Quando chegarão as primeiras coimas do Artigo 50 do Regulamento da UE sobre IA? Uma previsão baseada em dados

As regras de transparência da UE para conteúdos gerados por IA são exigíveis há três semanas. Nenhuma empresa foi sancionada — nem ao abrigo do Artigo 50, nem de qualquer outro artigo do Regulamento da IA, alguma vez. Este artigo analisa o que a lei, a máquina de fiscalização e três regimes precedentes dizem sobre como isso vai mudar.

Três semanas depois, o marcador está a zero — e esse facto diz muito

O Artigo 50 do Regulamento da IA tornou-se aplicável a 2 de agosto de 2026. Desde essa data, os fornecedores de sistemas de IA generativa têm de marcar os resultados de forma legível por máquina e detetável (art. 50.º, n.º 2); os utilizadores têm de divulgar visivelmente os deepfakes (art. 50.º, n.º 4); os textos gerados por IA publicados para informar o público têm de ser rotulados, salvo se tiverem passado por controlo editorial efetivo; e quem opera um chatbot tem de informar as pessoas de que estão a falar com uma máquina (art. 50.º, n.º 1). O Digital Omnibus (Regulamento (UE) 2026/1744) deixou tudo isto intacto, concedendo apenas um período de transição: os sistemas já colocados no mercado antes de 2 de agosto têm até 2 de dezembro de 2026 para cumprir o dever de marcação legível por máquina.

As orientações estão completas. As Orientações da Comissão sobre o Artigo 50, com 51 páginas, foram publicadas a 20 de julho de 2026; o Código de Práticas sobre a Transparência dos Conteúdos Gerados por IA foi finalizado a 10 de junho e declarado adequado a 8 e 9 de julho, com cerca de 190 signatários — incluindo a Anthropic, a Google, a Meta, a Microsoft, a Mistral e a OpenAI. A ausência mais notória dessa lista é a xAI. A defesa de que «não sabíamos o que significava conformidade» deixou de existir.

E, no entanto, o facto mais preditivo de que dispomos é este: as proibições do Regulamento da IA — o Artigo 5.º, o escalão mais severo de todo o regulamento, com 35 milhões de euros ou 7% do volume de negócios, sancionável há mais de um ano — produziram zero coimas. Se a conduta mais censurável do regulamento, com mais do dobro da coima do Artigo 50, ficou sem sanção durante dezoito meses, a probabilidade de base de uma coima rápida ao abrigo do Artigo 50 é baixa.

O Artigo 50 será aplicado pela camada menos preparada do sistema

Quem pode efetivamente aplicar uma coima ao abrigo do Artigo 50 importa mais do que o texto da lei. O AI Office, em Bruxelas — a entidade fiscalizadora mais mediatizada —, só tem competência sobre o Artigo 50 em casos restritos: sistemas construídos sobre um modelo de finalidade geral em que a mesma empresa fornece ambos e, desde o Omnibus, IA integrada em plataformas em linha de muito grande dimensão. Para todos os outros — praticamente todos os utilizadores e a maioria dos fornecedores de sistemas — a entidade competente é uma autoridade nacional de fiscalização do mercado. É esse o elo mais fraco: à data da última contagem oficial, apenas 8 dos 27 Estados-Membros tinham sequer notificado o seu ponto de contacto único e, em junho de 2026, seis Estados-Membros não tinham designado absolutamente nada.

O grau de preparação nos mercados que contam, em agosto de 2026:

• Alemanha — Bundesnetzagentur (lei KI-MIG em vigor desde 29 de julho de 2026). Pode aplicar coimas hoje: regime sancionatório operacional e com pessoal afeto, quatro dias antes do prazo.
• Itália — ACN (lei nacional de IA em vigor desde outubro de 2025). Quase: os decretos sancionatórios passaram no Conselho de Ministros a 4 de agosto de 2026 e aguardam apenas a publicação oficial; uma incriminação penal paralela do deepfake (1 a 5 anos) já se aplica.
• Espanha — AESIA, a primeira agência dedicada à IA da UE. Ainda não: a Lei Orgânica que lhe confere poderes sancionatórios continua no parlamento — e propõe tratar os conteúdos de IA não rotulados como infração grave, com coimas até 35 milhões de euros/7%.
• Polónia — KRBSI (lei publicada a 27 de julho de 2026). Ainda não: o capítulo sancionatório só se aplica a partir do final de outubro de 2026 e a presidência da comissão deverá ser nomeada até meados de outubro.
• Irlanda — o AI Office of Ireland coordena cerca de 15 autoridades setoriais (lei em vigor desde 31 de julho de 2026). Sim — mas todas as coimas têm de ser confirmadas pelo High Court, e dois reguladores essenciais continuam fora do mecanismo sancionatório.
• França — a DGCCRF coordena e a ARCOM corregula os conteúdos de IA. Incerto: o estatuto formal de designação continua a ser contestado.
• Países Baixos — AP / RDI. Não: o diploma de execução ainda estava em consulta pública em junho de 2026.
• Finlândia — Traficom e autoridades setoriais, com um conselho sancionatório próprio (lei em vigor desde 1 de janeiro de 2026). Sim — o regime mais completo da UE, com uma norma sancionatória expressa para o Artigo 50.
• Dinamarca — apenas uma lei restrita de 2025. Não, para efeitos do Artigo 50: a lei de IA completa caducou com a dissolução do parlamento para as eleições de março de 2026 e não há qualquer autoridade designada para a transparência.
• Áustria, Bélgica, Grécia — nenhuma autoridade designada.

Um pormenor estrutural aponta no sentido inverso e é subestimado: o Regulamento da IA não tem balcão único. Ao abrigo do RGPD, uma autoridade nacional agressiva pode ser desarmada em termos de competência quando a empresa se estabelece na Irlanda — foi exatamente assim que a coima de 15 milhões de euros aplicada pela Itália à OpenAI foi anulada em março de 2026. No modelo de fiscalização do mercado do Regulamento da IA, qualquer autoridade nacional pode atuar contra qualquer produto no seu mercado. Uma única autoridade motivada pode avançar sozinha.

Todos os novos regimes da UE seguem a mesma curva

• RGPD (aplicável desde maio de 2018): primeiras coimas pequenas, oficiosas, ao fim de 2 a 4 meses (um hospital português, uma casa de apostas austríaca); primeira coima de grande visibilidade ao fim de 8 meses (50 milhões de euros contra a Google, a partir de queixas de ONG apresentadas no primeiro dia).
• DMA (obrigações desde março de 2024): primeiras coimas ao fim de ~13 meses (500 milhões de euros à Apple, 200 milhões de euros à Meta, abril de 2025).
• DSA (obrigações das VLOP desde agosto de 2023): primeira coima ao fim de ~27 meses (120 milhões de euros contra a X, dezembro de 2025) — seguida de uma escalada rápida para 200 milhões de euros (Temu) e 550 milhões de euros (AliExpress) em oito meses.
• Artigo 5.º do Regulamento da IA (aplicável desde fevereiro de 2025): mais de 18 meses, zero coimas.

Dois pormenores deste historial são especialmente relevantes para o Artigo 50. Primeiro, as coimas mais precoces do RGPD resultaram de inspeções de rotina contra visados obscuros — a videovigilância de uma casa de apostas, os controlos de acesso de um hospital —, ao passo que a coima mediática só chegou meses depois, a partir de queixas estratégicas. Segundo, quando a Comissão finalmente aplicou à X uma coima de 120 milhões de euros ao abrigo do DSA, abandonou as ambiciosas acusações de desinformação e manteve apenas as três acusações de transparência tecnicamente verificáveis. Os reguladores sancionam aquilo que conseguem medir. A conformidade com o Artigo 50 — o ficheiro traz uma marca detetável, o chatbot divulga, o deepfake está rotulado — é das coisas mais mensuráveis que o direito tecnológico da UE tem para oferecer. Isso comprime os prazos assim que uma autoridade decide agir.

Seis previsões

1. As primeiras medidas de fiscalização chegam este inverno — e não serão coimas

(Confiança: elevada.) Conte com as primeiras atividades formais ao abrigo do Artigo 50 — pedidos de informação, ordens de conformidade, uma ação coordenada de rastreio a chatbots não divulgados ou a anúncios com deepfakes não rotulados — entre o 4.º trimestre de 2026 e o 2.º trimestre de 2027. A data desencadeadora é 2 de dezembro de 2026, quando termina o período de transição da marcação para os sistemas preexistentes e morre a defesa de que «a transição ainda não acabou», e quando entra em vigor a nova proibição das aplicações de nudificação. Até lá, os primeiros títulos sobre fiscalização visarão provavelmente Estados-Membros e não empresas: cartas de infração da Comissão aos mais de seis países que nunca designaram uma autoridade.

2. A primeira coima chega no segundo semestre de 2027

(Confiança: média-alta.) Dividindo a diferença entre a curva do RGPD (descentralizada, coimas pequenas em poucos meses) e a curva do DMA/DSA (13 a 27 meses), e descontando as autoridades que praticamente não existiam antes de julho de 2026, a janela mais provável para a primeira coima do Artigo 50 situa-se entre meados de 2027 e o início de 2028 — cerca de 12 a 18 meses após a data de aplicação. As nossas estimativas de probabilidade cumulativa de que pelo menos uma coima tenha sido aplicada: 5% até 2 de dezembro de 2026, 35% até agosto de 2027, 60% até dezembro de 2027, 85% até agosto de 2028.

3. Alemanha, Itália ou Espanha — por esta ordem de probabilidade

(Confiança: média.) A Bundesnetzagentur alemã é o único regulador de um grande mercado que entrou em agosto de 2026 com um quadro jurídico completo, pessoal dedicado e uma tradição de coimas administrativas que produz rotineiramente sanções pouco glamorosas. A Itália está a dias de se lhe juntar: os decretos sancionatórios foram aprovados definitivamente em Conselho de Ministros a 4 de agosto de 2026 e, assim que chegarem ao jornal oficial, a cultura de fiscalização de IA mais agressiva da UE fica totalmente armada — ainda que o Ministério Público possa nem precisar do Artigo 50, uma vez que os deepfakes lesivos não divulgados já constituem crime punível com até cinco anos de prisão. A AESIA espanhola torna-se o fiscalizador mais motivado no momento em que a sua Lei Orgânica passar no parlamento — é a única agência cujo estatuto fundador destaca expressamente os conteúdos de IA não rotulados, num escalão sancionatório com o dobro do previsto no próprio Regulamento da IA. O candidato surpresa é a Finlândia, o único Estado-Membro com um regime sancionatório do Artigo 50 completo e operacional desde janeiro de 2026, travado sobretudo por uma cultura de fiscalização contida.

4. Um pequeno utilizador de quem ninguém ouviu falar — não um laboratório de fronteira

(Confiança: elevada.) Os cerca de 190 signatários do Código de Práticas, incluindo todos os grandes fornecedores de modelos, compraram para si uma supervisão centrada na «adesão ao código», acrescida de uma circunstância atenuante expressa na fixação das coimas. Os perfis realistas dos primeiros visados, por ordem: um anunciante que veicula anúncios com avatares de IA ou endossos em deepfake não divulgados (uma violação visível e demonstrável do art. 50.º, n.º 4); um site de conteúdos que publica notícias escritas por IA sem rótulos e sem controlo editorial genuíno; e um chatbot de consumo sem qualquer divulgação de IA. Espere valores de cinco ou seis algarismos, não milhões — o limite aplicável às PME inverte-se para «o valor mais baixo» — e espere que a decisão seja impugnada e muito possivelmente anulada, como acontece frequentemente com as primeiras coimas de regimes novos.

5. A divulgação de deepfakes e de chatbots será sancionada antes da marcação legível por máquina

(Confiança: média-alta.) A rotulagem de deepfakes do art. 50.º, n.º 4, e a divulgação de chatbots do art. 50.º, n.º 1, são visíveis para as pessoas: uma captura de ecrã prova a infração, e as orientações da Comissão são explícitas ao afirmar que a marcação legível por máquina não pode substituir um rótulo visível de deepfake. O dever de marcação do art. 50.º, n.º 2, pelo contrário, está envolto em ressalvas como «tecnicamente viável, estado da arte», não tem por trás qualquer norma harmonizada — nem sequer está a ser elaborada, já que a marcação de conteúdos está inteiramente fora do mandato de normalização da UE para a IA — e o seu andaime de interoperabilidade só chega a 2 de fevereiro de 2027. Os fiscalizadores da primeira vaga escolherão a batalha que conseguem ganhar no papel. A fiscalização da marcação amadurece mais tarde — mas com mais dureza, porque a conformidade é binária e automatizável em escala.

6. A primeira grande sanção por conteúdos sintéticos não invocará sequer o Artigo 50

(Confiança: média.) A Comissão já está a instruir o caso de conteúdos sintéticos mais flagrante da Europa — as imagens sexuais geradas em massa pelo Grok — ao abrigo do DSA, onde detém poderes centralizados, um limite de 6% e dinâmica própria (três coimas num total de 870 milhões de euros em oito meses). A xAI é o único grande fornecedor fora do Código de Práticas sobre transparência e está sujeita a uma ordem de conservação de dados válida até ao final de 2026. A sequência mais provável: uma decisão ao abrigo do DSA contra a X em 2027, que funcionará como o precedente europeu em matéria de conteúdos sintéticos, com o Artigo 50 citado como contexto; a primeira coima de nove algarismos especificamente fundada no Artigo 50, se alguma vez chegar, virá em 2028 ou mais tarde.

Sinais que deslocariam estas datas

• Setembro–outubro de 2026 — reúnem-se os grupos de trabalho do Código de Práticas; o AI Office conclui a sua ronda de contratação de cerca de 40 pessoas para a fiscalização; os decretos sancionatórios italianos chegam ao jornal oficial; ativa-se o capítulo sancionatório polaco.
• Outono de 2026 — vigie os pacotes mensais de infrações da Comissão, à procura de cartas aos Estados-Membros que não designaram autoridade, e a Lei Orgânica espanhola a concluir a sua tramitação parlamentar.
• 2 de dezembro de 2026 — termina o período de transição da marcação para os sistemas preexistentes; a proibição da nudificação e da geração de CSAM entra em vigor no escalão de 35 milhões de euros/7%. A data mais provável para o anúncio de uma primeira investigação formal.
• 2 de fevereiro de 2027 — os signatários do Código têm de ter em funcionamento a deteção interoperável de marcas de água: o primeiro prazo de conformidade técnica objetivamente verificável.
• Ao longo de 2027 — conclusões preliminares do DSA sobre o Grok/X; a primeira queixa ao abrigo do art. 85.º tornada pública por uma ONG (os mecanismos de queixa abriram a 2 de agosto de 2026, e o precedente do RGPD diz que as queixas estratégicas chegam cedo e detonam mais tarde).

O que isto significa se tem de cumprir

A leitura racional de «ainda não há coimas» não é «ainda não há risco». O padrão em todos os regimes precedentes é um longo período de silêncio que termina abruptamente, com os primeiros visados escolhidos pela facilidade de prova e não pela gravidade — e com pedidos de informação, ordens e danos reputacionais a chegar muito antes das sanções.

A primeira coima será pequena, nacional e dirigida a alguém que ignorou tudo isto. A questão interessante nunca foi se ela chega — é se está posicionado para ser desinteressante quando ela chegar.