EU AI Act nas clínicas: o que muda a 2 de agosto de 2026

A 2 de agosto de 2026, o artigo 50.º do Regulamento (UE) 2024/1689 · o EU AI Act · passa a aplicar-se. Se a sua clínica usa um atendedor automático com IA, um chatbot no site ou um assistente de voz que atende chamadas, isto diz-lhe respeito.

A boa notícia: o que a lei exige é muito menos do que se anda a dizer por aí. A má: aplica-se também a sistemas que já estão a funcionar hoje, e há um dever legal ativo desde 2025 que a maioria das clínicas ainda não cumpriu.

Vamos por partes, sem dramatizar.

O que a lei exige exatamente

O artigo 50.º trata de transparência, não de proibições. Cobre quatro situações distintas: interação direta com pessoas, conteúdo gerado por IA, reconhecimento de emoções e categorização biométrica, e deepfakes ou texto de interesse público. Para uma clínica com atendimento automático, a que interessa é a primeira.

O texto é simples: os sistemas de IA destinados a interagir diretamente com pessoas devem ser concebidos de modo a que essas pessoas sejam informadas de que estão a interagir com um sistema de IA, «salvo se tal for óbvio do ponto de vista de uma pessoa singular razoavelmente informada, atenta e advertida» (EU Artificial Intelligence Act · Artigo 50.º).

É isso. Dizer que é IA.

Há ainda um requisito de forma, no n.º 5: a informação tem de ser dada «de forma clara e distinguível, o mais tardar no momento da primeira interação ou exposição». Traduzindo para uma chamada: no arranque da conversa. Não no fim, não numa nota de rodapé do site, não no consentimento de cookies. Nos primeiros segundos, na frase de abertura.

E aplica-se a sistemas já colocados no mercado antes de 2 de agosto de 2026. Só existe um período de tolerância limitado · até 2 de dezembro de 2026 · e apenas para a obrigação de marcação e deteção de conteúdo gerado por IA, que não é o caso do atendimento telefónico (Comissão Europeia · FAQ sobre as obrigações de transparência do artigo 50.º).

O que a lei NÃO exige

Esta secção é tão importante quanto a anterior, porque é aqui que circulam mais mitos.

O artigo 50.º(1) não exige consentimento. Não é preciso o paciente dizer "sim, aceito falar com uma IA" antes de continuar.

Não exige opt-out. Não tem de haver um menu para recusar a IA.

Não exige alternativa humana garantida. Legalmente, o artigo 50.º não obriga a clínica a manter uma pessoa disponível para quem prefira.

Não exige aviso escrito, contrato, ou registo prévio junto de nenhuma entidade.

Dito isto, e sendo honesto: oferecer saída para humano é boa prática e boa clínica, mesmo não sendo obrigação legal. Um paciente em pânico com uma dor às 22h não deve ficar preso num fluxo automático. Mas é uma decisão de qualidade de serviço, não uma imposição do AI Act · e vale a pena saber a diferença, para não fazer más escolhas por medo.

Quem é o responsável: provider ou deployer

Aqui está o ponto que mais alívio costuma dar aos gestores de clínica.

A obrigação do artigo 50.º(1) · a divulgação de que se está a falar com uma IA · recai sobre o provider, ou seja, sobre quem desenvolve o sistema e o coloca no mercado. A clínica que contrata um assistente de voz é deployer: usa o sistema sob a sua autoridade, no exercício de uma atividade profissional.

Os deveres que o artigo 50.º atribui diretamente aos deployers são outros: reconhecimento de emoções e categorização biométrica, deepfakes e texto de interesse público. Nenhum deles é a simples divulgação de chatbot. E os funcionários da receção, a agir sob instruções da clínica, não são deployers separados (Comissão Europeia · FAQ artigo 50.º).

Na prática: garantir que a IA se identifica é responsabilidade de quem lhe vende o sistema. Se o seu fornecedor não o faz, o problema é dele · mas o telefone que toca é o seu, e a reputação também. Vale a pena verificar em vez de assumir.

E as coimas?

O incumprimento das obrigações de transparência do artigo 50.º é sancionável até 15 000 000 EUR ou 3% do volume de negócios anual mundial, consoante o que for mais elevado. Este é o número que aparece nos titulares e que assusta toda a gente.

Só que há um n.º 6 no mesmo artigo 99.º: para PME e small mid-caps, a regra inverte-se · a coima fica limitada ao valor mais baixo entre a percentagem e o montante fixo (EU Artificial Intelligence Act · Artigo 99.º).

A esmagadora maioria das clínicas portuguesas é PME. O cenário de 15 milhões não é o vosso cenário. Isso não é licença para ignorar a lei · é apenas contexto para tomar decisões proporcionais em vez de decisões em pânico.

O dever que já está ativo desde 2025

Este é o ponto que quase ninguém menciona, e é o mais imediato.

O artigo 4.º do AI Act · literacia em IA · aplica-se a deployers desde 2 de fevereiro de 2025. Ou seja: se a sua clínica já usa qualquer sistema de IA, já tem hoje uma obrigação legal ativa, anterior ao artigo 50.º.

O texto obriga providers e deployers a tomar medidas para assegurar, na medida do possível, um nível suficiente de literacia em IA do seu pessoal e das outras pessoas que lidam com a operação e utilização dos sistemas em seu nome (EU Artificial Intelligence Act · Artigo 4.º).

Na prática, para uma clínica, isto é modesto e concreto: a equipa da receção deve saber o que o assistente faz, quais são os seus limites, e quando escalar para uma pessoa. Uma sessão de formação documentada, um documento de uma página, um registo de quem participou. Não é um projeto · é uma manhã.

Quem fiscaliza em Portugal

A ANACOM foi designada autoridade nacional de supervisão do AI Act a 19 de setembro de 2025, coordenando 14 autoridades setoriais, entre as quais o Banco de Portugal, a ASF e a CMVM (ECO · Anacom escolhida pelo Governo para regular inteligência artificial em Portugal).

Vale a pena notar o calendário, porque explica muito do nevoeiro atual: Portugal falhou o prazo de 2 de agosto de 2025 previsto no regulamento · apenas 8 dos 27 Estados-Membros o cumpriram (aiacto · AI Act: Only 8 of 27 Member States Ready). E a própria Comissão Europeia só publicou as Guidelines sobre as obrigações de transparência do artigo 50.º em julho de 2026, semanas antes da data de aplicação (Comissão Europeia · Guidelines on transparency obligations).

Dessas orientações fica uma nota útil: os deployers podem determinar eles próprios as medidas de transparência adequadas, tendo em conta as orientações · exceto quanto às obrigações de marcação e rotulagem. Há margem para bom senso.

O RGPD é uma conversa separada · e mais exigente

Aqui é onde muitas clínicas se enganam: cumprir o artigo 50.º não resolve o RGPD. São regimes independentes, e para uma clínica o RGPD é o mais pesado dos dois.

Dados de saúde são categoria especial ao abrigo do artigo 9.º do RGPD. O tratamento é proibido por princípio, salvo se enquadrado numa das exceções dos n.ºs 2 e 3 (Regulamento (UE) 2016/679 · Artigo 9.º).

Isto tem consequências práticas imediatas. Uma chamada de marcação em que o paciente revela o motivo da consulta ou uma condição clínica cai no artigo 9.º. Exige base legal própria, minimização de dados, e medidas técnicas e organizativas específicas · gravações, transcrições, prazos de retenção, controlo de acessos.

A CNPD é a autoridade competente. A ausência de medidas jurídicas, organizacionais e técnicas no tratamento de dados de pacientes expõe a clínica a processo contraordenacional. As obrigações concretas são conhecidas: registo de atividades de tratamento, política de privacidade clara, contratos de subcontratação nos termos do artigo 28.º do RGPD com fornecedores tecnológicos, e formação de colaboradores (Legal In · RGPD nas Clínicas de Saúde).

Esse artigo 28.º aplica-se tal e qual a um fornecedor de IA de voz que processe chamadas de pacientes. Se não tem contrato de subcontratação assinado com quem atende o seu telefone, essa é a lacuna mais urgente · e é anterior ao AI Act.

O que fazer se a clínica já usa atendimento automático

Uma lista curta, por ordem de esforço:

1. Ligue para a sua própria clínica e ouça os primeiros dez segundos. O sistema identifica-se como IA, de forma clara, logo no início? Se sim, o essencial do artigo 50.º está tratado. Se não, é uma alteração de uma frase · peça ao fornecedor.
2. Verifique se tem contrato de subcontratação (art. 28.º RGPD) com o fornecedor do atendimento. Se não tem, peça-o hoje.
3. Confirme onde ficam gravações e transcrições, quanto tempo, e quem acede. Dados de saúde exigem resposta a estas três perguntas.
4. Faça uma sessão de formação à equipa sobre o que a IA faz, os seus limites, e quando passar para humano. Documente. Cumpre o artigo 4.º, que já está em vigor.
5. Atualize a política de privacidade para refletir o tratamento por sistema automático.

Nada nesta lista exige advogado especializado nem semanas de trabalho. É uma tarde bem aproveitada.

Uma nota sobre como encaramos isto

Na MiviCall, a assistente identifica-se como IA no início de cada chamada · não porque uma data no calendário nos obrigou, mas porque enganar um paciente sobre com quem está a falar nunca foi opção. Quando um paciente sabe que fala com uma IA e continua a conversa, essa marcação vale mais do que uma arrancada a fingir.

A transparência não é o custo de usar IA no atendimento. É a condição para que os pacientes confiem nela · e, honestamente, é o que separa uma ferramenta útil de um truque que se descobre à segunda chamada.

2 de agosto de 2026 é uma data. A prática certa já é a certa hoje.