O AI Act não é o problema. O caos de dados é.

Há uma reunião muito específica a acontecer este ano nas empresas europeias de média dimensão. Alguém apresenta uma iniciativa de IA. Outra pessoa diz as palavras «AI Act», a temperatura da sala desce, e a iniciativa sai da reunião convertida em «workstream» — que é para onde vão as iniciativas serem recordadas com carinho.

A posição deste ensaio, dita com a maior frontalidade possível: para a esmagadora maioria das empresas, o AI Act da UE é um problema de papelada perfeitamente gerível — enquanto aquilo que está mesmo a bloquear as suas ambições de IA é o caos sem dono, sem estrutura e sem permissões dos seus próprios dados. O medo aponta para Bruxelas. Devia apontar para a pasta partilhada.

(Honestidade obrigatória: esta é a leitura de uma empresa de engenharia, não aconselhamento jurídico. Mantenha os seus advogados. Mas ponha-os a ler os anexos, não as manchetes.)

O que o AI Act pede realmente à maioria das empresas

O AI Act está organizado por níveis de risco, e os níveis são a história toda:

Práticas proibidas — pontuação social, sistemas manipuladores, certas utilizações biométricas. Se alguma coisa disto descreve o seu roadmap, tem problemas a montante da conformidade. Estatisticamente: não descreve.
Sistemas de risco elevado — um conjunto específico e listado de utilizações: IA que decide contratações, crédito, elegibilidade para seguros, serviços essenciais, infraestruturas críticas, contextos de aplicação da lei. É aqui que vivem obrigações a sério — gestão de risco, governação de dados, supervisão humana, documentação. Se opera nestas zonas, leve-as a sério.
Obrigações de transparência — o nível onde a esmagadora maioria da IA empresarial em produção realmente cai: diga às pessoas quando estão a falar com uma IA, identifique conteúdo sintético como tal, não finja humanidade. Se ler esta lista soa menos a regulamentação e mais a decência — sim. Defendemos exatamente isto como restrições de design em Os agentes de voz vão devorar a fila telefónica, muito antes de qualquer regulador o exigir.
Obrigações para modelos de finalidade geral — dirigidas sobretudo às empresas que constroem modelos fundacionais. Muito provavelmente, a sua empresa é responsável pela implantação desses modelos, uma posição materialmente mais leve dentro do regime.

Agora mapeie o seu pipeline real contra estes níveis: um agente a redigir entradas de encomenda a partir de emails, pesquisa sobre a documentação de produto, montagem automática de propostas, um assistente devidamente identificado no site. Nada disto é pontuação social. Nada disto decide o crédito de ninguém. A leitura honesta para a empresa mediana é: divulgar, documentar, manter humanos por cima dos ciclos consequentes, assegurar literacia básica em IA — e voltar ao trabalho. Exigente? Um pouco. Motivo para congelar um roadmap de IA durante um ano? Nem perto.

E se a sua empresa estiver mesmo na lista de risco elevado — filtra candidatos com IA, atribui scoring de crédito, opera infraestruturas críticas? Então as obrigações são reais, e aqui está a reviravolta em que este ensaio insiste: todas elas — gestão de risco, governação de dados, documentação, supervisão humana, registos — pressupõem exatamente a camada de dados estruturada, com dono e rastreável que se descreve abaixo. Quem implementa sistemas de risco elevado não escapa ao argumento. Apenas o encontra mais cedo, com um prazo agarrado a ele.

Então porque é que o pânico persiste? Em parte porque o medo é um modelo de negócio da indústria da conformidade — a economia dos webinars precisa de si ansioso. E em parte, de forma menos confortável: o AI Act é uma desculpa respeitável. «Estamos à espera de clareza regulatória» soa estratégico. «Temos onze versões da tabela de preços e ninguém sabe qual é a verdadeira» não soa. Adivinhe qual delas se diz nas reuniões de administração.

O verdadeiro bloqueio: ninguém sabe onde vive a verdade

Faça a auditoria que o seu projeto de IA acabará por forçar de qualquer maneira. Numa empresa média típica:

Os contratos vivem em caixas de correio — a versão vinculativa numa thread intitulada «RE: RE: FW: final».
Os preços vivem em precos_2026_final_v7_CORRIGIDO.xlsx, de que existem três cópias, duas delas em vigor.
O conhecimento dos processos vive na cabeça de quatro colaboradores, um deles prestes a reformar-se.
As permissões são arqueologia: ninguém sabe dizer quem pode ver o quê, apenas quem calha ter o link.
Nenhuma fonte tem dono. Tudo é de todos, ou seja, de ninguém.

Aponte o melhor modelo do planeta para esse substrato e obtém caos com excelente gramática. Um agente não consegue prestar contas a uma empresa que não lhe sabe dizer o que é verdade. E aqui está a parte que reenquadra todo o pânico regulatório: um responsável pela conformidade também não consegue. Não se documenta uma governação de dados que não existe. O AI Act não criou este problema; limita-se a marcar a data em que terá de o confessar.

A regulamentação não bloqueou o seu projeto de IA. O seu servidor de ficheiros bloqueou.

A convergência que ninguém aproveita

Escreva as duas listas lado a lado. O que uma implementação séria de agentes precisa: um inventário das fontes de dados que importam; um dono com nome por cada fonte; controlo de acessos que corresponda à realidade; proveniência para cada resposta; registos de todas as ações automatizadas; disciplina de atualização para que a pesquisa reflita o agora. O que uma governação de IA sensata — ao abrigo deste regulamento ou de qualquer regime que lhe suceda — precisa: a mesma lista, noutro tipo de letra.

É esta a arbitragem: faça o trabalho uma vez, receba os dois dividendos. A maquinaria de citações que torna o seu assistente fiável (detalhámo-la em RAG é o mínimo exigível) é a sua documentação de proveniência. Os registos de ações que lhe permitem depurar um agente são a sua evidência de supervisão. O caminho de execução determinístico e auditável que defendemos sempre (ver O determinismo é uma funcionalidade) é precisamente aquilo a que a «supervisão humana» se agarra. Conformidade como reflexão tardia custa a dobrar; estrutura como arquitetura paga a dobrar.

O sprint de 90 dias para dar dono aos dados

O programa nada glamoroso que desbloqueia ao mesmo tempo os agentes e os auditores:

Semanas 1–2: inventariar as dez fontes de verdade que importam. Não todos os dados — as dez coleções que respondem às perguntas que o negócio faz mesmo: preços, contratos, especificações de produto, histórico de clientes, políticas. Se escolher dez for difícil, essa dificuldade é a descoberta nº 1.
Semanas 2–3: nomear um dono por fonte. Uma pessoa, não um comité. O dono responde para sempre a uma única pergunta: o que é que é verdade aqui, neste momento?
Semanas 3–6: consolidar e matar as cópias-fantasma. Uma casa canónica por fonte. Cada duplicado passa a redirecionamento ou a cadáver. Este passo dói; é também a maior parte do valor.
Semanas 6–10: estruturar e indexar no momento da escrita. Campos tipados onde há estrutura; armazenamento indexado e pesquisável por significado e por filtro para tudo o resto; conteúdo novo com embeddings gerados no instante em que é escrito, para que, por construção, nada fique desatualizado.
Semanas 10–13: ligar permissões e registos. Acessos mapeados a perfis; cada leitura e cada escrita automatizada registada. Aborrecido. Impagável — a dobrar.

As empresas saem deste sprint simultaneamente prontas para agentes e prontas para auditoria, que era o objetivo da convergência desde o início. E a matéria-prima já é sua — é esse o argumento de A base de conhecimento que já lhe pertence.

Como é que isto se parece na prática

O nosso motor de brandbook-para-website é governação vestida de produto. Uma fonte de verdade estruturada sobre uma marca — factos, serviços, tom, recursos — propaga-se de forma determinística a todas as páginas de um website multi-tenant. Corrija a verdade uma vez e ela corrige-se em todo o lado; cada afirmação apresentada remete para um campo que alguém tem a seu cargo. Ninguém o comprou como «ferramenta de conformidade», mas repare no que é: proveniência, propriedade e consistência como arquitetura. É este o padrão que levamos a cada sistema de IA que construímos.

O assistente desta página responde com citações — proveniência como interface de utilizador, pesquisa sobre conteúdo indexado no momento da escrita. Quando a regulamentação perguntar «como é que a sua IA sabe isso?», a resposta honesta é um link, não um encolher de ombros.

E um arquétipo claramente ilustrativo: imagine um grossista de 80 pessoas que arranca com o sprint e descobre — como é plausível acontecer em empresas assim — três tabelas de preços em circulação, duas delas erradas, uma delas usada em propostas a clientes na semana passada. Essa descoberta não é um problema de IA nem um problema de conformidade. É um problema da empresa que tanto a IA como a conformidade estavam prestes a expor, e resolvê-lo paga o sprint antes de qualquer agente entrar em produção.

Mais uma convergência: isto é financiável

Um programa de estruturação de dados e de preparação para IA — consolidação, conhecimento estruturado, automação por cima — é exatamente o perfil de modernização que os instrumentos de inovação europeus e nacionais existem para cofinanciar. O que produz uma simetria agradável: a UE que escreveu o AI Act vai, com a outra mão, ajudar a pagar as arrumações que tornam trivial cumpri-lo. Já escrevemos sobre como a UE vai financiar a sua IA, e estruturar projetos deste tipo é trabalho corrente para nós — veja financiamento.

Reatribua o medo

Tem agora uma ansiedade a mais e uma a menos. Reforme a de Bruxelas: para os seus casos de uso reais, o AI Act pede muito provavelmente honestidade, documentação e supervisão humana — coisas que a sua empresa quereria de qualquer forma. Adote a do servidor de ficheiros: cada trimestre de caos nos dados é um trimestre em que nenhum agente, nenhuma auditoria e, francamente, nenhum colaborador novo consegue ser integrado na verdade.

Se quiser o exercício das duas listas feito como deve ser — o que o AI Act plausivelmente exige dos seus casos de uso concretos e o que os seus dados realmente são por baixo deles — fale connosco. A primeira conversa é gratuita e, ao contrário do webinar, não vai tentar mantê-lo assustado.