Há três meses um CEO de uma confecção no Vale do Ave perguntou-nos: "Vocês falam muito de IA, mas ninguém me explica o que tenho de documentar para não ser apanhado desprevenido quando a Autoridade de Concorrência bater à porta." Não era uma pergunta de compliance — era uma pergunta de risco operacional. Ele sabia que o ISO 27001 e os modelos de governança que tinha não cobriam IA. E tinha razão.

O Regulamento da IA da UE (AI Act, Regulamento (UE) 2024/1689) não é um documento de ética corporativa. É um enquadramento legal com dentes. As proibições aplicam-se desde fevereiro de 2025, as regras de modelos de uso geral desde agosto de 2025, e as obrigações de documentação e auditoria tocam qualquer empresa que desenvolva, integre ou use sistemas de IA em processos críticos. Uma PME industrial portuguesa que usa IA para previsão de procura, gestão de stocks, planeamento de produção ou aprovação de crédito a clientes está já no perímetro do AI Act. Não por ser grande — por estar a usar IA em contextos que afetam direitos, segurança ou conformidade.

Em 2025 apenas 11,5% das empresas em Portugal com 10 ou mais trabalhadores usavam tecnologias de inteligência artificial, segundo o INE. Mas entre as grandes empresas a adoção sobe para 49,1%, enquanto nas médias (50-249 colaboradores) fica nos 18,2%. O gap é claro: as PME ficam para trás não porque não queiram, mas porque o custo de conformidade parece proibitivo. Nós, há cinco anos, dizíamos que IA era um assunto de TI. Estávamos errados. Hoje vemos que é um assunto de CEO, CFO e compliance. A documentação que tens de manter não é um ficheiro Excel guardado na cloud — é um mapa de risco, um registo de decisões de design, um protocolo de testes, um arquivo de versões de modelos, uma auditoria de inputs e outputs. Sem isto, não tens prova de que controlaste o risco. Com isto, tens.

A Governança de IA não é Governança de Dados

Uma confusão comum: "Temos um DPO, temos RGPD, temos proteção de dados — isso cobre IA." Não cobre. O RGPD diz-te o que fazer com dados de pessoas. O AI Act diz-te o que fazer com o sistema que toma decisões sobre pessoas. São camadas diferentes.

Governance de IA em PME industrial significa documentar três coisas: o que o sistema faz (entrada, lógica, saída) e quem autoriza cada mudança; como e onde foi treinado o modelo (dados usados, versão, data, responsável); como testa o risco (enviesamento, discriminação, falha operacional) e com que frequência.

Uma fábrica têxtil do Vale do Ave com 80 colaboradores que usa IA para classificar defeitos em malha está num cenário de risco médio segundo o AI Act. O sistema toma decisões que afetam a qualidade (risco operacional) e, se mal treinado, pode discriminar certos tipos de teares ou operários (risco de direitos). Documentar significa: qual é a dataset de treino? Quantas amostras? De que período? Quem verifica a acurácia mensal? O que acontece quando o modelo erra? Quem decide se o modelo sai de produção? Sem estas respostas escritas, não tens conformidade. Com elas, tens prova de que pensaste no risco antes de o problema chegar.

A documentação de IA não é um custo de compliance. É um investimento em operação resiliente.

O que é curioso: a maioria das PME industriais já tem fragmentos desta documentação — estão só espalhados. O IT sabe qual é a versão do modelo. O chefe de produção conhece a taxa de erro. O comercial sabe quando o sistema falha. Governança de IA é juntar estes fragmentos num único ficheiro de verdade, atribuir responsabilidades, e atualizar mensalmente. Não é complexo. É repetitivo.

O que Documentar — Checklist Operacional

Não vamos aqui reproduzir um manual de compliance — já existem, publicados pela Comissão Europeia. Mas vamos dizer o que uma PME industrial de verdade precisa manter em arquivo:

Artefacto O que Inclui Frequência de Atualização
Registo de Sistemas de IA Nome, data de implementação, versão do modelo, responsável técnico, data da última auditoria Mensal
Descrição Técnica Entrada (dados brutos, fonte, frequência), processamento (modelo, algoritmo), saída (decisão ou score), ação Quando há mudança de lógica
Dataset de Treino Número de amostras, período coberto, origem, pré-processamento, balanceamento, data da última revisão Após cada retreinamento
Acurácia e Enviesamento Taxa de erro global, acurácia por sub-grupo (produto, turno, região), riscos detetados Mensal
Protocolo de Testes Método de validação (A/B, validação cruzada, stress-test), frequência de testes Quando há mudança de modelo
Registo de Mudanças Data, responsável, motivo, acurácia antes e depois de cada ajuste Após cada mudança
Incidentes e Correções Data, descrição, impacto, causa-raiz, ação corretiva, data de resolução Quando ocorrem
Comunicação a Stakeholders Como e quando foram informados clientes, fornecedores, colaboradores sobre decisões de IA Quando há mudança de política

Uma empresa que vimos há pouco tempo tinha um modelo de previsão de procura que corria todo o mês. Ninguém sabia qual era a versão do modelo, quando tinha sido retreinado pela última vez, ou qual era a margem de erro. Quando lhe perguntámos "qual é a acurácia?", a resposta foi "parece funcionar bem". Parece não é documentação. Documentação é: "Acurácia MAPE de 12,3% em Janeiro de 2025, validada em 24 meses de dados históricos, retreinado em 15 de Janeiro, responsável: João Silva, próxima revisão: 15 de Abril." Isto é o que um auditor quer ver. Isto é o que um tribunal quer ver. Isto é o que tu próprio queres ver quando o modelo começa a falhar e tens 48 horas para diagnosticar.

O Risco Real Não é Legal — É Operacional

Quando falamos com CFOs de PME industriais, a primeira preocupação é multa regulatória. Compreensível. Mas o risco real é operacional: um modelo que falha silenciosamente durante três meses, afeta margens, e ninguém detecta porque não havia auditoria definida. Vimos uma distribuição alimentar que usava IA para otimizar rotas. O modelo foi treinado com dados de 2022-2023. Ninguém retreinou quando a rede de clientes mudou em 2024. As rotas ficaram sub-ótimas, o custo de transporte subiu 8%, e só foi detetado na análise de margem trimestral. Oito pontos percentuais perdidos porque não havia um protocolo de retreinamento documentado.

Governança de IA bem feita reduz este risco. Se tivesse havido um calendário de auditoria mensal (5 horas), teriam detetado a degradação em três semanas, não em três meses. O custo da documentação é baixo. O custo da falha silenciosa é alto.

Há também um risco que ninguém fala: a concentração de conhecimento. O modelo foi desenvolvido por um consultor externo, ou por um junior que saiu da empresa. De repente, ninguém sabe como o modelo funciona, ou como retreiná-lo. Documentação significa que qualquer IT competente consegue compreender o sistema em meia hora, e manter o seu funcionamento sem dependência de uma pessoa. Isto é crítico numa PME onde o turnover é real e o conhecimento é o ativo mais frágil.

Como Começar — Sem Burocracia

Um CEO de PME industrial tem razão em ser cético quanto a frameworks complexos. A governança de IA não precisa de um departamento novo. Precisa de três coisas simples.

Primeiro, um inventário. Quantos sistemas com IA tens em operação? Previsão? Classificação? Scoring? Otimização? Faz uma lista. Se tens menos de cinco, tens sorte — é tudo manual. Se tens mais de dez, tens um problema de governança que é preciso resolver. Isto leva uma tarde.

Segundo, um dono por sistema. Não é o IT diretor. É alguém que entende o negócio — um chefe de produção, um responsável de planeamento, um comercial. A responsabilidade dele é: "Eu sei o que este sistema faz, eu sei quando falha, eu tenho a documentação atualizada." Uma reunião de 30 minutos por mês com o IT para rever acurácia, incidentes, e mudanças. Pronto. Isto é o que funciona em PME porque não há espaço para silos.

Terceiro, um ficheiro de verdade. Um Google Sheets, um Excel, ou um módulo de documentação no ERP — não importa. O importante é: está atualizado, está centralizado, está acessível. Cada sistema tem uma linha: nome, versão, responsável, data da última auditoria, acurácia, incidentes abertos. Uma hora por mês de atualização, máximo. Depois, quando a autoridade bate à porta (ou quando há um incidente), tens a resposta pronta.

Nós, ao longo de 35 anos a trabalhar com PME industriais, aprendemos que a burocracia que funciona é a que é simples, repetitiva, e tem um dono claro. Governança de IA é isto. Não é um projecto — é uma rotina. Uma rotina que custa 4-6 horas por mês, que protege 8 pontos percentuais de margem, e que te deixa dormir tranquilo quando o regulador chama.

O AI Act vai evoluir. Provavelmente vai ficar mais rigoroso. As multas vão aumentar quando os primeiros casos de enforcement chegarem à EU (em 2026 ou 2027, calculamos). Mas a documentação que fazes hoje não vai ficar obsoleta. Vai ficar mais relevante. Porque a base — saber o que o teu sistema faz, como falha, e quem é responsável — é imutável.

A pergunta que o CEO do Vale do Ave fez há três meses era simples: "Ninguém me explica o que tenho de documentar." Agora já sabe. A pergunta seguinte é: "Quando começamos?" A resposta é: segunda-feira, 14h, com uma lista de sistemas e um Google Sheets em branco.

Perguntas frequentes

O AI Act aplica-se também às PME industriais portuguesas?

Sim. O AI Act aplica-se a qualquer empresa que desenvolva, integre ou use sistemas de IA em processos críticos, independentemente do tamanho. Uma PME que usa IA para previsão de procura, gestão de stocks, planeamento de produção ou aprovação de crédito está no perímetro do regulamento. As proibições aplicam-se desde fevereiro de 2025 e as regras de documentação desde agosto de 2025.

A conformidade com RGPD e ISO 27001 cobre também o AI Act?

Não. O RGPD regula o que fazer com dados de pessoas. O AI Act regula o que fazer com o sistema que toma decisões sobre pessoas. São camadas diferentes. Uma PME pode ter um DPO e proteção de dados robusta, mas isso não cobre as obrigações de governança de IA exigidas pelo regulamento.

O que exatamente uma PME industrial precisa documentar sobre IA?

Três elementos principais: o que o sistema faz (entrada, lógica, saída) e quem autoriza mudanças; como e onde foi treinado o modelo (dados, versão, data, responsável); como testa risco (enviesamento, discriminação, falha operacional) e com que frequência. Isto inclui registos de sistemas, descrições técnicas, datasets de treino, acurácia, protocolos de testes, mudanças e incidentes.

Com que frequência deve ser atualizada a documentação de IA?

Depende do artefacto. O registo de sistemas e métricas de acurácia e enviesamento devem ser atualizados mensalmente. A descrição técnica, quando há mudança de lógica. O registo de mudanças após cada ajuste. O protocolo de testes quando há mudança de modelo. Incidentes e comunicações a stakeholders conforme ocorrem.

Qual é o risco real de não documentar a IA numa PME industrial?

O risco operacional é maior que o legal. Um modelo que falha silenciosamente durante meses afeta margens e ninguém detecta sem auditoria definida. Sem documentação, não tens prova de que controlaste o risco. Com ela, tens diagnóstico rápido quando o modelo começa a falhar e capacidade de resposta em 48 horas.

Uma PME industrial já tem fragmentos da documentação de IA necessária?

Sim, na maioria dos casos. O IT sabe a versão do modelo, o chefe de produção conhece a taxa de erro, o comercial sabe quando falha. Governança de IA é juntar estes fragmentos num único ficheiro de verdade, atribuir responsabilidades e atualizar mensalmente. Não é complexo, é repetitivo.

Qual é a diferença entre "parece funcionar bem" e documentação real?

Documentação real é específica: "Acurácia MAPE de 12,3% em Janeiro de 2025, validada em 24 meses de dados históricos, retreinado em 15 de Janeiro, responsável: João Silva, próxima revisão: 15 de Abril." Isto é o que um auditor, um tribunal e tu próprio querem ver quando diagnosticar problemas. "Parece funcionar" não é prova de conformidade.