// OF-04 · Governar

Governação de IA e automação: usar agentes e ferramentas de IA sem perder o controlo.

Um diagnóstico de âmbito fechado para PME que já usam IA, ou estão a começar. Define quem aprova o quê, onde ficam as credenciais, o que fica registado e até onde um agente pode ir. Sai com uma política de utilização de IA aplicável e um plano curto.

O problema

A IA entrou nas empresas pela porta das ferramentas: assistentes de escrita, automações ligadas ao email e ao calendário, agentes com acesso a contas e documentos. Quase sempre chegou antes de haver regras.

As perguntas aparecem depois. Que dados estão a ser enviados para fora? Quem deu a um agente acesso à conta de faturação? Onde estão as chaves de API? Se uma automação errar, alguém dá por isso e consegue reverter?

Ao mesmo tempo, o AI Act (art. 4.º) obriga quem usa sistemas de IA a tomar medidas para apoiar a literacia em IA da equipa, uma obrigação que se aplica desde 2 de fevereiro de 2025 e é fiscalizada a partir de 2 de agosto de 2026, segundo a Comissão Europeia. O artigo foi alterado pelo Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026. A NIS2, no Decreto-Lei n.º 125/2025, trata os fornecedores de serviços digitais como parte da cadeia de abastecimento. A IA é um desses fornecedores.

O que analisamos

Inventário das ferramentas, agentes e automações de IA em uso, oficiais e não oficiais, e dos dados a que cada um acede.
Níveis de aprovação: o que pode ser automático, o que precisa de validação humana e o que nunca deve ser delegado.
Gestão de segredos: onde estão guardadas as chaves de API, tokens e palavras-passe usados pelas automações, e quem os pode ver.
Registo de decisões e ações: o que fica escrito, onde e durante quanto tempo, para conseguir explicar e reverter.
Limites a agentes: contas dedicadas, permissões mínimas, horários, orçamento e ações proibidas.
Fornecedores de IA na cadeia de abastecimento: contratos, localização dos dados, subcontratantes e plano de saída.

Como trabalhamos

Remoto e de âmbito fixo. Não instalamos nada nem pedimos acesso administrativo aos seus sistemas.

Questionário curto e duas a três sessões remotas com quem usa e quem gere as ferramentas.
Revisão de configurações e permissões a partir de exportações ou de sessões partilhadas.
Classificação das utilizações por risco e definição dos níveis de aprovação.
Validação do rascunho de política com a gestão antes de fechar.

O que recebe

Política de utilização de IA da empresa, curta e aplicável, em português e, se precisar, em inglês.
Matriz de níveis de aprovação por tipo de ação (automático, com aprovação, proibido).
Regras para gestão de segredos e para contas de agentes, com uma proposta de ferramenta adequada à sua dimensão.
Modelo de registo de decisões e de alterações.
Lista de fornecedores de IA com risco, dados envolvidos e plano de saída.
Plano de 90 dias e uma sessão de formação curta para a equipa, como medida de literacia em IA.

Para quem é

PME portuguesas, industriais ou de serviços, que já usam IA no dia a dia ou querem começar a usar agentes e automações com acesso a sistemas reais. Faz especial sentido quando a empresa está abrangida pela NIS2 ou trabalha para clientes que o estão.

Perguntas frequentes

Isto é uma auditoria ao AI Act?

Não. É um diagnóstico técnico e organizativo. Ajuda a cumprir a obrigação de literacia em IA e a preparar evidência, mas a qualificação jurídica dos seus sistemas deve ser feita com apoio jurídico.

Precisamos de ter agentes de IA para fazer sentido?

Não. Mesmo com ferramentas simples, como assistentes de escrita ou automações de email, vale a pena definir regras sobre dados, aprovações e credenciais antes de crescer.

Recomendam ferramentas específicas?

Só quando é útil, e sem ligação comercial a fabricantes. O foco é nas regras e nos controlos, que sobrevivem às mudanças de ferramenta.

Qual é a ligação à NIS2?

O regime exige gestão de riscos na cadeia de abastecimento, incluindo fornecedores de serviços digitais. Fornecedores de IA com acesso a dados ou sistemas entram nessa análise.

Fontes

Informação geral, não constitui aconselhamento jurídico.

Última atualização: novembro de 2026.