tem de cumprir os requisitos ADMT até 1 de janeiro de 2027. As avaliações de risco dos tratamentos iniciados antes de 2026 vencem a 31 de dezembro de 2027, com uma primeira declaração à CPPA até 1 de abril de 2028. Que leis de IA na Califórnia assinou Newsom em setembro de 2026? A 9 de setembro de 2026 assinou o SB 813, sobre organizações de verificação independentes, e o AB 1405, que cria um registo de auditores de IA. A 10 de setembro assinou o SB 1119, sobre segurança infantil nos chatbots de companhia com auditorias independentes, e o SB 867, uma moratória de quatro anos para brinquedos com chatbot de companhia destinados a menores de 16 anos, a par de várias leis de proteção de menores na internet. O Governo federal pode afastar as leis de IA na Califórnia? Só o Congresso ou um tribunal podem afastar uma lei estadual. A ordem executiva 14365 criou um grupo de trabalho no Departamento de Justiça para contestar as leis estaduais de IA e ligou alguns fundos federais à sua análise, mas em meados de 2026 não havia registo de qualquer ação federal contra uma lei californiana de IA e o Congresso não tinha aprovado nenhuma moratória. As ações privadas do SB 243, do SB 1119 e da FEHA não dependem do Estado.

Conclusão

As leis de IA na Califórnia recompensam as empresas que deixam de as ler uma a uma. As suas obrigações reduzem-se a poucos gestos: informar, avaliar, conservar, testar enviesamentos, comunicar incidentes. Os mesmos gestos repetem-se no Colorado, no Texas e no Regulamento da IA. O próximo prazo, 1 de janeiro de 2027, está suficientemente perto para ser planeado já e suficientemente longe para ser cumprido se o inventário arrancar este trimestre. A AI Sigil mapeia as leis de IA na Califórnia a par do Regulamento da IA e de outras 26 leis nacionais e estaduais de IA, numa única biblioteca de obrigações: uma nova assinatura torna-se uma atualização de correspondências, não um projeto novo. Se está a definir as suas obrigações ao abrigo das leis de IA na Califórnia, comece pelo inventário e pelo calendário acima e reveja a lista de projetos pendentes depois de 30 de setembro.