Responsabilidade civil da IA: a prova decide em 2026

A responsabilidade civil da IA deixa de ser, na União Europeia, um debate de teorias para passar a ser uma questão de prova. A partir de 9 de dezembro de 2026, a Diretiva (UE) 2024/2853 trata o software e os sistemas de IA como produtos, permite ao tribunal ordenar ao fabricante a divulgação de elementos de prova e presume o defeito quando essa divulgação falha. Quem responde, perante que tribunal e com que documentos: é disso que trata este artigo.

O essencial

• A responsabilidade civil da IA decide-se pelo dossiê que a empresa consegue apresentar anos depois do lançamento, não pela teoria jurídica invocada.
• A Diretiva (UE) 2024/2853 aplica-se aos produtos colocados no mercado a partir de 9 de dezembro de 2026 e qualifica o software como produto, incluindo o fornecido como serviço (SaaS).
• O tribunal pode ordenar a divulgação de elementos de prova, e o defeito presume-se se o fabricante não os divulgar.
• O Regulamento da IA exige registos durante pelo menos seis meses, mas a exposição dura dez anos, ou vinte e cinco em caso de dano pessoal latente.
• A Alemanha aprovou a sua lei de transposição em 8 de outubro de 2026; a maioria dos Estados-Membros ainda não tem texto adotado.

O que significa a responsabilidade civil da IA em 2026

A pergunta é esta: quem tem de indemnizar a pessoa lesada por um sistema de IA, com que fundamento jurídico e com que prova. Um sistema de IA não tem personalidade jurídica: não tem património, não pode ser demandado, não paga indemnizações. A responsabilidade recai sempre sobre uma pessoa singular ou coletiva. Há três fundamentos possíveis, que o lesado pode combinar:

• Contrato: o cliente invoca o incumprimento das obrigações assumidas pelo fornecedor.
• Responsabilidade por factos ilícitos, assente na culpa e regulada pelo direito nacional: o lesado demonstra o comportamento censurável, o dano e o nexo de causalidade.
• Responsabilidade objetiva do produtor, sem culpa: basta provar o defeito, o dano e o nexo de causalidade. É o regime harmonizado pela diretiva, e aquele em que as regras de prova mais mudam em 2026.

Convém afastar uma confusão frequente. A responsabilização em sentido de governação (quem decide e quem presta contas internamente) é o tema do nosso artigo sobre a responsabilidade pela IA nas organizações. Aqui falamos de responsabilidade civil: quem paga os danos, perante que tribunal e com que prova. As duas dimensões tocam-se num ponto, que é a tese deste artigo. A nosso ver, a responsabilidade civil da IA joga-se hoje menos na qualificação jurídica do que na capacidade de reconstituir o que o sistema fez, com que versão do modelo e sob que controlos. Uma organização com uma gestão de riscos de IA documentada chega ao litígio com um processo; as restantes chegam com uma presunção contra si.

Quem responde: a cadeia de operadores económicos

A diretiva organiza uma cadeia, pensada para que o lesado encontre sempre um operador estabelecido na União contra quem agir. <table header-row=”true”> <tr> <td>Operador</td> <td>Fundamento</td> <td>Quando se aplica</td> </tr> <tr> <td>Fabricante, incluindo o prestador de um sistema de IA</td> <td>Artigo 8.º e considerando 13</td> <td>Quem desenvolve ou produz software é tratado como fabricante</td> </tr> <tr> <td>Fabricante de um componente, incluindo um modelo integrado ou um serviço conexo</td> <td>Artigo 8.º e artigo 4.º, n.os 3 e 4</td> <td>Quando o defeito do componente tornou o produto defeituoso</td> </tr> <tr> <td>Importador e mandatário</td> <td>Artigo 8.º</td> <td>Quando o fabricante está estabelecido fora da União</td> </tr> <tr> <td>Prestador de serviços de execução</td> <td>Artigo 8.º</td> <td>Na falta de importador e de mandatário</td> </tr> <tr> <td>Distribuidor e, depois, plataforma em linha</td> <td>Artigo 8.º, n.os 3 e 4</td> <td>Apenas se não identificarem um operador da União no prazo de um mês após o pedido do lesado</td> </tr> <tr> <td>Quem modifica substancialmente o produto fora do controlo do fabricante</td> <td>Artigo 8.º, n.º 2</td> <td>Passa a ser considerado fabricante do produto modificado</td> </tr> <tr> <td>Responsável pela implantação, enquanto mero utilizador</td> <td>Fora da diretiva</td> <td>Responde nos termos do direito nacional, com base na culpa</td> </tr> </table> A penúltima linha é a que mais surpreende: uma empresa que reentreina um sistema adquirido a terceiros pode passar de utilizadora a fabricante. O Regulamento da IA conhece um mecanismo paralelo: o artigo 25.º, n.º 1, transforma em prestador quem apõe o seu nome, modifica substancialmente ou altera a finalidade de um sistema de IA de risco elevado. O artigo 12.º estabelece a responsabilidade solidária: o lesado pode exigir a totalidade da indemnização a qualquer dos operadores responsáveis. O artigo 15.º proíbe que a responsabilidade perante o lesado seja limitada ou excluída por contrato ou pelo direito nacional; as cláusulas de limitação valem para o regresso entre empresas, nunca contra a vítima. Por isso, na responsabilidade civil da IA, a diligência devida sobre fornecedores de IA serve para saber quem, na cadeia, detém a prova que um dia lhe será pedida.

O recomeço europeu: uma diretiva retirada, outra reescrita

Em matéria de responsabilidade civil da IA, o debate europeu assentou em dois textos. O primeiro, a proposta de diretiva relativa à responsabilidade em matéria de IA, de 28 de setembro de 2022 (COM(2022) 496), visava as ações fundadas na culpa. Foi retirada pelo programa de trabalho da Comissão para 2025, publicado em 11 de fevereiro de 2025, por não haver acordo previsível. A página da Comissão sobre a responsabilidade aplicável à IA continuava, em 13 de outubro de 2026, a apresentá-la sem mencionar a retirada, e nenhuma sucessora tinha sido proposta. Resta a Diretiva (UE) 2024/2853, a nova Diretiva relativa à responsabilidade decorrente dos produtos defeituosos. Em vigor desde 8 de dezembro de 2024, revoga a Diretiva 85/374/CEE com efeitos a partir de 9 de dezembro de 2026. O regime de 1985 continua a aplicar-se aos produtos colocados no mercado antes dessa data. A alteração decisiva está na definição de produto. O artigo 4.º inclui o software, e o considerando 13 esclarece que isso vale independentemente do modo de fornecimento: instalado num dispositivo, acedido pela nuvem ou fornecido como serviço. A informação, incluindo o mero código-fonte, não é um produto. O software livre e de código aberto fornecido fora de uma atividade comercial fica igualmente de fora (artigo 2.º, n.º 2). Os danos indemnizáveis constam do artigo 6.º: morte ou lesão corporal, incluindo danos para a saúde psicológica clinicamente reconhecidos; danos ou destruição de bens, com exceção do próprio produto defeituoso; destruição ou corrupção de dados não utilizados para fins profissionais.

O que a diretiva não cobre

Ficam de fora:

• os danos puramente patrimoniais, como a perda de receitas;
• a discriminação e a violação da privacidade enquanto tais;
• os bens utilizados exclusivamente para fins profissionais;
• os pedidos de pessoas coletivas, já que só as pessoas singulares têm direito a indemnização (artigo 5.º).

Estes litígios seguem outros caminhos: a culpa no direito nacional, o contrato e, para os dados pessoais, o artigo 82.º do RGPD (ver RGPD e inteligência artificial).

Responsabilidade civil da IA: como se prova o defeito, divulgação e presunções

Cabe ao demandante provar o defeito, o dano e o nexo de causalidade (artigo 10.º, n.º 1). Na responsabilidade civil da IA, mudou tudo o que rodeia esse ónus. Segundo o artigo 7.º, um produto é defeituoso quando não oferece a segurança que uma pessoa pode legitimamente esperar ou que é exigida pelo direito da União ou nacional. Várias circunstâncias a ponderar visam os sistemas de IA: a capacidade de continuar a aprender depois da colocação no mercado, a interligação com outros produtos, os requisitos de segurança (incluindo os de cibersegurança) e qualquer recolha ou intervenção de uma autoridade. Um sistema sujeito a deriva do modelo de IA é avaliado também pelo que se tornou. O artigo 9.º introduz a divulgação de elementos de prova. O demandante que sustente a plausibilidade do pedido pode obter uma ordem que obrigue o demandado a divulgar os elementos pertinentes de que dispõe. A ordem limita-se ao necessário e proporcionado, com proteção dos segredos comerciais. O artigo 10.º acrescenta quatro presunções, todas ilidíveis:

1. Falta de divulgação: presume-se o defeito se o demandado não divulgar os elementos de prova ordenados.
2. Incumprimento de requisitos de segurança: presume-se o defeito se o produto não cumprir requisitos obrigatórios destinados a proteger contra o risco do dano sofrido.
3. Mau funcionamento óbvio durante uma utilização razoavelmente previsível.
4. Complexidade técnica ou científica: se o demandante enfrentar dificuldades excessivas e demonstrar que o defeito ou o nexo são prováveis, o tribunal presume um, outro ou ambos.

Quanto às defesas, o artigo 11.º mantém a exoneração por riscos de desenvolvimento, mas o período relevante inclui todo o tempo em que o produto esteve sob o controlo do fabricante. Já a defesa de que o defeito não existia na colocação no mercado deixa de valer quando ele se deve a software, a atualizações, à falta de atualizações necessárias à segurança, a um serviço conexo ou a uma modificação substancial sob controlo do fabricante. Uma avaliação da conformidade feita no lançamento não encerra, portanto, a questão.

Onde o Regulamento da IA se torna prova de responsabilidade

A diretiva não fixa nenhuma norma de segurança própria, o que leva a análise da Freshfields a concluir que o incumprimento regulamentar pode gerar exposição. A nossa leitura vai mais longe: a documentação exigida pelo Regulamento da IA é a prova que um tribunal ordenará ao abrigo do artigo 9.º da diretiva, e a sua ausência aciona as presunções do artigo 10.º. <table header-row=”true”> <tr> <td>Disposição da diretiva</td> <td>Artefacto do Regulamento da IA</td> <td>O que o tribunal procurará</td> </tr> <tr> <td>Artigo 9.º, n.º 1 (divulgação)</td> <td>Documentação técnica (artigo 11.º e anexo IV), conservada dez anos</td> <td>A versão em vigor à data da colocação no mercado</td> </tr> <tr> <td>Artigo 10.º, n.º 2, alínea a)</td> <td>Registos automáticos (artigos 12.º e 19.º)</td> <td>Se os registos do período do incidente ainda existem</td> </tr> <tr> <td>Artigo 10.º, n.º 2, alínea b)</td> <td>Sistema de gestão de riscos (artigo 9.º) e requisitos do artigo 15.º</td> <td>Se o risco concretizado estava identificado e tratado</td> </tr> <tr> <td>Artigo 7.º, n.º 2, alínea c)</td> <td>Alterações avaliadas à luz do artigo 3.º, ponto 23</td> <td>Se a evolução do sistema estava prevista</td> </tr> <tr> <td>Artigo 7.º, n.º 2, alínea g)</td> <td>Acompanhamento pós-comercialização (artigo 72.º) e comunicação de incidentes graves (artigo 73.º)</td> <td>O que o fabricante sabia e quando agiu</td> </tr> <tr> <td>Artigo 7.º, n.º 2, alínea h)</td> <td>Instruções de utilização (artigo 13.º) e supervisão humana (artigo 14.º)</td> <td>Se os limites do sistema foram comunicados</td> </tr> </table>

Dois relógios

O Regulamento da IA obriga prestadores e responsáveis pela implantação a conservar os registos durante, pelo menos, seis meses (artigo 19.º, n.º 1, e artigo 26.º, n.º 6). A diretiva conta de outra forma: três anos de prescrição a partir do conhecimento do dano, do defeito e do operador, e caducidade ao fim de dez anos, ou vinte e cinco quando a lesão corporal é latente. Quem apaga os registos ao sétimo mês cumpre o regulamento e fica sem resposta perante uma ordem de divulgação no quarto ano.

O hiato de 2027

Os requisitos de risco elevado foram adiados pelo Regulamento (UE) 2026/1744: aplicam-se aos sistemas do anexo III a partir de 2 de dezembro de 2027. Durante cerca de um ano, a presunção por incumprimento de um requisito obrigatório de segurança tem pouco conteúdo do Regulamento da IA em que se apoiar. As presunções por falta de divulgação e por complexidade aplicam-se desde o primeiro dia. Na responsabilidade civil da IA, o hiato de 2027 é um período em que a prova conta mais do que a norma.

Transposição: quem está pronto para 9 de dezembro de 2026

A oito semanas do prazo de transposição, o balanço é desigual, segundo o acompanhamento da Reed Smith de 8 de setembro de 2026 e o relatório de progresso da Faegre Drinker. <table header-row=”true”> <tr> <td>Estado-Membro</td> <td>Situação</td> <td>Data ou pormenor</td> </tr> <tr> <td>Hungria</td> <td>Lei adotada</td> <td>16 de dezembro de 2025, primeiro Estado-Membro</td> </tr> <tr> <td>Lituânia</td> <td>Lei adotada pelo Seimas</td> <td>25 de junho de 2026, em vigor em 9 de dezembro de 2026</td> </tr> <tr> <td>Croácia</td> <td>Transposição concluída e notificada</td> <td>Verão de 2026</td> </tr> <tr> <td>Alemanha</td> <td>Lei aprovada pelo Bundestag, enviada ao Bundesrat</td> <td>Votação de 8 de outubro de 2026</td> </tr> <tr> <td>Países Baixos e Eslováquia</td> <td>Propostas em processo parlamentar</td> <td>Sem texto adotado</td> </tr> <tr> <td>Finlândia e Suécia</td> <td>Projetos com desvios</td> <td>Ambos retiram a palavra “excessivas” do limiar do artigo 10.º, n.º 4</td> </tr> <tr> <td>Itália</td> <td>Processo legislativo iniciado</td> <td>Não se esperam desvios significativos</td> </tr> <tr> <td>França</td> <td>Grupo de trabalho interministerial confirmado</td> <td>Nenhum projeto publicado</td> </tr> <tr> <td>Espanha</td> <td>Sem progresso público conhecido</td> <td>Setembro de 2026</td> </tr> <tr> <td>Portugal</td> <td>Trabalhos preparatórios referidos</td> <td>Nenhum projeto público</td> </tr> </table> O texto alemão é uma transposição próxima da diretiva, mantém a defesa por riscos de desenvolvimento, exceto para produtos de engenharia genética, e deixa sob a lei atual os produtos colocados no mercado até 8 de dezembro de 2026. A diretiva permite derrogar a defesa por riscos de desenvolvimento (artigo 18.º), e a Finlândia fá-lo no projeto de fevereiro de 2026. Para um grupo presente em vários mercados, a responsabilidade civil da IA não será idêntica em todos eles, o que justifica associar a cada entrada do registo de sistemas de IA os países de comercialização. Em Portugal, o regime em vigor é o do Decreto-Lei n.º 383/89. Os dois acompanhamentos citados referem trabalhos preparatórios, sem projeto público em setembro de 2026.

Fora da União: tribunais e leis dos Estados Unidos

Nos Estados Unidos não existe texto equivalente à diretiva. Como recorda o relatório da RAND, o direito da responsabilidade civil norte-americano é sobretudo direito comum dos estados, e permanecem em aberto questões sobre a responsabilidade do produtor, a Primeira Emenda e a Secção 230.

• Garcia v. Character Technologies (tribunal federal do Distrito Central da Florida): em 21 de maio de 2025, o tribunal indeferiu em grande parte o pedido de rejeição liminar, admitindo nessa fase tratar a aplicação de chatbot como produto e recusando qualificar as suas respostas como discurso protegido. O processo terminou por acordo em janeiro de 2026, sem sentença final. Ver também a lei da Califórnia relativa aos chatbots companheiros.
• Moffatt v. Air Canada (2024 BCCRT 149, Canadá, 14 de fevereiro de 2024): a companhia aérea foi condenada por declarações negligentes do chatbot do seu sítio Web, que o tribunal recusou tratar como entidade distinta.
• Mobley v. Workday (tribunal federal do Distrito Norte da Califórnia): em julho de 2024, o tribunal deixou prosseguir pedidos de discriminação contra o fornecedor do software; em maio de 2025, certificou condicionalmente uma ação coletiva quanto à discriminação em razão da idade. Continua pendente.

A secção 1714.46 do Código Civil da Califórnia, em vigor desde 1 de janeiro de 2026, impede quem desenvolveu, modificou ou utilizou um sistema de IA de invocar como defesa que a IA causou o dano de forma autónoma. O AI LEAD Act (S.2937), apresentado no Senado em 29 de setembro de 2025, qualificaria os sistemas de IA como produtos; não tinha sido aprovado em outubro de 2026. O American Law Institute conduz o projeto Principles of the Law, Civil Liability for Artificial Intelligence, aprovado pelo seu Conselho em outubro de 2024. Por que razão interessa isto a um grupo europeu? Porque o mesmo produto fica sujeito a dois regimes probatórios. A responsabilidade civil da IA exige um único dossiê, capaz de responder aos dois.

O dossiê de prova da responsabilidade civil da IA em sete passos

Eis o trabalho que, a nosso ver, a responsabilidade civil da IA exige antes de 9 de dezembro de 2026. Um inventário central, como o AI Registry, ajuda a manter estas decisões num só lugar.

1. Fixar o papel e a data de cada sistema. Fabricante, fornecedor de um componente, importador, autor de uma modificação ou mero utilizador; colocado no mercado antes ou a partir de 9 de dezembro de 2026.
2. Decidir o que é um produto. Software autónomo, componente ou serviço conexo. Anote que atualizações permanecem sob o seu controlo.
3. Alinhar a conservação dos registos com o período de responsabilidade. O mínimo de seis meses é um piso regulamentar, não uma política de prova.
4. Manter a documentação legível. O tribunal pode exigir prova facilmente acessível e compreensível (artigo 9.º, n.º 6). Um dossiê ilegível funciona como uma falta de divulgação.
5. Manter um registo de atualizações e modificações. Cada alteração do modelo, reentreino ou afinação, com a avaliação de riscos que a previu ou não. É o teste do artigo 4.º, ponto 18, da diretiva.
6. Rever os contratos. Nenhuma exclusão perante o lesado; regresso organizado ao longo da cadeia; renúncia ao regresso admitida para micro e pequenas empresas de software (artigo 12.º, n.º 2); pedido aos fornecedores da prova que lhe seria ordenado divulgar.
7. Ligar a gestão de incidentes aos litígios. Um relatório de incidente grave ao abrigo do artigo 73.º, uma recolha ou uma ação corretiva são circunstâncias relevantes para o defeito. Prepare antecipadamente o pedido de proteção dos segredos comerciais e reveja a redação das apólices.

Uma auditoria de IA que verifique apenas a existência dos documentos responde ao regulador; uma que verifique se podem ser produzidos, datados e explicados daqui a oito anos responde ao tribunal.

Perguntas frequentes

Uma IA pode ser juridicamente responsabilizada? Não. Um sistema de IA não tem personalidade jurídica nem património e não pode ser demandado. A responsabilidade recai sempre sobre uma pessoa singular ou coletiva. O tribunal que decidiu o caso Moffatt v. Air Canada rejeitou a ideia de que um chatbot é uma entidade distinta, e a secção 1714.46 do Código Civil da Califórnia afasta a defesa segundo a qual a IA causou o dano de forma autónoma. Quem responde quando um sistema de IA causa danos? Depende do fundamento. No regime do produtor, respondem o fabricante (incluindo o prestador do sistema de IA), o fabricante do componente, o importador, o mandatário e, subsidiariamente, os restantes operadores da cadeia. Quem modifica substancialmente o produto fora do controlo do fabricante passa a ser fabricante. O responsável pela implantação que se limita a utilizar o sistema responde nos termos do direito nacional, com base na culpa. O que aconteceu à diretiva relativa à responsabilidade em matéria de IA? A proposta de 28 de setembro de 2022 foi retirada pelo programa de trabalho da Comissão para 2025, por não haver acordo previsível. Em outubro de 2026 não existia proposta sucessora. Na prática, a responsabilidade civil da IA ficou repartida entre a Diretiva (UE) 2024/2853, para o regime sem culpa do produtor, e os direitos nacionais, para tudo o que depende da culpa. A diretiva aplica-se ao SaaS e aos modelos de código aberto? Ao SaaS, sim: o software é um produto independentemente do modo de fornecimento. Quanto ao código aberto, a exclusão é mais estreita do que parece: só fica de fora o software livre e de código aberto desenvolvido ou fornecido fora de uma atividade comercial. A empresa que integra um modelo aberto num produto que comercializa é fabricante desse produto e responde por ele. Alguém já ganhou um processo por causa de um sistema de IA? Sim, mas os precedentes são escassos. Em Moffatt v. Air Canada, o passageiro obteve a condenação da companhia aérea por informações erradas do chatbot. Em Garcia v. Character Technologies, o tribunal deixou prosseguir as pretensões fundadas na responsabilidade do produtor, mas o processo terminou por acordo. Mobley v. Workday continua pendente. Na União, a Comissão manterá uma base de dados pública das decisões (artigo 19.º). O que é o seguro de responsabilidade civil da IA e substitui o dossiê de prova? É a cobertura dos danos causados por sistemas de IA, hoje raramente autónoma. Segundo uma análise da IAPP, algumas seguradoras procuram excluir a IA das apólices empresariais, e muitas tratam estes riscos como extensões das coberturas de ciber-risco, de responsabilidade profissional e de erros e omissões. O seguro transfere o custo, não a prova: sem dossiê, a presunção de defeito opera, e a seguradora quererá conhecer esse mesmo dossiê.

Conclusão

A responsabilidade civil da IA deixou de depender de uma pergunta abstrata sobre quem tem culpa. Na União, depende de três factos verificáveis: que papel a empresa ocupa na cadeia, que documentos consegue apresentar quando um tribunal os ordenar e durante quanto tempo os conservou. O Regulamento da IA fornece a matéria-prima dessa prova, com prazos de conservação mais curtos do que os da exposição. Este artigo constitui informação jurídica de caráter geral e não substitui aconselhamento jurídico. O novo regime aplica-se aos produtos colocados no mercado a partir de 9 de dezembro de 2026, e o que decidirá os primeiros processos de responsabilidade civil da IA é o dossiê de prova.