Requisitos da UE para sites em 2027: acessibilidade, cookies, IA

Que regras da UE se aplicam ao site de uma empresa: o mapa para 2027

O site de uma empresa da UE, ou com clientes da UE, fica sujeito a vários conjuntos de regras ao mesmo tempo. Não se substituem umas às outras e dizem respeito a partes diferentes do site. Reunimo-las num só mapa para que perceba o que perguntar ao advogado.

• Acessibilidade. Diretiva (UE) 2019/882, European Accessibility Act: aplica-se desde 28 de junho de 2025.
• Dados pessoais. O Regulamento Geral (RGPD): o que recolhe, para quê, como o comunica e como o protege.
• Cookies e rastreadores. A diretiva ePrivacy e a prática dos reguladores nacionais: consentimento antes de ativar a análise e a publicidade.
• Inteligência artificial. Regulamento (UE) 2024/1689, EU AI Act: obrigações de transparência para chatbots e conteúdo gerado.
• Dados do prestador e condições para consumidores. Por exemplo, o Impressum para sites dirigidos à Alemanha e à Áustria, e informação sobre as condições de pagamento, devolução e arrependimento.

Importante: não somos juristas e não emitimos pareceres jurídicos. Aqui expomos o que dizem os documentos oficiais e as análises de escritórios de advogados em outubro de 2026, e assinalamos onde as fontes divergem. Qualquer decisão sobre o seu site convém combiná-la com um advogado que conheça o seu mercado. Se está a começar o caminho com a empresa, comece pelo artigo como abrir uma empresa na Europa, e sobre o site para o banco leia que site o banco e o Stripe exigem para abrir conta.

European Accessibility Act: requisitos para sites e prazo de aplicação

O Ato da Acessibilidade aplica-se desde 28 de junho de 2025. Entre os serviços abrangidos está o comércio eletrónico: serviços prestados à distância, a pedido do consumidor, para celebrar um contrato de consumo. Segundo análises de escritórios de advogados, isto aplica-se também a empresas fora da UE, se venderem a consumidores na UE. Os sites que funcionam só para empresas (B2B) e não celebram contratos de consumo normalmente ficam fora do âmbito, mas a fronteira depende de como o site está construído.

O que se exige na prática

• A informação e as interfaces têm de ser percetíveis, utilizáveis, compreensíveis e robustas. A referência para verificação são as normas WCAG e a norma europeia EN 301 549.
• Todo o percurso do cliente: catálogo, descrição do produto, carrinho, pagamento, apoio.
• Uma declaração de acessibilidade publicada e procedimentos que mantenham a conformidade.
• Colaboração com a autoridade de fiscalização nacional quando solicitada.

Exceções

Para as microempresas prestadoras de serviços (menos de 10 trabalhadores e volume de negócios ou balanço até €2 milhões) está prevista uma exceção. Mas as análises divergem sobre como ela se aplica ao comércio eletrónico, e os países da UE transpuseram a diretiva para as leis nacionais de modos diferentes. Existe também uma exceção à parte para os casos em que o cumprimento dos requisitos é desproporcionadamente pesado ou altera a essência do serviço. Estas questões resolve-as um advogado, e não o título de um artigo.

O que fazer, para o programador: contraste, legendas nas imagens, estrutura de títulos, formulários com campos legendados, controlo por teclado, foco visível, ausência de armadilhas no menu. Isto prevê-se melhor na fase de design. O quadro geral das outras mudanças no desenvolvimento descrevemo-lo no artigo tendências de desenvolvimento web em 2027.

RGPD para sites: lista de verificação dos elementos obrigatórios

O RGPD aplica-se se tratar dados pessoais de pessoas na UE: através de um formulário de pedido, subscrição, conta, pagamento, análise, chat ou vídeo. A dimensão da empresa e o seu país não o afastam, se oferecer bens e serviços a pessoas na UE ou observar o seu comportamento. O mínimo para um site:

• Política de privacidade. Quem é, que dados recolhe, para quê, com que fundamento, a quem os transmite, durante quanto tempo os guarda, como a pessoa pode exercer os seus direitos. Em linguagem simples.
• Informação no formulário. Junto ao formulário, uma ligação clara para a política e, se for preciso, uma caixa de consentimento separada; não pode vir assinalada de antemão.
• Lista de serviços a quem transmite dados. E-mail, CRM, análise, alojamento, sistema de pagamento. Com eles são precisos contratos de tratamento de dados.
• O mínimo de dados. Não pergunte o que não é preciso para a tarefa.
• Segurança. HTTPS, acesso limitado, cópias de segurança, proteção dos formulários.
• Canais para pedidos das pessoas. Um endereço de e-mail para questões sobre dados e um processo claro de resposta.

Estes pontos incluímo-los por omissão nos sites, e os textos das políticas fazemo-los como modelos para a jurisdição: a verificação final cabe ao advogado do cliente. Nos países da UE há nuances e nomes próprios: na Alemanha é a Datenschutzerklärung, na Polónia o RODO, em Espanha a LOPDGDD. Não mudam o sentido, mas influenciam as formulações.

Aviso de cookies: o que verificam os reguladores

Os cookies e tecnologias semelhantes (pixéis, SDK) exigem o consentimento do visitante se não forem necessários para o funcionamento do site. A prática dos reguladores nos últimos anos tornou-se mais rigorosa. O CNIL francês sublinha que recusar cookies tem de ser tão simples como aceitar, e ordenou aos editores que alterassem avisos em que a recusa estava escondida ou desenhada para que o utilizador escolhesse «aceitar». A abordagem de países diferentes varia: por exemplo, se é necessário o botão de recusa na primeira camada do aviso. Os reguladores francês e britânico falam dele diretamente; outros, como o espanhol, são mais brandos nas formulações. Por isso oriente-se pelos requisitos do país a que o site se dirige.

Como é uma boa implementação

• Antes do consentimento não se carregam a análise, a publicidade nem vídeos de terceiros com rastreamento.
• Os botões «aceitar» e «recusar» são iguais no aspeto e ficam lado a lado.
• Há definições detalhadas por categorias e uma lista dos cookies utilizados.
• A escolha é guardada e fácil de mudar mais tarde.
• O idioma do aviso coincide com o da página.

Se não precisa de rastreadores, a solução mais simples é abdicar deles e usar uma análise sem cookies. Então o aviso pode ser mínimo. Mas a decisão sobre «se é preciso aviso» tome-a com um advogado no seu país.

EU AI Act e IA no site: o que já está em vigor

O Regulamento (UE) 2024/1689 foi introduzido por fases. Segundo análises de escritórios de advogados, a data principal é 2 de agosto de 2026: a partir dela passaram a aplicar-se as obrigações de transparência do artigo 50.º. Se o site tem um assistente de IA ou um chatbot, a pessoa tem de ser informada de que fala com IA, se isso não for óbvio. O conteúdo gerado por IA (imagens, som, vídeo, texto) deve ser assinalado de forma legível por máquina, e os deepfakes e alguns textos publicados para informar o público devem ser explicitamente marcados. Para sistemas lançados antes de 2 de agosto de 2026, as análises indicam um prazo transitório para a marcação até 2 de dezembro de 2026.

Os requisitos para sistemas de «risco elevado» (por exemplo, no recrutamento ou na avaliação de pessoas) foram, segundo as mesmas análises, adiados pelo «omnibus digital» (segundo as análises, Regulamento (UE) 2026/1744, publicado em julho de 2026) para 2 de dezembro de 2027 para certas categorias e para 2 de agosto de 2028 para as integradas em produtos. No site comum de uma pequena empresa, os sistemas de risco elevado quase não aparecem. Como nos baseamos em análises e não no texto das alterações, confronte as datas atuais no Jornal Oficial e com um advogado.

O que fazer no site: assinale o bot como IA na primeira mensagem, indique como contactar uma pessoa, não publique imagens geradas de pessoas como «clientes reais» e mantenha uma lista interna das ferramentas de IA que usa. Sobre o custo e o funcionamento dos bots escrevemos no artigo quanto custa um chatbot ou assistente de IA para empresas, e sobre como o site pode aparecer nas respostas dos serviços de IA, no artigo como aparecer nas respostas do ChatGPT: GEO em vez de SEO.

Impressum, dados da empresa e condições para consumidores

Para sites dirigidos à Alemanha e à Áustria é preciso o Impressum (menção legal): os dados do prestador do site, acessíveis sem esforço excessivo. A nota da IHK Ostwestfalen remete para o § 5 DDG. Normalmente o Impressum inclui o nome e a forma jurídica, a morada, o meio de contacto (e-mail e um segundo canal), os dados de registo e, se aplicável, o número de IVA e a pessoa responsável. A composição depende da atividade, por isso é verificada por um advogado.

Se vende a consumidores, o site deve ter condições claras: preços com impostos, formas de pagamento e de entrega, prazo e modo de devolução, informação sobre o direito do consumidor a desistir do contrato, contactos para reclamações. Não é uma «formalidade bonita»: é aqui que os bancos e os sistemas de pagamento olham, e os erros levam a litígios e coimas. Sobre o que o banco verifica escrevemos no artigo que site o banco e o Stripe exigem para abrir conta. Para um site novo com páginas legais para a jurisdição serve o «Site em 24 horas» por €599, e para um site com blogue e dois idiomas, o «Site para empresas» por €2 490.

Um conselho prático: monte o «dossiê do site», um só documento com a lista de páginas, formulários, serviços a que se transmitem dados, cookies utilizados e ferramentas de IA, a data da última verificação e o nome do responsável. Esse dossiê poupa tempo ao advogado, ajuda a responder depressa a um pedido do banco ou do regulador e mostra que leva os requisitos a sério. Deve atualizar-se a cada alteração relevante do site: um novo formulário, um novo serviço de análise, um novo widget. As infrações surgem muitas vezes não na criação do site, mas mais tarde, quando alguém acrescentou um script de que se esqueceu de falar ao advogado.

Lista de verificação: o site cumpre os requisitos da UE

Assinale os pontos que tem cumpridos. A lista é um instrumento de autoverificação, e não um parecer jurídico nem um certificado de conformidade. Se parte dos pontos ficar por assinalar, é motivo para falar com o advogado e o programador.

Como a elaborámos: tomámos os pontos que decorrem dos documentos e da prática dos reguladores acima referidos. Os pesos refletem a influência de cada ponto no risco. Para a verificação bancária há uma lista à parte no artigo sobre o banco e o Stripe.

O que escolher na sua situação

• Se vende a consumidores na UE. Comece pela acessibilidade e pelas condições de compra, depois cookies e políticas. É o que mais vezes verificam tanto os clientes como os bancos.
• Se o seu site é só um cartão de visita e um formulário de pedido. Bastam a política, um formulário correto e um aviso cuidado; a acessibilidade convém prevê-la na mesma.
• Se o site tem um chat de IA. Assinale-o como IA e dê um canal para falar com uma pessoa.
• Se o site é antigo. Encomende uma auditoria: a auditoria SEO por €490 mostra a base técnica, e a acessibilidade e os pontos jurídicos verificam-se à parte com um advogado.
• Se está a escolher quem fará o site. Leia como escolher uma agência web sem se enganar: pergunte como o fornecedor prevê a acessibilidade e a privacidade.
• Se quer perceber se todo o projeto está pronto. Faça o quiz «Está pronto para desenvolver o seu produto?»: dá uma análise personalizada e um desconto no desenvolvimento, com um código promocional que lhe chega por e-mail (não vale para o «Site em 24 horas»).

As regras e interpretações mudam, por isso verifique o estado atual na data da decisão. Os requisitos para clientes no seu país esclareça-os com um advogado; não emitimos pareceres jurídicos.