O calendário do AI Act mudou: Regulamento (UE) 2026/1744 e o que ainda se aplica aos bancos

O que mudou

O Regulamento (UE) 2026/1744, o AI Omnibus, entrou em vigor em 27 de julho de 2026. Adiou as obrigações de alto risco do Anexo III, incluindo a avaliação de solvabilidade de pessoas singulares, de 2 de agosto de 2026 para 2 de dezembro de 2027.

O adiamento é real. O adiamento não é uma trégua.

O que os concorrentes não perceberam

Quase todo o conteúdo publicado sobre o AI Act para bancos assume o prazo antigo de agosto de 2026. Esse conteúdo está agora errado. O adiamento desloca os prazos de conformidade, não a exposição supervisória. As autoridades competentes nacionais e o Conselho de Supervisão do BCE não reduziram as suas expectativas. Ajustaram-nas lateralmente: a data principal do AI Act moveu-se, mas a legislação bancária existente não.

O que ainda se aplica hoje

A supervisão do BCE espera que as instituições significativas abordem as ameaças de cibersegurança potenciadas por IA. Planos de ação devem ser entregues até 31 de outubro de 2026. Este prazo provém das expetativas de resiliência cibernética do MUS de 2024 e do Regulamento de Resiliência Operacional Digital (DORA), não do Anexo III do AI Act.

Três obrigações estão em vigor agora, independentes do adiamento do AI Act:

1. DORA Artigo 6, quadro de gestão de risco TIC deve abordar superfícies de ataque potenciadas por IA. É lei atual, não lei futura.
2. RGPD Artigo 22, tomada de decisão automatizada restringe qualquer modelo de credit scoring que produza efeitos jurídicos ou similarmente significativos. Bancos que usam modelos de ML para scoring já enfrentam estas restrições hoje.
3. Expetativas de resiliência cibernética do BCE exigem que as instituições significativas mantenham modelação de ameaças que contemple o uso adversarial de IA. O prazo de 31 de outubro de 2026 não foi adiado.

O que o adiamento efetivamente deslocou

O adiamento aplica-se aos sistemas de IA de alto risco do Anexo III: avaliação de solvabilidade de pessoas singulares, avaliação de risco em seguros de vida e saúde, e avaliação de capacidade de crédito. As obrigações de avaliação de conformidade, monitorização pós-mercado e registo para estes sistemas começam agora em 2 de dezembro de 2027.

Os sistemas de alto risco do Anexo IV (IA usada em infraestruturas críticas, educação, emprego) não foram adiados. Os seus calendários originais mantêm-se.

O que construir agora

Bancos que trataram o prazo de agosto de 2026 como o sinal de partida perderam quatro meses. Bancos que começaram em 2024 ganharam quatro meses de vantagem. A diferença entre estes dois grupos vai alargar-se.

O trabalho que importa agora não é a documentação de conformidade do AI Act. É a integração operacional do risco de IA nos quadros existentes de DORA, RGPD e MUS. A camada de conformidade do AI Act assenta sobre essa integração. Não a substitui.

Fontes

• Regulamento (UE) 2026/1744, JO L 2026/1744, 27 de julho de 2026 (em vigor)
• BCE, Guia de resiliência operacional, novembro de 2023
• DORA, Regulamento (UE) 2022/2554, em vigor desde 17 de janeiro de 2025
• RGPD, Regulamento (UE) 2016/679, Artigo 22

---

Rascunho PT. Revisão por especialista pendente (responsável de regtech). Sem citações ou credenciais de especialistas fabricadas.