A presidente da Comissão Europeia usou o discurso anual sobre o Estado da União para juntar dois temas que raramente aparecem na mesma frase: a próxima geração de modelos de inteligência artificial e o tempo que os adolescentes passam nas redes sociais. Ursula von der Leyen proferiu o discurso do Estado da União Europeia de 2026 a 16 de setembro de 2026, em Estrasburgo, e deixou um aviso pouco habitual vindo de uma chefe de executivo europeu: os modelos que estão a ser desenvolvidos vão permitir hacking a um nível que ninguém julgava possível, e em breve estarão nas mãos de adversários com uma visão do mundo muito diferente da europeia. Na mesma intervenção anunciou o EU Kids Act, a proposta que pretende fixar idades mínimas para o acesso autónomo às plataformas.
Resposta rápida: No discurso do Estado da União de 16 de setembro de 2026, Ursula von der Leyen avisou que os modelos de IA em desenvolvimento vão permitir ataques informáticos a uma escala sem precedentes e defendeu travões à fronteira tecnológica. Anunciou também o EU Kids Act, com proibição de redes sociais abaixo dos 13 anos e de contas pessoais abaixo dos 15. Para empresas e organizações em Portugal, a mensagem prática é dupla: reforçar defesas contra ataques automatizados e preparar a conformidade com regras de verificação de idade e de segurança desde a conceção.
O aviso sobre ataques informáticos potenciados por IA
O tom do discurso foi de otimismo condicionado. Von der Leyen afirmou ser otimista quanto ao potencial da IA para beneficiar a humanidade, mas sublinhou que esse potencial vem acompanhado de riscos enormes que têm de ser enfrentados primeiro. Usou linguagem invulgarmente dura para descrever os riscos de modelos cada vez mais capazes, incluindo o perigo associado a modelos capazes de se autoaperfeiçoarem.
Importa ser rigoroso quanto ao que foi dito: não houve referência a um incidente concreto, a uma campanha em curso ou a identificadores CVE. Trata-se de uma avaliação política de risco prospetivo, não de um alerta técnico do CERT.PT ou da ENISA. Ainda assim, a preocupação não é abstrata. A imprensa especializada noticiou, no mesmo dia, que o regulador espanhol descreveu um caso em que um agente de IA encadeou um início de sessão bem-sucedido, a descoberta de uma vulnerabilidade e o acesso a dados pessoais — o tipo de cadeia de ações que, até há pouco, exigia um operador humano.
Travar a fronteira: convite aos laboratórios e cooperação internacional
A resposta anunciada tem duas pernas. A presidente da Comissão defendeu um abrandamento no desenvolvimento da IA de fronteira e disse que irá convidar os principais laboratórios de IA para discutir como a UE pode apoiar esse esforço, tendo ainda comprometido a União num trabalho conjunto com o Canadá, o Reino Unido e outros parceiros em matéria de avaliação e verificação de modelos avançados, alerta precoce e segurança da IA.
A segunda perna é regulatória. A Comissão sublinhou a importância do Regulamento da IA para estabelecer as salvaguardas necessárias, com von der Leyen a argumentar que o objetivo é que a IA capacite as pessoas em vez de as substituir, dando como exemplo a mamografia assistida por IA, que apoia os médicos sem eliminar a supervisão humana. Houve também uma nota de realismo competitivo: a presidente defendeu que a Europa não precisa de desenvolver o modelo de fronteira líder mundial para retirar o maior valor da tecnologia.
EU Kids Act: o modelo por escalões etários
A parte mais mediática do discurso foi o anúncio do EU Kids Act. Sem redes sociais abaixo dos 13 anos e sem conta pessoal abaixo dos 15; entre os 13 e os 15, apenas «mini contas» criadas e supervisionadas pelos pais, com funcionalidades limitadas e restrição de tempo a uma hora por dia; entre os 15 e os 18, a segurança desde a conceção passa a ser obrigação das plataformas.
| Escalão etário | Regra anunciada |
|---|---|
| Menos de 13 anos | Sem acesso a redes sociais |
| 13 a 14 anos | «Mini contas» criadas e supervisionadas pelos pais, funcionalidades limitadas, uma hora por dia |
| 15 a 17 anos | Conta pessoal permitida, com obrigação de safe design para as plataformas |
O âmbito é mais largo do que o debate público sugere. A proposta de regulamento foi apresentada em detalhe a 17 de setembro de 2026 pela presidente da Comissão e pela vice-presidente executiva Henna Virkkunen, e o seu âmbito não se limita às redes sociais: abrange também plataformas de partilha de vídeo, jogos online e chatbots e companheiros baseados em IA. A Comissão pretende inverter o ónus da prova, obrigando as plataformas a demonstrar que os seus serviços são seguros para menores em vez de caber aos reguladores provar que são nocivos, e anunciou ainda um Digital Fairness Act para o outono, dirigido às funcionalidades de design aditivo que afetam todos os utilizadores. O texto é uma proposta legislativa: terá de ser negociado com o Parlamento Europeu e o Conselho antes de produzir efeitos.
Verificação de idade sem entregar o cartão de cidadão
A objeção clássica a estas regras é de privacidade: verificar idades implica identificar toda a gente? A arquitetura europeia tenta responder a isso. A Comissão já desenvolveu um sistema europeu de verificação de idade, tecnicamente pronto e concebido para ser adaptado por cada Estado-membro ou por fornecedores privados, esperando-se que esteja disponível em toda a UE até ao final de 2026; o documento de identificação é usado para estabelecer a idade dentro do sistema, mas essa informação não é partilhada com as plataformas, que recebem apenas um certificado a atestar que o utilizador tem mais de 15 anos. As especificações técnicas do sistema foram publicadas a 14 de julho de 2025 e a Comissão adotou depois uma recomendação não vinculativa para que os Estados-membros implementem aplicações de verificação respeitadoras da privacidade até 31 de dezembro de 2026.
O caminho não é isento de riscos jurídicos, como se viu em França. Os legisladores franceses aprovaram a 21 de julho de 2026 uma proibição de acesso a menores de 15 anos, depois de retirarem a cláusula que obrigava as plataformas a construir sistemas de verificação de idade; o Conselho Constitucional chumbou a lei a 14 de agosto de 2026, dezoito dias antes de esta ser aplicável, tendo o Governo francês submetido uma proposta nacional reformulada a 14 de setembro.
Cronologia dos principais marcos
| Data | Acontecimento |
|---|---|
| 14/07/2025 | Publicação das especificações técnicas do sistema europeu de verificação de idade |
| 04/12/2025 | Publicação em Portugal do Decreto-Lei n.º 125/2025 (transposição da NIS2) |
| Fevereiro de 2026 | Aprovação na generalidade, na Assembleia da República, do Projeto de Lei 398/XVII/1 |
| 03/04/2026 | Entrada em vigor do Regime Jurídico da Cibersegurança |
| 14/08/2026 | Conselho Constitucional francês chumba a lei nacional sobre menores de 15 anos |
| 16/09/2026 | Discurso do Estado da União: aviso sobre hacking com IA e anúncio do EU Kids Act |
| 17/09/2026 | Apresentação detalhada da proposta de regulamento EU Kids Act |
| 31/12/2026 | Prazo recomendado para implementação nacional de aplicações de verificação de idade |
Porque é que isto importa em Portugal
Portugal já tinha aberto esta discussão antes de Bruxelas. A Assembleia da República tem em apreciação o Projeto de Lei 398/XVII/1, sobre proteção de crianças em ambientes digitais, aprovado na generalidade em fevereiro de 2026; atualmente, a Lei n.º 58/2019 permite que o tratamento de dados de crianças na oferta direta de serviços da sociedade da informação assente no consentimento da própria a partir dos 13 anos, e a Comissão Nacional de Proteção de Dados referiu, em abril de 2026, que a proposta em discussão prevê elevar dos 13 para os 16 anos a idade mínima de consentimento, criar mecanismos de verificação de idade e impor restrições de acesso a determinados serviços digitais. Segundo o noticiado sobre o diploma, a fiscalização caberia à ANACOM e à CNPD, com coimas até dois milhões de euros ou 2% do volume de negócios anual mundial. Há, portanto, uma questão em aberto de articulação entre o futuro quadro europeu e a iniciativa nacional — e o tratamento de dados de menores continua a ser matéria sensível ao abrigo do RGPD.
Do lado da defesa, o aviso sobre ataques automatizados encontra as organizações portuguesas em pleno processo de conformidade com o novo Regime Jurídico da Cibersegurança, que transpõe a NIS2. O Decreto-Lei n.º 125/2025 foi publicado a 4 de dezembro de 2025 e entrou em vigor a 3 de abril de 2026. Uma das primeiras etapas passa pelo registo na plataforma MyCiber, dispondo as entidades, segundo o coordenador do CNCS, de 60 dias úteis para efetuar o registo e a autoidentificação. Com a publicação do regulamento do CNCS iniciou-se ainda a contagem do prazo legal de 24 meses para a produção de efeitos das medidas de cibersegurança e da obrigatoriedade de comunicação do relatório anual pelas entidades essenciais.
Na prática, para PME e equipas de segurança, as prioridades não mudam por causa da IA — ficam apenas mais urgentes:
- Reduzir a superfície exposta e encurtar o tempo entre a divulgação de uma vulnerabilidade e a aplicação do patch.
- Impor autenticação multifator resistente a phishing em todos os acessos privilegiados e remotos.
- Inventariar agentes de IA e integrações com permissões sobre sistemas internos, tratando-os como identidades a auditar.
- Testar os procedimentos de notificação de incidentes ao CNCS/CERT.PT e, quando haja dados pessoais envolvidos, à CNPD.
- Para quem opera serviços acessíveis a menores, começar a mapear requisitos de verificação de idade e de segurança desde a conceção.
Perguntas frequentes
O que disse exatamente von der Leyen sobre hacking com IA?
No discurso do Estado da União, a 16 de setembro de 2026, afirmou que os modelos em desenvolvimento permitirão ataques informáticos a um nível que não se julgava possível e que chegarão em breve às mãos de adversários. Não identificou incidentes concretos nem vulnerabilidades específicas.
O EU Kids Act já está em vigor?
Não. É uma proposta de regulamento apresentada pela Comissão Europeia a 17 de setembro de 2026, que terá de ser negociada e aprovada pelo Parlamento Europeu e pelo Conselho antes de se aplicar.
A verificação de idade obriga a entregar o cartão de cidadão às plataformas?
No modelo europeu, não. O documento é usado dentro do sistema para estabelecer a idade, mas a plataforma recebe apenas um certificado que atesta que o utilizador tem idade suficiente, sem aceder à data de nascimento.
O que devem fazer já as organizações em Portugal?
Concluir o registo e a autoidentificação na plataforma MyCiber, quando aplicável, designar responsável de cibersegurança e ponto de contacto, e reforçar gestão de vulnerabilidades, autenticação multifator e deteção, preparando-se para ataques mais rápidos e automatizados.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Comissão Europeia, pelo Parlamento Europeu, pelo CNCS, pela CNPD e pela Assembleia da República.