AI Act 2026: o que mudar na sua clínica

Em resumo

• O AI Act entrou em vigor a 1 de agosto de 2024 com aplicação faseada: proibições desde 2 de fevereiro de 2025, obrigações para IA de finalidade geral desde 2 de agosto de 2025 e regime completo para sistemas de alto risco a partir de 2 de agosto de 2026.
• O regulamento classifica os sistemas em quatro níveis: risco inaceitável (proibidos), alto risco (regulados), risco limitado (transparência obrigatória) e risco mínimo. A maior parte da IA usada em clínicas portuguesas (chatbots de marcação, geração de conteúdo, automação administrativa) cai em risco limitado.
• Coimas até 35 milhões de euros ou 7% do volume de negócios mundial para infrações às proibições; até 15 milhões ou 3% para incumprimento das obrigações de alto risco. A ANACOM e a futura autoridade nacional designada pelo Governo coordenam a fiscalização em Portugal.
• Em clínicas, três áreas exigem atenção imediata: identificação clara do chatbot como sistema automático, supervisão humana em qualquer triagem assistida por IA e documentação dos dados de treino quando se usam ferramentas generativas para conteúdo clínico.

O Regulamento (UE) 2024/1689, conhecido como AI Act, é o primeiro quadro jurídico abrangente sobre inteligência artificial à escala europeia. Para uma clínica em Portugal, a questão deixou de ser teórica: a partir de agosto de 2026, qualquer sistema de IA usado no contacto com pacientes ou na gestão clínica passa a ter obrigações concretas de transparência, supervisão e registo. Este artigo explica, em termos práticos, o que muda para clínicas dentárias, médicas, de fisioterapia, estética, psicologia e nutrição, e que decisões tomar nos próximos meses para evitar coimas e perda de confiança.

O calendário de aplicação que importa conhecer

O AI Act não entrou em vigor de uma só vez. A aplicação é faseada, o que dá às clínicas margem para adaptação, mas também cria armadilhas: alguns prazos já passaram. As proibições do artigo 5.º aplicam-se desde 2 de fevereiro de 2025, abrangendo práticas como manipulação subliminar, exploração de vulnerabilidades e categorização biométrica sensível. Desde 2 de agosto de 2025, vigoram as obrigações para modelos de IA de finalidade geral (GPAI), que incluem ferramentas como ChatGPT, Claude ou Gemini quando usadas profissionalmente.

A data central para clínicas é 2 de agosto de 2026: entra em vigor o regime para sistemas de alto risco, incluindo dispositivos médicos com componente de IA classificados como classe IIa ou superior. Para sistemas integrados em produtos já sujeitos a marcação CE, há um prazo adicional até 2 de agosto de 2027. Em Portugal, o Governo terá de designar formalmente a autoridade nacional competente; até lá, a articulação faz-se através da ANACOM e da Comissão Nacional de Proteção de Dados nos pontos de sobreposição com o RGPD.

Os quatro níveis de risco e onde se encaixa a sua clínica

O AI Act organiza os sistemas em quatro categorias, cada uma com obrigações distintas. Identificar corretamente o nível em que cada ferramenta opera é o primeiro passo do trabalho de conformidade.

A maioria das clínicas portuguesas opera em risco limitado e risco mínimo. O salto para alto risco acontece quando a IA substitui ou condiciona uma decisão clínica, e não apenas quando agenda ou comunica. Esta distinção é decisiva e deve ficar documentada por escrito no inventário interno de sistemas.

Chatbots de marcação: obrigação de transparência

Um chatbot que esclarece dúvidas, agenda consultas ou responde a pedidos administrativos é considerado risco limitado. A obrigação central é a do artigo 50.º: o utilizador tem de perceber, desde o primeiro momento, que está a interagir com um sistema automático e não com uma pessoa. Na prática, isto traduz-se em três elementos visíveis no widget: nome do assistente acompanhado de "Assistente virtual" ou equivalente, frase de abertura que identifica a natureza automática da resposta, e opção explícita de ser encaminhado para um profissional humano.

Em clínicas que utilizam chatbots para marcações fora de horário, observamos tipicamente uma taxa de conversão entre 18% e 32% das conversas iniciadas em pedidos confirmados, com tempos médios de resposta inferiores a três segundos. Estes resultados mantêm-se ou melhoram quando a identificação como IA é clara, porque o paciente sabe o que esperar e ajusta a linguagem em conformidade. A tentativa de simular humanidade, pelo contrário, gera atrito quando o sistema falha numa questão sensível.

Geração de conteúdo: marcação e responsabilidade editorial

Quando a clínica usa ferramentas generativas para produzir artigos de blog, descrições de serviços, respostas a comentários ou textos para newsletter, aplicam-se duas regras complementares. Primeira: conteúdo gerado por IA que possa ser confundido com produção humana deve ser marcado como tal, em formato legível por máquinas (metadados) ou de forma claramente percetível. Segunda: a responsabilidade editorial pelo conteúdo publicado permanece sempre da clínica, independentemente da ferramenta usada.

O que isto significa em termos operacionais? Um fluxo de trabalho documentado em que cada peça gerada por IA passa por revisão de um profissional com formação clínica adequada antes de ser publicada. Para artigos sobre saúde, esta revisão deve verificar três aspetos: ausência de promessas de resultado, ausência de conteúdo que se possa interpretar como aconselhamento clínico individualizado, e alinhamento com as regras da Entidade Reguladora da Saúde sobre publicidade. O ficheiro de revisão fica arquivado por, no mínimo, cinco anos.

Triagem assistida e apoio à decisão: a fronteira do alto risco

É aqui que muitas clínicas se enganam. Um sistema que pergunta os sintomas ao paciente e sugere a especialidade adequada para a marcação é, em regra, risco limitado: trata-se de orientação administrativa, não de diagnóstico. Mas se esse mesmo sistema atribui um nível de prioridade clínica (urgente, normal, diferido) com efeito vinculativo na agenda, entra na zona de alto risco e passa a exigir avaliação de conformidade, supervisão humana documentada e registo na base de dados europeia.

A regra prática é simples: se a saída do sistema condiciona uma decisão clínica, mesmo que indiretamente, está em alto risco. O caminho de menor fricção para clínicas pequenas e médias é manter a IA estritamente no plano administrativo (esclarecimento, marcação, lembretes, navegação no site) e deixar qualquer triagem clínica para o profissional. Esta separação clara entre "agendar" e "decidir" simplifica a conformidade e protege contra reclamações.

RGPD e AI Act: dois regulamentos, uma operação

O AI Act não substitui o RGPD; sobrepõem-se. Qualquer sistema de IA que processe dados de saúde está simultaneamente sujeito aos dois quadros, com agravante: os dados de saúde são categoria especial nos termos do artigo 9.º do RGPD, e exigem base legal reforçada. Para clínicas, isto traduz-se em quatro pontos de atenção operacional.

• Consentimento específico para o tratamento por IA, separado do consentimento clínico geral, com possibilidade de revogação sem prejuízo do serviço.
• Avaliação de impacto sobre a proteção de dados (DPIA) sempre que se introduz uma nova ferramenta de IA que processe dados de pacientes, mesmo em risco limitado.
• Contratos de subcontratação com os fornecedores de IA (artigo 28.º do RGPD) que incluam cláusulas específicas sobre treino de modelos, retenção e localização dos dados.
• Registo das atividades de tratamento atualizado com cada sistema de IA, identificando finalidade, base legal, prazos de conservação e medidas de segurança.

A CNPD tem vindo a sinalizar atenção crescente ao uso de ferramentas generativas em contexto clínico. Em 2025, várias deliberações reforçaram a necessidade de avaliar onde fisicamente residem os dados quando se usa um modelo cloud, e de excluir conversas com pacientes do treino dos modelos por defeito.

Conformidade ERS

A Entidade Reguladora da Saúde mantém competência total sobre publicidade e comunicação de prestadores de cuidados de saúde, independentemente do canal usado. Um chatbot ou um artigo gerado por IA está sujeito às mesmas regras que um anúncio em jornal ou um cartaz na receção. Os pontos críticos para conteúdo gerado ou intermediado por IA são os seguintes.

• Sem promessas de resultado: evitar formulações como "garantimos a cura", "resultado garantido", "100% de sucesso" ou variações próximas; o sistema deve usar linguagem condicional e referir a variabilidade individual.
• Sem urgência artificial: o chatbot não pode usar contagens decrescentes, "últimas vagas" ou pressão temporal para induzir a marcação imediata de tratamentos eletivos.
• Sem comparações com concorrentes nomeados: nem direta nem indiretamente; o conteúdo deve focar a oferta própria e o seu valor clínico.
• Sem aconselhamento clínico individualizado fora de consulta: o chatbot esclarece informação genérica e remete para consulta presencial quando o paciente descreve sintomas concretos.
• Identificação clara do prestador: nome registado no SNS, número de registo na ERS quando aplicável, e responsável clínico identificado em qualquer página onde se promovam serviços.
• Preços e condições verdadeiros e atualizados: o conteúdo gerado por IA deve refletir a tabela em vigor e nunca induzir em erro sobre o que está ou não incluído.

A combinação de AI Act e ERS exige um ponto de governação interna: alguém na clínica (diretor clínico, gestor da qualidade ou equivalente) tem de validar o que o sistema diz aos pacientes, periodicamente. A revisão semestral dos guiões do chatbot é uma prática razoável.

Inventário de sistemas: o documento que falta na maioria das clínicas

Quando o AI Act entrar em plena aplicação, a primeira pergunta de uma inspeção será simples: que sistemas de IA usa a clínica? A resposta tem de ser um documento estruturado, não uma lista mental do gestor. Em clínicas portuguesas que acompanhamos, este inventário tipicamente inclui entre seis e quinze sistemas, muitos deles invisíveis no dia a dia: o software de marcação, o gestor de campanhas publicitárias, o sistema de transcrição, o filtro de spam do email, o assistente do CRM, o gerador de respostas para redes sociais.

Este documento é a base de qualquer demonstração de conformidade. Sem ele, mesmo uma clínica que cumpre todos os requisitos materiais fica em desvantagem perante uma inspeção, porque não consegue evidenciar o cumprimento.

Custos previsíveis de adaptação

Para uma clínica de pequena ou média dimensão, o custo de conformidade com o AI Act é modesto quando comparado com o RGPD, porque grande parte do trabalho se sobrepõe. Tipicamente no setor, observam-se três rubricas: revisão jurídica inicial (entre 600€ e 1.500€, uma vez), formação de equipa (entre 200€ e 500€ por ano), e ajustes técnicos nos sistemas (variável, frequentemente incluído nas mensalidades dos fornecedores). Clínicas que usem dispositivos médicos com componente de IA classificados como alto risco têm custos significativamente superiores, na casa das dezenas de milhares de euros, e devem articular esta conformidade com o fornecedor do equipamento.

O que decidir nos próximos doze meses

Para uma clínica que comece hoje a preparação, um plano realista distribui-se por quatro trimestres. Primeiro trimestre: inventário de sistemas e classificação de risco. Segundo trimestre: revisão de contratos com fornecedores de IA e atualização dos textos de consentimento. Terceiro trimestre: ajustes técnicos nos chatbots e nos fluxos de revisão editorial. Quarto trimestre: formação da equipa, simulação de inspeção e arquivo do dossier de conformidade. Esta calendarização chega confortavelmente à data limite de agosto de 2026 para os sistemas de alto risco, com margem para correções.

Perguntas frequentes

O AI Act aplica-se a clínicas pequenas com apenas um chatbot de marcação?

Sim, mas as obrigações práticas são limitadas. Um chatbot de marcação enquadra-se em risco limitado, e a exigência principal é identificar o sistema como IA na primeira mensagem. Não é necessário registo na base de dados europeia nem avaliação de conformidade formal, ao contrário do alto risco.

Posso continuar a usar o ChatGPT ou o Claude para escrever artigos do blog?

Sim, com três condições: revisão por profissional com formação clínica antes da publicação, marcação interna de que o conteúdo teve assistência de IA, e cumprimento das regras da ERS sobre publicidade em saúde. Os modelos de finalidade geral têm obrigações próprias, mas estas recaem sobre os fornecedores, não sobre o utilizador profissional.

Que coima posso receber se ignorar o regulamento?

Depende do tipo de infração. As proibições (artigo 5.º) podem implicar coimas até 35 milhões de euros ou 7% do volume de negócios mundial. O incumprimento das obrigações de alto risco vai até 15 milhões ou 3%. Para sistemas de risco limitado, como chatbots, as coimas máximas são de 7,5 milhões ou 1,5%, mas na prática serão proporcionais à dimensão da clínica.

O AI Act substitui o RGPD nas clínicas?

Não. Os dois regulamentos coexistem e aplicam-se em simultâneo. O RGPD continua a regular o tratamento de dados pessoais, incluindo os dados de saúde, e o AI Act acresce obrigações específicas para sistemas de IA. Uma DPIA continua obrigatória para tratamentos de risco elevado.

Preciso de pedir consentimento novo aos pacientes existentes?

Se o consentimento atual não cobre explicitamente o tratamento por sistemas de IA, sim. A prática recomendada é incluir uma cláusula clara no formulário de consentimento padrão e, para pacientes existentes, atualizar na próxima interação presencial. Pode também enviar-se aviso por email com possibilidade de revogação.

O chatbot da minha clínica pode fazer triagem de urgência?Não com efeito vinculativo. Se o sistema atribui prioridade clínica que condiciona a agenda, entra em alto risco e exige conformidade formal complexa. A solução pragmática é manter o chatbot a recolher sintomas e a orientar para contacto com a clínica, deixando a triagem efetiva para o profissional humano.

Quando preciso de fazer uma avaliação de impacto (DPIA)?

Sempre que introduza um sistema de IA novo que processe dados de pacientes, mesmo em risco limitado. A DPIA documenta a finalidade, os riscos identificados, as medidas mitigadoras e a base legal. Em sistemas de alto risco é obrigatória pelo AI Act; nos restantes é fortemente recomendada como salvaguarda RGPD.

Como provo que cumpro o regulamento numa fiscalização?

Através do dossier de conformidade: inventário de sistemas atualizado, classificação de risco justificada, contratos com fornecedores, textos de consentimento, registos de revisão editorial e atas de formação da equipa. A capacidade de mostrar este dossier em poucos minutos é o que distingue uma clínica preparada de outra exposta.

Próximos passos

A adaptação ao AI Act é um trabalho de governação, não um projeto técnico isolado. Para clínicas que ainda não começaram, os próximos seis meses são o momento de inventariar sistemas, rever consentimentos e ajustar a identificação dos chatbots. Para clínicas que já têm uma operação digital madura, é o momento de consolidar o dossier de conformidade e treinar a equipa para reconhecer quando uma decisão entra no perímetro do alto risco.

Se quer perceber em concreto o que se aplica à sua clínica e por onde começar, Solicite um diagnóstico. Analisamos os sistemas que utiliza, identificamos os pontos de atenção sob o AI Act e ERS, e propomos um plano de adaptação realista para os prazos que se aproximam.