Código de IA da UE: o que muda para advogados

A maior parte dos escritórios de advogados ainda está a testar IA generativa em piloto interno, mas Bruxelas já está a escrever as regras do jogo. Em julho de 2025, a União Europeia lançou o Código de Boas Práticas para IA de Propósito Geral – um documento “voluntário” que, na prática, começa a definir como a conformidade em IA vai ser avaliada na Europa.

Para escritórios de advogados em Portugal, isto não é um tema teórico de Bruxelas. A forma como Microsoft, OpenAI e Meta respondem a este código vai influenciar:

• Que ferramentas de IA vão poder usar com segurança jurídica;
• Que perguntas vão começar a receber de clientes corporativos sobre risco de IA;
• Que tipo de serviços de legal advisory podem (e devem) desenvolver já em 2025.

Neste artigo da série “IA para Escritórios de Advogados em Portugal”, explico o que é o Código, porque é que não é “apenas soft law” e como um escritório português pode transformar este novo quadro regulatório em vantagem competitiva.

1. O que é o Código de IA da UE – e porque não é só teoria

O Código de Boas Práticas para IA de Propósito Geral é um instrumento voluntário que traduz os princípios do AI Act da UE em obrigações operacionais mais concretas para quem desenvolve e disponibiliza modelos de base (GPT‑4, Gemini, LLaMA, etc.).

Na prática, o Código antecipa como os reguladores europeus vão interpretar o AI Act e o que vão esperar em auditorias e investigações.

Pontos centrais do Código

O Código é especialmente relevante para modelos de uso geral (foundation models) e incide em quatro áreas-chave:

• Transparência
  Regras sobre documentação técnica, descritivos de capacidades e limitações, informação aos utilizadores empresariais e, em alguns casos, aos utilizadores finais.

• Direitos de autor
  Exigência de processos para gerir dados protegidos por copyright no treino de modelos, bem como mecanismos de opt-out e rastreabilidade.

• Avaliação e gestão de risco
  Obrigações de avaliação de risco sistémico, testes de robustez, mitigação de enviesamentos e monitorização contínua.

• Relato de incidentes
  Procedimentos para reportar incidentes significativos, abusos e falhas graves do sistema às autoridades competentes.

O Código não é ainda lei, mas funciona como rascunho operacional do futuro cumprimento do AI Act. Quem aconselha empresas que desenvolvem ou integram IA deve lê‑lo como um “spoiler” das próximas exigências formais.

2. Microsoft, OpenAI, Meta: lições estratégicas para advogados

A reação dos grandes players diz muito sobre o peso real do Código.

Porque é que Microsoft e OpenAI aderiram

Microsoft e OpenAI assinaram o Código. Não por altruísmo, mas por uma lógica jurídica muito simples: previsibilidade reduz risco.

• A Microsoft vive da confiança de departamentos jurídicos e de compliance europeus. Produtos como Copilot for Microsoft 365 só escalam em clientes empresariais se estes sentirem que o risco regulatório está controlado.
• Ao alinhar com o Código, a empresa envia um sinal claro a reguladores e clientes: “estamos a jogar pelas regras europeias, mesmo antes de serem obrigatórias”.

OpenAI segue a mesma linha: ao aderir, entra na conversa regulatória. Deixa de ser apenas alvo, passa a ser parceiro na construção das normas de conformidade em IA.

Para um escritório de advogados em Portugal, há aqui um ponto prático:
as soluções de IA mais atraentes para clientes corporate serão, tendencialmente, as que se aproximarem deste Código. Isto afeta:

• Vendor due diligence em projetos de transformação digital;
• Cláusulas contratuais em contratos de SaaS e de utilização de modelos de IA;
• Políticas internas que os departamentos legais vão pedir para justificar a adoção de IA.

Porque é que a Meta recusou – e o que isso sinaliza

A Meta escolheu o caminho oposto. Recusou assinar, alegando que o Código vai além do que o AI Act exige e cria incerteza jurídica e onerosidade operacional, podendo “estrangular” o desenvolvimento de IA de fronteira na Europa.

Esta postura está alinhada com a aposta da Meta em modelos open source (família LLaMA). A empresa quer máxima flexibilidade na forma como disponibiliza e itera os seus modelos, com o mínimo de entraves regulatórios.

Em termos jurídicos, a Meta aceita:

• Mais exposição reputacional na UE;
• Potencial atrito com reguladores;
• Risco acrescido de, mais tarde, se ver perante exigências de adaptação sob pressão regulatória.

Para advogados portugueses, isto significa que a escolha entre modelos open e fechados vai ter cada vez mais uma dimensão regulatória, não apenas técnica ou económica.

3. Onde entra Portugal: riscos e oportunidades para escritórios

Para escritórios de advogados em Portugal, o Código de IA da UE abre duas frentes de trabalho:

1. gestão de risco interno, 2) novos serviços para clientes.

3.1. Risco interno: o que o seu escritório deve fazer já

Mesmo que ainda não prestem consultoria em IA, a maioria dos escritórios já está a usar, pelo menos, alguma forma de IA generativa:

• Pesquisa jurídica assistida por IA;
• Resumos de acórdãos e peças processuais;
• Apoio à redação de minutas e cláusulas padrão;
• Ferramentas de produtividade em Office/Email com IA integrada.

À luz do Código e do AI Act, faz sentido que um escritório em Portugal trate o tema com o mesmo cuidado de proteção de dados pessoais há alguns anos.

Sugestão de plano mínimo em 4 passos:

1. Mapear o uso de IA no escritório

   • Que ferramentas estão a ser usadas (formais e “shadow IT”)?
   • Que tipos de dados dos clientes entram nesses sistemas?
   • Há transferência para fora da UE? Há dados sensíveis ou segredos de negócio?

2. Analisar fornecedores à luz do Código

   • O fornecedor aderiu ou está alinhado com o Código/AI Act?
   • Existe documentação de risco, políticas de incidentes, posição sobre direitos de autor?
   • Que garantias contratuais são dadas quanto a treino com dados do cliente?

1. Atualizar políticas internas e cláusulas contratuais

   • Incluir secções específicas sobre uso de IA em políticas de confidencialidade, BYOD e segurança da informação.
   • Rever cartas de compromisso e condições gerais para informar os clientes sobre eventual uso de IA em tarefas de suporte (sem revelar segredos, claro).

2. Formar a equipa

   • Sessões internas curtas sobre “o que posso ou não posso colocar num chatbot de IA”.
   • Guias práticos: exemplos de prompts proibidos, gestão de dados sensíveis, verificação humana obrigatória.

Um escritório que fizer isto em 2025 estará numa posição muito mais forte quando clientes começarem a exigir explicações formais sobre o uso de IA.

3.2. Novos serviços de consultoria em IA para clientes

O outro lado desta moeda é a oportunidade. O Código de IA cria terreno fértil para novas áreas de prática em escritórios portugueses, em particular junto de:

• Empresas tecnológicas e startups;
• Bancos, seguradoras, telecomunicações e energia;
• Setor público e entidades reguladas.

Alguns exemplos concretos de serviços que já fazem sentido:

• Due diligence de fornecedores de IA
  Apoiar departamentos de compras e jurídicos a avaliar se um fornecedor de IA está alinhado com o Código/AI Act:
  documentação, direitos de autor, riscos de viés, segurança.

• Revisão de políticas internas de IA
  Desenvolver ou rever políticas “AI Use Policy” para colaboradores, incluindo diretrizes para uso de ChatGPT‑like, ferramentas de produtividade e soluções específicas de negócio.

• Contratualização de IA em contratos B2B
  Cláusulas sobre:

  • responsabilidade por decisões automatizadas;
  • obrigações de transparência;
  • relato de incidentes;
  • propriedade intelectual sobre outputs gerados por IA.

• Programas de compliance em IA
  Para empresas que desenvolvem ou integram IA em escala, apoiar a criação de frameworks de compliance inspirados no Código: registos, avaliação de risco, processos de aprovação de casos de uso.

Quem se posicionar já como “o escritório que fala fluentemente AI Act + Código de IA” vai ganhar espaço num mercado que, em Portugal, ainda está pouco servido.

4. Entre lei dura e soft law: o verdadeiro risco para os clientes

O ponto mais relevante para a prática jurídica é este: o risco maior não é violar uma norma escrita, é ficar desalinhado com o que passa a ser o “standard esperado”.

O Código de IA, mesmo voluntário, tem um efeito muito concreto:

• Reguladores vão usá‑lo como referência em inspeções e orientações informais.
• Departamentos de compras vão, discretamente, transformar itens do Código em requisitos de RFP e vendor questionnaires.
• Parceiros e grandes clientes podem começar a exigir garantias de alinhamento com o Código como pré‑condição de negócio.

Para advogados, isto significa que a análise de risco de IA não pode olhar só para o texto do AI Act. Tem de considerar também:

• Códigos voluntários (como este);
• Guias de autoridades de proteção de dados;
• Normas técnicas (ISO/IEC sobre IA, por exemplo);
• Padrões que vão emergindo em contratos de mercado.

Este tipo de “soft law de IA” é, muitas vezes, o que realmente dita se um projeto avança ou fica bloqueado.

5. Como um escritório português pode posicionar-se em 2025

Há uma forma prática de ligar tudo isto à realidade de um escritório em Lisboa, Porto, Faro ou Braga: tratar IA como uma nova área de direito regulatório transversal, tal como muitos fizeram com RGPD há alguns anos.

Passos estratégicos para o escritório

1. Escolher uma equipa nuclear de IA & Direito
   Não precisa de um departamento de 10 pessoas. Basta um grupo pequeno (por exemplo, um sócio de TMT/Proteção de Dados, um associado de societário/comercial e alguém com gosto por tecnologia) com responsabilidade clara por este tema.

2. Estudar a fundo AI Act + Código de IA
   Ler os textos, acompanhar debates públicos, seguir posições de empresas como Microsoft, OpenAI e Meta. A meta é ser capaz de responder, sem hesitação, a três perguntas de qualquer cliente:

   • “O que é que isto significa para o meu negócio?”
   • “Quanto me pode custar em risco e em multas?”
   • “Que passos concretos devo dar em 6 meses?”

3. Criar materiais orientados para clientes portugueses

   • Briefings curtos, em português, dirigidos a setores específicos (banca, saúde, retalho).
   • Webinars ou sessões presenciais sobre “IA e responsabilidade” ou “Como escolher fornecedores de IA em conformidade com o AI Act”.

4. Usar IA no próprio escritório – com transparência
   Quando um escritório mostra que usa IA de forma responsável, com regras claras e supervisão humana, ganha autoridade para aconselhar outros.
   A própria experiência interna pode gerar case studies interessantes para clientes.

Conclusão: o Código da UE é um aviso prévio – e uma oportunidade

O Código de IA da UE é mais do que um documento voluntário. É um aviso prévio de como a conformidade em IA será avaliada nos próximos anos e um espelho das expectativas que reguladores e grandes empresas vão ter sobre qualquer solução de IA.

Para escritórios de advogados em Portugal, isto abre uma janela rara: quem aprender a ler e traduzir este Código para decisões de negócio concretas vai tornar‑se parceiro estratégico dos clientes na adoção de IA. E num mercado em que muitos ainda estão a tentar perceber “o que é exatamente o AI Act”, essa vantagem de tempo pode definir quem lidera a área de IA para advogados portugueses nos próximos 3 a 5 anos.

A pergunta que fica é simples: quando o próximo cliente lhe perguntar se a sua estratégia de IA está alinhada com o Código da UE, o seu escritório vai responder com um “estamos a ver” ou com um plano claro de ação?