Inteligência Artificial nas empresas: quem responde quando a decisão é automatizada?

A utilização de sistemas de Inteligência Artificial deixou de estar limitada às áreas tecnológicas das empresas. Hoje, algoritmos e ferramentas de IA intervêm na seleção de candidatos, avaliação de desempenho, concessão de crédito, definição de perfis de risco, prevenção de fraude, atendimento ao cliente, análise de contratos, marketing, pricing e inúmeras outras decisões com impacto direto sobre trabalhadores, consumidores e clientes.

A questão jurídica deixou, por isso, de ser apenas “podemos utilizar Inteligência Artificial?”. A pergunta relevante é agora outra: quem responde quando uma decisão empresarial é tomada — ou fortemente condicionada — por um sistema automatizado?

A resposta é particularmente importante em setembro de 2026. O Regulamento Europeu da Inteligência Artificial — Regulamento (UE) 2024/1689, conhecido como AI Act — encontra-se já numa fase relevante de aplicação. Desde 2 de agosto de 2026, determinadas obrigações tornaram-se aplicáveis e o enquadramento de supervisão e execução ganhou relevância prática. O calendário, porém, é faseado e nem todas as obrigações relativas a sistemas de alto risco são aplicáveis nesta data.

Este calendário faseado não significa que as empresas possam adiar a governação jurídica da IA. O RGPD, o direito laboral, o direito contratual, as regras gerais de responsabilidade civil e várias disposições do próprio AI Act já são relevantes para decisões tomadas com recurso a sistemas automatizados.

1. A IA decide — mas juridicamente a responsabilidade não desaparece

Um dos maiores equívocos associados à utilização empresarial de IA consiste em considerar o algoritmo como uma espécie de terceiro autónomo que “tomou a decisão”. Do ponto de vista jurídico, esta leitura não é sustentável.

Um sistema de Inteligência Artificial não constitui, por si só, uma entidade a quem uma empresa possa transferir a sua responsabilidade jurídica. Quando uma empresa decide utilizar uma ferramenta automatizada na sua atividade, continuam a existir pessoas singulares e coletivas responsáveis pela escolha da tecnologia, pela forma como é implementada, pelos dados utilizados, pela supervisão do sistema e pelas decisões que resultem da sua utilização.

O AI Act trabalha com diferentes categorias de operadores, designadamente providers, deployers, importadores e distribuidores, atribuindo-lhes obrigações distintas em função da posição que ocupam na cadeia de valor da IA. Para a generalidade das empresas que adquirem ou utilizam sistemas desenvolvidos por terceiros, assume particular importância a figura do deployer, isto é, a entidade que utiliza um sistema de IA sob a sua autoridade no exercício da sua atividade profissional.

Isto significa que adquirir software a um fornecedor externo não equivale a transferir para esse fornecedor toda a responsabilidade resultante da utilização do sistema. A repartição de responsabilidades dependerá, entre outros fatores, da natureza do sistema, do papel concreto de cada entidade, da forma como o sistema foi utilizado, dos compromissos contratuais assumidos e da legislação aplicável.

2. Uma decisão “assistida por IA” pode continuar a ser juridicamente automatizada

Esta questão assume particular importância quando são tratados dados pessoais. O artigo 22.º do Regulamento Geral sobre a Proteção de Dados estabelece, em determinadas circunstâncias, o direito de uma pessoa a não ficar sujeita a uma decisão baseada exclusivamente em tratamento automatizado, incluindo definição de perfis, quando essa decisão produza efeitos na sua esfera jurídica ou a afete significativamente de forma semelhante.

Entre os exemplos mais evidentes encontram-se uma decisão automatizada relativa à concessão de crédito ou a rejeição de um candidato a emprego. Mas existe uma questão adicional: não basta colocar formalmente uma pessoa no final do processo para afirmar que existiu verdadeira intervenção humana.

A intervenção tem de ser efetiva. Se um trabalhador recebe a recomendação do algoritmo e se limita sistematicamente a confirmá-la, sem capacidade, informação ou autoridade real para alterar o resultado, pode continuar a estar em causa, para efeitos de proteção de dados, uma decisão essencialmente automatizada. A supervisão humana não pode ser meramente simbólica.

3. Pode uma empresa tomar decisões exclusivamente automatizadas?

A resposta não é simplesmente “não”. O RGPD admite decisões exclusivamente automatizadas que produzam efeitos jurídicos ou efeitos igualmente significativos quando se verifique uma das situações legalmente previstas, nomeadamente quando a decisão seja necessária para a celebração ou execução de um contrato, seja autorizada pelo direito da União ou de um Estado-Membro que estabeleça medidas adequadas de proteção, ou se baseie no consentimento explícito do titular dos dados.

Quando a decisão automatizada seja admissível, o titular dos dados deve beneficiar das salvaguardas previstas no RGPD, incluindo, nos casos aplicáveis, o direito de obter intervenção humana, apresentar o seu ponto de vista e contestar a decisão. A utilização de categorias especiais de dados pessoais acrescenta limitações adicionais.

Na prática, não basta perguntar se o software consegue executar determinada operação. É necessário analisar que dados são tratados, com que fundamento, qual o grau de automatização, quais as consequências para a pessoa afetada e que mecanismos de revisão e contestação existem.

4. O caso das decisões de recursos humanos

A utilização de Inteligência Artificial em recursos humanos é uma das áreas de maior risco jurídico. Ferramentas capazes de filtrar currículos, ordenar candidatos, analisar entrevistas, avaliar produtividade, atribuir classificações ou recomendar promoções e despedimentos podem produzir ganhos relevantes de eficiência. Podem igualmente reproduzir ou amplificar enviesamentos existentes nos dados utilizados.

É por isso que determinados sistemas de IA utilizados em emprego, gestão de trabalhadores e acesso ao trabalho são tratados pelo AI Act como utilizações particularmente sensíveis. Importa, porém, ter presente o calendário faseado de aplicação das obrigações de alto risco.

Isto não significa que a empresa possa utilizar livremente qualquer sistema até à plena aplicação dessas obrigações. Continuam a ser aplicáveis, consoante o caso, o RGPD, o direito do trabalho, os princípios da igualdade e não discriminação, regras contratuais e outras disposições já vigentes do AI Act.

Consequentemente, uma empresa que esteja hoje a adquirir uma solução de recrutamento baseada em IA deverá avaliar desde já a sua conformidade presente e futura. Adquirir em 2026 uma ferramenta que terá de ser profundamente alterada quando outras obrigações entrarem em aplicação representa não apenas um risco jurídico, mas também financeiro e operacional.

5. Transparência: agosto de 2026 marcou uma mudança relevante

As obrigações de transparência constituem uma das áreas em que o calendário do AI Act já produz consequências práticas. Determinadas obrigações previstas no artigo 50.º passaram a ser aplicáveis em agosto de 2026.

Entre outros exemplos, determinados sistemas destinados a interagir diretamente com pessoas devem permitir que estas percebam que estão a interagir com um sistema de IA, salvo quando tal seja evidente nas circunstâncias. Existem igualmente obrigações relacionadas com determinados conteúdos sintéticos ou manipulados por IA.

Para as empresas, esta alteração é particularmente relevante em áreas como chatbots de atendimento, assistentes virtuais, sistemas de comunicação automatizada com clientes, conteúdos gerados ou manipulados através de IA e determinados processos digitais em que o utilizador possa razoavelmente acreditar estar a interagir com uma pessoa.

A solução juridicamente adequada não consiste necessariamente em colocar um aviso genérico de que “esta empresa utiliza IA”. É necessário perceber onde a transparência é exigida, perante quem e em que momento.

6. A responsabilidade pela proteção de dados permanece

Quando a utilização de IA envolve dados pessoais, a empresa não deixa de estar sujeita aos princípios fundamentais do RGPD. Continua a ser necessário assegurar, entre outros aspetos, uma base jurídica adequada para o tratamento, transparência, limitação das finalidades, minimização dos dados, exatidão, limitação da conservação, segurança e responsabilidade demonstrada.

Em operações suscetíveis de gerar um risco elevado para os direitos e liberdades das pessoas, pode ser necessária uma Avaliação de Impacto sobre a Proteção de Dados — DPIA — nos termos do artigo 35.º do RGPD.

A mensagem para as empresas é clara: comprar uma solução tecnológica apresentada como compliant não torna automaticamente compliant a utilização concreta que dela é feita.

7. Quem responde perante a pessoa prejudicada?

Não existe uma única resposta aplicável a todas as utilizações de IA. A responsabilidade poderá emergir de diferentes regimes jurídicos e recair sobre entidades distintas.

Uma empresa poderá responder pela forma como implementou ou utilizou o sistema. O fornecedor poderá responder por falhas imputáveis ao produto, ao serviço ou ao cumprimento das suas próprias obrigações. Poderão ainda existir questões de responsabilidade contratual, responsabilidade civil extracontratual, proteção de dados, direito laboral, proteção do consumidor ou legislação setorial.

No quadro do RGPD, o artigo 82.º prevê o direito a indemnização quando uma pessoa sofra danos materiais ou imateriais em consequência de uma violação das suas disposições, nos termos aí estabelecidos. Em Portugal, acrescem os regimes gerais de responsabilidade civil, incluindo a responsabilidade contratual e extracontratual prevista no Código Civil.

O ponto essencial é este: uma empresa não poderá, em regra, justificar uma decisão ilegal ou lesiva simplesmente afirmando que “foi o algoritmo que decidiu”. A escolha de automatizar um processo é, ela própria, uma decisão empresarial.

8. E se o problema estiver no próprio sistema?

Também o quadro europeu da responsabilidade por produtos está a evoluir. A Diretiva (UE) 2024/2853 relativa à responsabilidade decorrente de produtos defeituosos moderniza o regime europeu e abrange software, incluindo sistemas de Inteligência Artificial.

À data desta Nota Jurídica — setembro de 2026 — importa distinguir claramente o regime atualmente aplicável das regras destinadas a produzir efeitos futuros. A nova Diretiva integra já o planeamento contratual e de risco das empresas que desenvolvem, fornecem ou adquirem soluções de IA, mas a sua aplicação temporal deve ser analisada em função da transposição e da data de colocação do produto no mercado ou em serviço.

Este enquadramento reforça a importância de tratar o software e os sistemas de IA como componentes suscetíveis de gerar responsabilidade própria, incluindo quando sofram atualizações, upgrades ou alterações posteriores.

9. O contrato com o fornecedor de IA é suficiente?

Não. Mas é indispensável. A contratação de uma solução de IA deve deixar de ser tratada como uma aquisição informática comum.

Entre outras matérias, os contratos deverão ser avaliados relativamente à identificação dos papéis das partes ao abrigo do AI Act, tratamento e eventual reutilização dos dados, proteção de dados pessoais, confidencialidade e segredo comercial, propriedade intelectual, informação sobre funcionamento e limitações do sistema, níveis de serviço, medidas de segurança, possibilidade de auditoria, gestão de incidentes, alterações ou atualizações do modelo, subcontratação, indemnizações, limitação de responsabilidade e mecanismos de saída e portabilidade.

Uma cláusula contratual através da qual o fornecedor procura excluir toda a responsabilidade não elimina as obrigações legais que sobre ele eventualmente recaiam. Da mesma forma, uma garantia do fornecedor de que a ferramenta “cumpre o AI Act” não dispensa a empresa utilizadora de avaliar as suas próprias obrigações.

10. A empresa precisa de uma política interna de IA?

Em 2026, a resposta da Beyond Legal é afirmativa para qualquer organização que utilize IA de forma material. O AI Act já contém obrigações relacionadas com literacia em IA, e a governação interna deve ir muito além de uma formação genérica.

Uma política interna deverá estabelecer, de acordo com a realidade da organização, que ferramentas podem ser utilizadas, que dados podem ser introduzidos, para que finalidades a IA pode ser usada, que decisões exigem intervenção humana, quem é responsável por validar o resultado, como devem ser documentados incidentes, erros e reclamações e quem acompanha alterações legais e tecnológicas.

A governance da IA deve tornar-se parte do modelo de compliance da organização.

11. O risco de automation bias

Há ainda uma dimensão que não deve ser ignorada: o comportamento humano perante a máquina. Quanto mais sofisticada for a ferramenta, maior pode ser a tendência do utilizador para presumir que o resultado é correto. É o chamado automation bias.

Um responsável de recursos humanos pode receber uma classificação algorítmica de candidatos e assumir que o primeiro classificado é necessariamente o melhor. Um gestor de crédito pode aceitar sem questionar a avaliação de risco produzida pelo sistema. Um profissional pode utilizar uma conclusão produzida por IA como se tivesse sido confirmada por uma análise humana especializada.

Por isso, human oversight não significa apenas ter uma pessoa no processo. Significa assegurar que essa pessoa tem informação, formação, autoridade e condições reais para questionar o sistema.

12. O risco jurídico começa antes da decisão automatizada

A discussão sobre responsabilidade não deve começar quando existe uma reclamação. Deve começar no momento da aquisição ou desenvolvimento da tecnologia.

Antes de implementar um sistema de IA com impacto relevante sobre pessoas, uma empresa deveria conseguir responder, pelo menos, às seguintes perguntas:

• Que sistema estamos a utilizar e qual a sua finalidade concreta?
• Que categoria de risco lhe poderá ser aplicável ao abrigo do AI Act?
• Que dados utiliza e existe tratamento de dados pessoais?
• Quem fornece o sistema e quem o implementa?
• Quem toma a decisão final e existe supervisão humana genuína?
• Conseguimos explicar e documentar o processo?
• Existe um mecanismo de contestação?
• O contrato com o fornecedor distribui adequadamente riscos e responsabilidades?
• O sistema continuará conforme quando as próximas fases do AI Act entrarem em aplicação?

Se estas perguntas não tiverem respostas claras, a organização tem provavelmente um problema de governance antes de ter um problema tecnológico.

Conclusão

A Inteligência Artificial pode aumentar significativamente a capacidade de análise, a rapidez e a eficiência das empresas. Mas automatizar uma decisão não significa automatizar a responsabilidade.

O enquadramento europeu está a afastar-se de uma visão em que a tecnologia funciona como uma “caixa negra” juridicamente neutra. Em setembro de 2026, coexistem diferentes níveis de obrigação: algumas disposições do AI Act são já aplicáveis, outras entrarão em aplicação em fases posteriores, o RGPD continua integralmente relevante e os regimes tradicionais de responsabilidade civil, laboral, contratual e de proteção do consumidor permanecem em vigor.

Para as empresas, a prioridade deve passar da simples adoção tecnológica para uma verdadeira governação jurídica da Inteligência Artificial. Isso significa conhecer os sistemas utilizados, classificar os respetivos riscos, controlar os dados introduzidos, garantir intervenção humana onde necessária, rever contratos, documentar decisões e antecipar as próximas fases do AI Act.

A pergunta já não é se as empresas vão utilizar IA. A questão é se conseguirão demonstrar que a utilizam de forma responsável, transparente e juridicamente defensável.

Nota legal

A presente Nota Jurídica tem caráter exclusivamente informativo e geral, foi preparada tendo em consideração o enquadramento jurídico vigente à data da sua publicação, em setembro de 2026, e não constitui nem substitui aconselhamento jurídico, fiscal ou profissional adaptado a uma situação concreta. A aplicação das normas referidas depende das circunstâncias específicas de cada caso, devendo ser obtido aconselhamento jurídico adequado antes da adoção de qualquer decisão com base na informação aqui apresentada.

Principais referências normativas e institucionais

• Regulamento (UE) 2024/1689 (AI Act).
• Regulamento (UE) 2016/679 (RGPD), em especial artigos 22.º, 35.º e 82.º.
• Diretiva (UE) 2024/2853 relativa à responsabilidade decorrente de produtos defeituosos.
• Orientações e documentação institucional da Comissão Europeia sobre o AI Act.
• Orientações do Comité Europeu para a Proteção de Dados sobre decisões automatizadas, profiling e modelos de IA.
• Orientações e decisões relevantes da Comissão Nacional de Proteção de Dados.