Câmaras inteligentes e AI Act: a segurança física entra numa nova fase de transparência

2 de agosto de 2026 marca uma mudança de linguagem para os responsáveis de segurança. Durante anos, a conversa sobre uma câmara inteligente centrou-se sobretudo no desempenho: alcance, imagem noturna, alertas, deteção de intrusão, integração com alarmes ou acesso remoto. A partir desta etapa de aplicação do AI Act, a questão profissional passa a ser mais ampla: o que faz o sistema com as pessoas que capta, como essa função é explicada e quem pode contestar, interpretar ou parar o resultado?

A Comissão Europeia anunciou em 31 de julho que o AI Office e as autoridades nacionais começariam, em 2 de agosto de 2026, a aplicar novas regras do regulamento, incluindo obrigações de transparência. Para organizações que gerem instalações, frotas, redes, armazéns, edifícios corporativos ou perímetros sensíveis, não se trata de transformar cada câmara num problema jurídico. Trata-se de reconhecer que “IA” já não é uma menção comercial neutra quando influencia a observação, a classificação ou a decisão relativa a pessoas.

O ponto essencial é evitar dois reflexos igualmente errados: assumir que toda a videovigilância com análise automática é proibida, ou concluir que uma instalação é inofensiva porque não grava explicitamente um nome. O AI Act trabalha com finalidade, contexto e impacto. E a segurança profissional precisa agora de traduzir esses critérios em decisões técnicas, contratuais e operacionais.

A mudança não está na lente: está na função atribuída à imagem

Uma mesma câmara pode ter enquadramentos muito diferentes consoante a configuração. Uma instalação que apenas assinala movimento numa vedação ou a presença humana numa zona restrita não equivale, por si só, a um sistema que compara rostos, agrupa pessoas segundo características biométricas ou tenta inferir emoções e intenções.

A Comissão Europeia sublinha esta distinção nas suas explicações sobre biometria. Uma câmara térmica usada unicamente para identificar presença humana, sem identificar indivíduos nem tratar dados biométricos, pode ficar fora da categoria de alto risco. Em contraste, um sistema de vigilância ou proteção perimetral com IA que proteja diretamente uma infraestrutura crítica — por exemplo, uma rede de energia — pode integrar o campo dos sistemas de alto risco.

Esta nuance tem consequências muito concretas. “Deteção de intrusão” descreve uma função orientada para um evento. “Reconhecimento facial” descreve uma função orientada para uma pessoa. “Análise comportamental” pode situar-se entre as duas, mas merece uma leitura cuidadosa: que comportamento é sinalizado, com que grau de certeza, para que decisão posterior e com que possibilidade de revisão humana?

É por isso que o inventário de segurança não pode limitar-se à lista de dispositivos físicos. Tem de incluir as funcionalidades efetivamente ativas, as integrações cloud, as regras de alerta e as opções que o fornecedor disponibiliza, mesmo que ainda não estejam ligadas. Um sistema “biometric-ready” não deve ser comprado como se essa capacidade fosse irrelevante: a possibilidade de a ativar muda o tipo de análise que a organização deve fazer antes da aquisição ou evolução.

O artigo 50 traz a transparência para o terreno

Desde 2 de agosto de 2026, aplicam-se obrigações de transparência previstas no artigo 50 do AI Act para determinados sistemas de IA. Segundo as orientações da Comissão, o âmbito inclui, entre outros casos, situações em que pessoas são expostas a reconhecimento de emoções ou a categorização biométrica. Abrange também sistemas interativos e conteúdos gerados ou manipulados por IA, incluindo deepfakes.

Na segurança física, isto obriga a abandonar a ideia de que uma placa genérica sobre “zona vigiada” resolve todas as situações. Esse aviso pode continuar a ser relevante no quadro de proteção de dados, mas não substitui a avaliação específica de uma funcionalidade de IA nem, quando aplicável, a informação que deve ser dada às pessoas expostas.

O desafio é prático: a transparência precisa de ser compreensível sem revelar pormenores operacionais que fragilizem o dispositivo de segurança. Explicar que uma zona utiliza determinada categoria de tratamento automatizado, indicar a finalidade legítima e disponibilizar um ponto de contacto pode ser mais útil do que uma sinalética vaga ou excessivamente técnica. A formulação concreta deve ser validada com as equipas jurídica e de proteção de dados, à luz do contexto e da legislação nacional aplicável.

Biometria: a fronteira que exige mais prudência

A biometria concentra os casos mais sensíveis porque faz a ponte entre uma imagem e características associadas a uma pessoa. Nem toda a análise de vídeo é biométrica, mas a diferença precisa de ser demonstrável, não apenas afirmada numa reunião comercial.

Há uma diferença operacional clara entre contar entradas, detetar uma pessoa junto de uma porta fora de horário e identificar essa pessoa por comparação facial. Há também distância entre verificar uma credencial num controlo de acesso e construir categorias com base em traços físicos ou inferir estados emocionais. Cada salto aumenta a exigência de justificação, documentação e controlo.

O AI Act prevê regras particularmente estritas para a identificação biométrica remota em tempo real em espaços acessíveis ao público para fins policiais. Nos casos excecionais admitidos, cada utilização requer autorização prévia de uma autoridade judicial ou administrativa independente, uma avaliação de impacto sobre os direitos fundamentais e outras medidas de registo e notificação previstas no regulamento. Este regime diz respeito às autoridades policiais, mas oferece uma indicação importante ao setor privado: quando a tecnologia se aproxima da identificação remota em espaços públicos, o nível de sensibilidade jurídica e social sobe de forma acentuada.

Para empresas e organizações, o bom critério não é perguntar apenas “a solução consegue reconhecer rostos?”. A pergunta mais útil é: “precisamos mesmo desta função para cumprir a finalidade de segurança definida?”. Muitas vezes, uma arquitetura baseada em zonas, deteção de presença, verificação posterior de imagens e um alarme anti-intrusão devidamente configurado alcança o objetivo operacional com menor exposição.

Infraestruturas críticas: começar agora, mesmo com prazos posteriores

O calendário do AI Act é progressivo. As obrigações aplicáveis aos sistemas de alto risco do Anexo III têm, segundo o quadro de aplicação da Comissão, uma data posterior, 2 de dezembro de 2027. Para sistemas de IA integrados em produtos regulados, a aplicação é indicada para 2 de agosto de 2028. Esta progressividade não justifica uma espera passiva.

Operadores de energia, água, transportes, telecomunicações, cloud ou instalações industriais sensíveis já têm uma razão sólida para mapear as tecnologias utilizadas na proteção direta das suas infraestruturas. Uma ferramenta de análise perimetral pode parecer um componente menor de uma arquitetura muito maior; porém, se influencia a deteção e resposta a um incidente que afeta um serviço essencial, a sua finalidade deve ser examinada com atenção.

O trabalho útil em 2026 não é tentar antecipar cada detalhe de conformidade futura num documento abstrato. É garantir que a organização consegue responder a perguntas básicas: que modelos estão em uso, de onde vêm, em que dados e cenários foram testados, que eventos podem gerar, quem os recebe e quais são os limites conhecidos. Sem estas respostas, será difícil demonstrar posteriormente uma supervisão humana real.

Supervisão humana não é um botão decorativo

Uma das mensagens mais relevantes do AI Act para a segurança profissional é que automatizar um alerta não significa automatizar a responsabilidade. Nos sistemas de alto risco, a supervisão humana deve permitir monitorizar o funcionamento, interpretar corretamente os resultados, intervir ou interromper o sistema e, se necessário, ignorar ou reverter uma decisão.

Na prática, isto muda o desenho das salas de controlo e dos procedimentos de resposta. Um operador não deve receber apenas uma indicação de “ameaça”. Deve poder saber que tipo de sinal levou ao alerta, consultar informação contextual e registar a decisão tomada. Se a ferramenta falha repetidamente num determinado ambiente — reflexos, chuva, fluxo intenso de pessoas, uniforme de trabalho ou iluminação variável — esse comportamento deve alimentar a revisão da configuração, não tornar-se rotina silenciosa.

Também importa separar alerta de ação. A IA pode priorizar imagens para análise; não deve, por defeito, fechar uma investigação, restringir o acesso de alguém ou produzir uma conclusão irreversível sem a intervenção proporcional de uma pessoa qualificada. Para além da conformidade, esta separação protege a qualidade operacional: falsos positivos não são apenas um incómodo técnico, podem desgastar equipas, perturbar utilizadores e desviar recursos de incidentes reais.

Contratar segurança com IA passa a significar pedir provas

Esta nova fase altera a relação entre comprador, integrador e fornecedor. Já não basta receber uma ficha comercial com expressões como “deteção inteligente”, “analytics avançados” ou “IA de última geração”. Nas aquisições e renovações, a organização deve pedir uma descrição clara da finalidade do sistema, das funções ativas, das limitações conhecidas, da qualidade dos registos e do papel reservado ao operador humano.

Quatro perguntas que merecem constar da conversa com o fornecedor

• Que tratamento é realizado? Deteção de movimento, presença, objetos, comportamento, dados biométricos, emoções ou categorização não são expressões intercambiáveis.
• Que dados ficam registados? É necessário perceber que imagens, metadados, alertas e logs são conservados, por quanto tempo e com que controlos de acesso.
• Como é feito o acompanhamento do sistema? Atualizações de modelo, alterações de configuração e correções de desempenho devem ter responsáveis, histórico e critérios de validação.
• O que pode fazer o operador? A interface deve permitir compreender o alerta, validar a ocorrência, suspender uma função e documentar uma decisão humana.

Estas perguntas não substituem aconselhamento jurídico nem a análise do RGPD. O AI Act não elimina as obrigações de proteção de dados: quando imagens ou dados biométricos permitem identificar pessoas, o enquadramento de privacidade continua plenamente relevante. Mas a conversa técnica deixa de poder ignorar a prestação de contas.

Uma oportunidade para desenhar segurança mais defensável

Há uma leitura simplista segundo a qual as novas regras só acrescentam burocracia à segurança física. É uma visão curta. Uma instalação capaz de explicar a sua finalidade, limitar funções desnecessárias, formar os operadores e manter registos úteis é também uma instalação mais fácil de auditar, corrigir e defender perante clientes, trabalhadores, parceiros e autoridades.

A prioridade não é substituir precipitadamente toda a tecnologia existente. É distinguir a videovigilância com fios ou conectada que cumpre uma função de observação proporcional das funcionalidades de IA que introduzem classificação, inferência ou identificação com consequências mais amplas. Em paralelo, qualquer política de segurança deve considerar o risco inverso: a utilização não autorizada de meios de captação em instalações. A revisão dos ambientes sensíveis pode integrar medidas de contraespionagem, sempre dentro de um enquadramento legal e organizacional adequado.

O verdadeiro efeito do AI Act é, portanto, elevar o nível da pergunta inicial. Antes de instalar, renovar ou ativar uma função inteligente, não basta questionar se a tecnologia funciona. É preciso saber para que serve, sobre quem atua, qual o seu limite e quem responde quando o resultado merece ser contestado. Na segurança física de 2026, transparência e supervisão deixam de ser anexos administrativos: passam a fazer parte da arquitetura do sistema.

Sources

• Comissão Europeia, Commission starts enforcing AI Act rules and new transparency requirements on 2 August: https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-august
• Comissão Europeia, The enforcement framework of the AI Act: https://digital-strategy.ec.europa.eu/en/policies/enforcement-ai-act
• Comissão Europeia, Guidelines on transparency obligations for providers and deployers of certain AI systems: https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations
• AI Act Service Desk, Article 5: Prohibited AI practices: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-5
• AI Act Service Desk, Biometrics: https://ai-act-service-desk.ec.europa.eu/en/biometrics
• AI Act Service Desk, Critical Infrastructure: https://ai-act-service-desk.ec.europa.eu/en/critical-infrastructure