O AI Act da UE para equipas de redes sociais: o que se aplica mesmo

O AI Act da UE ordena os sistemas de IA por nível de risco e coloca a esmagadora maioria das obrigações nas empresas que constroem esses sistemas, não nas equipas de marketing que os usam. Para uma equipa de redes sociais, a maior parte dele simplesmente não te é dirigida — o que morde mesmo é um artigo de transparência que cobre deepfakes e certos conteúdos sintéticos, mais um dever de competência do pessoal em vigor desde o início de 2025. A data de aplicação geral é 2 de agosto de 2026, amanhã à hora em que isto sai, por isso vale a pena saberes que linhas tocam no teu trabalho antes que alguém no Slack da equipa anuncie que todas as legendas assistidas por IA passam a precisar de rótulo.

Isto é a leitura de quem está no terreno, não aconselhamento jurídico. Se o teu trabalho anda perto de publicidade a recrutamento, serviços financeiros, alegações de saúde ou biometria, mete um consultor qualificado a olhar para a tua montagem.

Responsável pela implantação, não prestador — a distinção que decide quase tudo

O regulamento divide os deveres por dois papéis. Um prestador desenvolve um sistema ou modelo de IA e coloca-o no mercado da UE em nome próprio. Um responsável pela implantação usa um sistema de IA sob a sua própria autoridade, a título profissional.

Se estás a dar prompts a um modelo de chat para rascunhar legendas, a gerar imagens numa ferramenta de design ou a usar um gerador de vídeo, és responsável pela implantação. Quase todas as obrigações pesadas do regulamento — documentação técnica, avaliação da conformidade, marcação CE, sistemas de gestão da qualidade, registo em base de dados, marcas de água legíveis por máquina nos outputs — recaem sobre o prestador. A exceção a vigiar: se deixares de usar a ferramenta de outra pessoa e começares a construir e a dar marca ao teu próprio assistente de IA, podes aproximar-te do estatuto de prestador. Aconselha-te em vez de assumires que estás no caminho de quem apenas implanta.

Onde está o calendário em agosto de 2026

O regulamento entrou em vigor a 1 de agosto de 2024 e foi ligando por fases:

Uma ressalva honesta: em agosto de 2026, o calendário e o âmbito do capítulo de alto risco do regulamento têm sido objeto de discussão ativa de alteração ao nível da UE. Se o teu trabalho toca plausivelmente numa categoria de alto risco, confirma as datas atuais com um consultor e não com um artigo de blog.

O que se aplica mesmo a uma equipa de redes sociais normal

1. Divulgação de deepfakes

É esta a grande. Se usares um sistema de IA para gerar ou manipular imagem, áudio ou vídeo que se assemelhe a pessoas, objetos, lugares ou acontecimentos reais e que possa plausivelmente parecer autêntico, tens de divulgar que foi artificialmente gerado ou manipulado. A definição de deepfake no regulamento assenta exatamente nesse teste de semelhança mais credibilidade. Na prática:

• Abrangido: um avatar de IA fotorrealista a apresentar o teu produto como porta-voz; uma voz off clonada; um vídeo gerado de "testemunho de cliente"; uma cena fotorrealista do teu produto num sítio que nunca existiu.
• Fora do âmbito: um gráfico obviamente ilustrado ou estilizado; um fundo abstrato; qualquer coisa que nenhum espectador razoável confundiria com uma fotografia ou gravação real.

Há uma exceção para trabalho evidentemente artístico, satírico ou ficcional: a divulgação continua a existir, mas pode ser tratada de forma a não estragar a peça. Um sketch de paródia não precisa de um aviso carimbado por cima do primeiro frame.

Se os visuais de IA são rotina para ti, é este o dever a integrar no teu processo — os nossos guias sobre geração de imagens com IA e vídeo de IA para redes sociais cobrem o mesmo terreno.

2. Literacia de IA — já em vigor, barata de cumprir

Desde fevereiro de 2025, os responsáveis pela implantação têm o dever de assegurar um nível suficiente de literacia de IA entre as pessoas que operam sistemas de IA em seu nome, proporcional ao papel e ao contexto de cada uma. Não há currículo prescrito, não há certificação e não há nada para entregar.

O que basta numa equipa pequena não tem glamour nenhum: uma nota sobre que ferramentas estão aprovadas e para quê, uma sessão curta sobre risco de alucinação e regras de dados confidenciais, e um registo datado de que aconteceu. Se já manténs uma política de uso de IA para a tua equipa social, acrescenta um registo de formação e o nome de um responsável e passas a ter algo concreto para o questionário de compras de um cliente.

3. Texto gerado por IA sobre matérias de interesse público

O dever de divulgação de texto é mais estreito do que a maioria das pessoas imagina. Aplica-se a texto gerado ou manipulado por IA publicado para informar o público sobre matérias de interesse público — e cai por completo quando o conteúdo passou por revisão humana ou controlo editorial e uma pessoa ou empresa assume a responsabilidade editorial por ele.

Uma legenda de lançamento de produto não é matéria de interesse público. Um conjunto de hashtags também não. Uma thread da newsroom de uma marca a explicar um tema de saúde pública ou a comentar um debate de política pública pode ser — e mesmo aí, um humano identificado a rever e a assumir o texto resolve a questão. A revisão humana dentro do teu fluxo de publicação é o mecanismo de conformidade, não um extra simpático.

4. Práticas em que simplesmente nunca deves tocar

Um punhado de usos de IA está pura e simplesmente proibido desde fevereiro de 2025. Os que ocasionalmente passam perto do marketing:

• Recolha não direcionada de imagens faciais da internet ou de CCTV para construir bases de dados de reconhecimento facial.
• Inferir emoções de colaboradores no local de trabalho (fora de casos médicos ou de segurança muito restritos).
• Categorização biométrica usada para deduzir raça, opiniões políticas, filiação sindical, convicções religiosas ou orientação sexual.
• Técnicas manipuladoras ou subliminares que distorcem materialmente o comportamento e causam danos significativos.

Se um fornecedor te apresentar uma ferramenta que lê rostos numa transmissão em direto para pontuar sentimento, ou que promete construir audiência a partir de dados faciais recolhidos, isso é um não redondo por muito boa que a demo pareça.

5. IA conversacional

Os sistemas que interagem diretamente com pessoas têm de deixar claro que são IA, a não ser que seja óbvio. O dever recai sobre os prestadores, mas o resultado é o mesmo: não deixes um bot passar por pessoa. Se corres automação de DMs assistida por IA, identifica o assistente logo na primeira mensagem.

A lista das coisas que não exige

A ansiedade costuma ser mais alta do que a obrigação. Como responsável pela implantação a fazer redes sociais orgânicas normais, o regulamento não te obriga a:

• Identificar legendas, hooks, conjuntos de hashtags ou primeiros rascunhos assistidos por IA.
• Identificar ajuda de gramática, tom, tradução ou edição corrente — os outputs que não alteram substancialmente o sentido daquilo que forneceste estão explicitamente excluídos do dever de marcação.
• Incorporar tu próprio marcas de água legíveis por máquina. Isso cabe ao prestador da ferramenta; não remover os metadados que as tuas ferramentas anexam é boa prática, e não uma obrigação declarada de quem implanta.
• Nomear um responsável de IA. Esse cargo não existe no regulamento.
• Registar as tuas ferramentas junto de uma autoridade nacional ou em qualquer base de dados da UE.
• Fazer uma avaliação da conformidade, manter um sistema de gestão da qualidade ou produzir documentação técnica.
• Preencher uma avaliação de impacto sobre os direitos fundamentais — isso visa implantações de alto risco por organismos públicos e alguns serviços regulados, não o rascunho de legendas.
• Identificar sugestões de agendamento, recomendações de melhor horário ou resumos de analytics derivados de IA.

Aplica-se se não estiveres na UE?

Muitas vezes, sim. O regulamento alcança os responsáveis pela implantação estabelecidos ou situados na União, e também os que estão em países terceiros quando o output do sistema de IA é usado na União. Uma agência do Reino Unido ou dos EUA a produzir vídeo gerado por IA para a audiência alemã de um cliente deve assumir que está abrangida. Para agências que trabalham redes sociais com apoio de IA em geografias mistas, um único padrão — o mais rigoroso — vale mais do que dois processos de conteúdo.

Sanções, na devida proporção

Os números das manchetes são grandes: até 35 milhões de euros ou 7% do volume de negócios anual global para as práticas proibidas, e até 15 milhões de euros ou 3% para a maioria das outras infrações, incluindo os deveres de transparência. Duas coisas moderam o pânico. Para PME e startups, o limite é o mais baixo entre o montante fixo e a percentagem, e não o mais alto. E uma agência pequena que identifica os seus avatares de IA e mantém um registo de formação não é o alvo.

O AI Act não é o teu único livro de regras

As políticas das plataformas são uma coisa à parte, contratual e global. A Meta, o TikTok e o YouTube têm cada um o seu sistema de identificação de conteúdo de IA, e os limiares deles não encaixam certinho nos do regulamento. O rótulo nativo de IA de uma plataforma costuma ser a forma mais limpa de cumprir as duas coisas de uma vez — vê a mecânica de cada rede onde publicas na nossa página de plataformas suportadas.

O RGPD continua a reger todos os dados pessoais que metes num modelo, e o direito do consumo continua a proibir práticas comerciais enganosas — sem dúvida um risco maior no mundo real para quem gera testemunhos com ar de falsos. As questões éticas em torno da IA no marketing de redes sociais não se resolvem só porque um regulamento traçou uma linha algures. A conformidade é o mínimo.

Como meter isto no teu SOP de publicação

Regras que vivem num documento de política e em mais lado nenhum não sobrevivem a uma semana cheia. Três movimentos práticos:

Acrescenta um campo de proveniência de IA ao teu briefing de conteúdo. Uma linha por asset: o que foi gerado por IA, com que ferramenta, se retrata alguma coisa real. É esse o teu rasto de prova. Integra-o no teu SOP de redes sociais para que vire memória muscular em vez de uma tarefa de conformidade à parte.

Coloca um humano identificado antes da publicação. Um fluxo de aprovação de conteúdo estruturado transforma o "nós revemos as coisas" numa afirmação defensável. No SocialKit, os fluxos de aprovação estão disponíveis nos planos Team e Enterprise, por isso o portão de validação fica dentro da fila de agendamento em vez de numa folha de cálculo paralela, e o calendário visual mostra o que continua à espera de revisão.

Trata a divulgação por plataforma, não em bloco. A mecânica de identificação muda de rede para rede: umas querem um toggle nativo, outras esperam uma linha dentro da legenda. Compor uma vez e personalizar a legenda por plataforma deixa-te anexar a divulgação certa a cada destino sem teres de manter onze rascunhos. O nosso guia sobre o que divulgar e como trata da redação; trata a colocação como parte das tuas barreiras de segurança na automação.

A tua checklist de uma página

1. Classifica-te. Responsável pela implantação em todas as ferramentas de IA de prateleira. Sinaliza para revisão jurídica tudo o que construíres e marcares como teu.
2. Lista as tuas ferramentas de IA. Para que está cada uma aprovada e que dados nunca lá podem ser colados.
3. Regista a formação em literacia de IA. Uma sessão datada com a lista de presenças. Repete quando a lista de ferramentas mudar de forma material.
4. Filtra as práticas proibidas. Nada de recolha de rostos, nada de inferência de emoções sobre a equipa, nada de categorização biométrica. Pergunta diretamente aos fornecedores.
5. Define uma regra para deepfakes. Qualquer meio fotorrealista gerado ou alterado por IA que possa passar por real é divulgado. Escreve a redação-padrão uma vez.
6. Regista a proveniência de cada asset. Ferramenta usada, o que foi gerado, se retrata alguma coisa real.
7. Exige a validação de um humano identificado antes de publicar. O maior peso pelo menor esforço.
8. Identifica a IA conversacional. Qualquer bot que responda a DMs ou comentários identifica-se logo de início.
9. Verifica os rótulos das plataformas em separado. Toggles nativos onde existem; divulgação na legenda onde não existem.
10. Integra tudo na tua política de redes sociais escrita em vez de manteres um documento de IA à parte que ninguém abre.
11. Nomeia um responsável e uma data de revisão. Uma política sem dono apodrece em dois trimestres.

A maioria das equipas vai descobrir que já cumpre sete ou oito destes pontos e que simplesmente nunca os escreveu. A lacuna é de documentação, não de comportamento — e a correção é uma tarde, não um projeto.

Se queres o portão de revisão e a divulgação por plataforma a viver ao lado do teu calendário, o SocialKit cobre as 11 redes em todos os planos, a partir de €29/mês no Solo (€17.40/mês em faturação anual, em agosto de 2026) com 7 dias de avaliação gratuita. Começa na página de preços e integra a etapa de revisão antes que se torne urgente.