A primeira distinção a compreender é entre provider e deployer. O provider desenvolve e coloca no mercado um sistema de IA; o deployer utiliza-o na sua própria atividade. A maioria das PME é deployer: usa ferramentas construídas por outros. As obrigações mais pesadas do regulamento — documentação técnica, gestão do risco, conformidade de produto — recaem sobre os providers. Ao deployer cabe sobretudo usar o sistema segundo as instruções, com uma supervisão humana adequada.
O segundo conceito-chave é a pirâmide do risco. As práticas proibidas (manipulação, social scoring) não dizem respeito à operação típica de uma PME. Os sistemas de alto risco tocam áreas precisas — seleção de pessoal, acesso ao crédito, infraestruturas críticas — e aí as obrigações crescem de facto. A maioria dos usos comerciais do dia a dia, como apoio ao cliente e marketing, enquadra-se antes nos níveis de risco limitado ou mínimo, onde a obrigação central é a transparência: as pessoas devem saber quando estão a interagir com uma IA.
O que fazer na prática, hoje: mapear onde já usa IA na empresa; verificar se as suas ferramentas declaram a sua natureza de IA nas conversas com os clientes; escolher fornecedores capazes de lhe dar documentação e rastreabilidade — um audit trail das ações dos agentes ajuda também aqui; formar as pessoas que usam estas ferramentas, porque a literacia em IA do pessoal está entre as primeiras obrigações já aplicáveis.
Disclaimer: os prazos e os detalhes de aplicação do regulamento evoluem, e o seu caso específico pode ter particularidades. Para decisões com impacto jurídico consulte um profissional qualificado.