AI Act e RGPD: o que a lei pede a um agente de IA na loja

Um agente de IA no atendimento da loja que fala com clientes está sujeito a duas leis europeias ao mesmo tempo: o RGPD, que já se aplicava a qualquer conversa, e as regras de transparência do AI Act, aplicáveis desde 2 de agosto de 2026. Separamos o que cada uma pede ao lojista, o que o pacote Omnibus adiou e as perguntas a fazer ao fornecedor antes de assinar.

Resumo rápido do artigo

• O AI Act, o Regulamento (UE) 2024/1689, obriga a que as pessoas saibam que estão a interagir com um sistema de IA, salvo quando isso é óbvio.
• A obrigação do artigo 50.º, n.º 1, aplica-se desde 2 de agosto de 2026, não foi adiada pelo Omnibus e pede um aviso claro, o mais tardar na primeira interação.
• Um agente que atende clientes de uma loja online não está na lista de usos de risco elevado, cujas regras o Omnibus adiou para 2027 e 2028.
• O RGPD aplica-se às conversas com clientes, e um fornecedor que as trate por conta da loja precisa de um contrato nos termos do artigo 28.º.
• Uma decisão com peso para o cliente, como recusar um reembolso, deixa de ser exclusivamente automatizada quando uma pessoa da equipa a revê e aprova.
• Este artigo descreve a legislação em vigor a 12 de outubro de 2026, é informativo e não substitui aconselhamento jurídico.

O que o AI Act pede a um agente que fala com clientes

O artigo 50.º, n.º 1, do Regulamento da Inteligência Artificial diz que os sistemas de IA destinados a interagir diretamente com pessoas têm de ser concebidos para que essas pessoas sejam informadas de que estão a interagir com uma IA. A exceção é quando isso é óbvio para uma pessoa «razoavelmente informada, atenta e advertida».

O n.º 5 acrescenta o como e o quando: a informação é dada «de forma clara e percetível», o mais tardar na primeira interação, e cumpre os requisitos de acessibilidade. O texto não fixa uma frase nem um formato.

A obrigação recai sobre o prestador, quem desenvolve o sistema, ou o manda desenvolver, e o coloca no mercado ou em serviço em nome próprio. A loja que o usa é o responsável pela implantação. Num agente feito à medida, quem é o quê depende do contrato, e convém que fique escrito.

Na nossa leitura, uma loja não deve apostar na exceção do óbvio, porque num chat ou no WhatsApp o cliente nem sempre consegue distinguir uma pessoa de um agente. A redação do aviso é uma decisão de cada loja e do fornecedor, a validar com um jurista.

«Um cliente que escreve no WhatsApp às 23h não tem como saber quem está do outro lado. A lei pede que passe a saber.» ShopGuru

O incumprimento do artigo 50.º pode dar coimas até 15 milhões de euros ou 3 % do volume de negócios mundial, consoante o valor mais elevado (artigo 99.º, n.º 4). Nas PME, conta o mais baixo dos dois (n.º 6).

O calendário do AI Act depois do Omnibus

O Regulamento (UE) 2026/1744, o Regulamento Omnibus Digital em matéria de IA, de 8 de julho de 2026, foi publicado no Jornal Oficial a 24 de julho e entrou em vigor a 27 de julho. Mexeu em várias datas, mas não na que mais interessa a uma loja com um agente.

A marcação do n.º 2 é uma obrigação do prestador de sistemas que geram conteúdo, texto incluído, e vale perguntar ao fornecedor como a cumpre. Para as imagens que a loja gera, ver imagens de produto com IA.

O adiamento do risco elevado toca pouco no atendimento. O anexo III lista usos como o recrutamento, a educação ou a avaliação de crédito de pessoas; um agente que responde sobre tamanhos, portes e encomendas não está lá. Se passasse a avaliar a solvabilidade de um cliente para aprovar pagamentos a prestações, a análise seria outra.

O que o RGPD já pedia às conversas com clientes

Uma conversa com um cliente tem quase sempre dados pessoais: nome, telefone, morada, número de encomenda, às vezes a fotografia de um produto danificado. O RGPD aplica-se a tudo isso, com ou sem IA.

Na maior parte dos casos, o lojista é o responsável pelo tratamento dos dados dos seus clientes, e um fornecedor que trata as conversas por conta dele é subcontratante. O artigo 28.º exige um contrato com o objeto, a duração e a finalidade do tratamento, e obriga o fornecedor a tratar os dados só mediante instruções documentadas. Se ele recorre a outro, como o fornecedor do modelo de IA, precisa de autorização prévia por escrito.

O artigo 13.º pede que o cliente saiba, no momento da recolha, quem trata os dados, para quê, quem os recebe e se saem da União Europeia: a política de privacidade da loja tem de mencionar as conversas com o agente. O artigo 5.º junta dois princípios que pesam aqui: recolher só o necessário e não guardar mais tempo do que o preciso.

«O AI Act pede que o cliente saiba com quem fala. O RGPD pede que saiba o que acontece ao que diz.» ShopGuru

O artigo 22.º dá ao cliente o direito de não ficar sujeito a decisões tomadas exclusivamente por meios automatizados que o afetem de forma significativa. Se uma recusa de reembolso cabe nessa definição depende do caso. Revista e aprovada por uma pessoa da equipa, deixa de ser exclusivamente automatizada.

Na prática, isso decide-se no desenho do agente: que ações faz sozinho, quais passam por uma pessoa e o que faz quando não sabe a resposta, como descrevemos em atender clientes fora de horas.

Em Portugal, quem fiscaliza o RGPD é a CNPD, que disponibiliza modelos de registo de atividades de tratamento para responsáveis e subcontratantes. O agente de atendimento é uma atividade a acrescentar a esse registo.

O pacote Omnibus Digital inclui outra proposta da Comissão, que altera o RGPD, mas à data deste artigo ainda estava em discussão no Parlamento Europeu e no Conselho. Até ser aprovada e publicada, o RGPD aplica-se tal como está.

Perguntas a fazer ao fornecedor do agente de IA

Recomendamos ter estas respostas por escrito antes de pôr um agente a falar com clientes, seja qual for o fornecedor.

1. Quem é o prestador do sistema, nos termos do AI Act, e como fica cumprido o artigo 50.º?
2. Em que mensagem, e com que redação, o cliente fica a saber que fala com uma IA?
3. Existe um contrato de subcontratação conforme o artigo 28.º do RGPD?
4. Que outros fornecedores tratam as conversas, incluindo o do modelo de IA, e em que país?
5. Há transferências para fora do Espaço Económico Europeu, e com que garantias?
6. As conversas servem para treinar modelos? Durante quanto tempo ficam guardadas, e como se apagam?
7. Que ações o agente faz sozinho e quais passam por uma pessoa da equipa?
8. O que acontece aos dados dos clientes se a loja terminar o contrato?

«Uma pergunta a que o fornecedor não sabe responder por escrito já diz muito sobre o fornecedor.» ShopGuru

Perguntas frequentes

O AI Act aplica-se a uma loja online pequena?

Sim. O AI Act não isenta as PME das obrigações de transparência do artigo 50.º. Muda só o teto das coimas, que fica no mais baixo entre o montante fixo e a percentagem do volume de negócios.

O agente tem de dizer que é IA em todas as mensagens?

O artigo 50.º pede que a informação seja clara e chegue o mais tardar na primeira interação, sem exigir que se repita em cada mensagem. Como a dar em cada canal é uma decisão a validar com um jurista.

Quem fiscaliza o AI Act em Portugal?

Em setembro de 2025, o Governo anunciou que pretende nomear a ANACOM como autoridade de fiscalização do mercado para o Regulamento da IA. A CNPD continua a fiscalizar o RGPD. Convém confirmar no Diário da República se o diploma que fixa as autoridades e as coimas nacionais já foi publicado.

Por onde começar

O primeiro passo é pôr por escrito o que o agente vai tratar: que dados, em que canais, com que fornecedores e durante quanto tempo. Com isso, uma conversa de 30 minutos com um engenheiro do ShopGuru chega para ver o que falta decidir. Marcar uma conversa.

Sobre este artigo

Escrito pelos engenheiros do ShopGuru. Publicado a 12 de outubro de 2026 e revisto a 21 de outubro de 2026. Reflete a legislação em vigor à data da publicação: o Regulamento (UE) 2024/1689 (artigos 3.º, 4.º, 50.º, 99.º, 113.º e anexo III), com as alterações do Regulamento (UE) 2026/1744, e o Regulamento (UE) 2016/679 (artigos 5.º, 13.º, 22.º e 28.º). Este artigo é informativo e não substitui aconselhamento jurídico.