O Código de Prática de GPAI da Lei de IA da UE é um quadro de governança voluntário desenvolvido no âmbito da Lei de Inteligência Artificial (Lei de IA) da União Europeia. Ele fornece orientação detalhada para provedores de modelos de IA de uso geral (GPAI), incluindo grandes modelos de linguagem e outros modelos de base, sobre como cumprir as obrigações regulatórias estabelecidas na Lei de IA. O código foi finalizado em 2025 após um processo de redação multissetorial, com o objetivo de traduzir requisitos legais de alto nível em práticas concretas e acionáveis para transparência, conformidade com direitos autorais e gestão de riscos sistêmicos.
O código não é juridicamente vinculativo por si só, mas presume-se que a conformidade com ele demonstre alinhamento com os requisitos da Lei de IA para modelos GPAI. Ele foi desenvolvido pelo AI Office, o órgão da UE responsável por supervisionar a regulamentação de GPAI, em colaboração com especialistas independentes, representantes da indústria e sociedade civil. A versão final foi publicada em julho de 2025, após uma consulta pública que atraiu mais de 430 contribuições de empresas, pesquisadores e grupos de defesa.
Contexto Histórico e Jurídico
A Lei de IA da UE, adotada em agosto de 2024, entrou em vigor em 1º de agosto de 2024, com a maioria das disposições sendo aplicada progressivamente. Modelos GPAI, definidos como modelos de IA treinados em dados em larga escala e capazes de realizar uma ampla gama de tarefas, estão sujeitos a obrigações específicas sob o Capítulo V da Lei. Essas obrigações incluem fornecer documentação técnica, publicar um resumo do conteúdo de treinamento e implementar políticas para respeitar a lei de direitos autorais da UE.
Para modelos GPAI com risco sistêmico - definidos como aqueles com poder computacional cumulativo superior a 10^25 operações de ponto flutuante (FLOPs) - requisitos adicionais se aplicam, como conduzir avaliações de modelos e testes adversariais. A Lei de IA determina que o AI Office facilite a criação de códigos de prática para detalhar como essas obrigações podem ser cumpridas. O Código de Prática de GPAI é o principal instrumento para esse fim.
Processo de Redação e Cronograma
O processo de redação começou em setembro de 2024, quando o AI Office lançou uma consulta para coletar contribuições sobre o escopo e o conteúdo do código. Em novembro de 2024, o AI Office nomeou quatro presidentes independentes: Yoshua Bengio, vencedor do Prêmio Turing e pioneiro em aprendizado profundo; Marietje Schaake, ex-membro do Parlamento Europeu; Alexander Peukert, professor de direito autoral; e Anja Feldner, especialista em políticas digitais. Esses presidentes lideraram grupos de trabalho focados em transparência, direitos autorais e risco sistêmico.
Quatro grupos de trabalho foram estabelecidos, cada um abordando uma área específica: disposições de transparência e direitos autorais, identificação e avaliação de riscos sistêmicos, mitigação técnica de riscos e governança e revisão. Cada grupo incluía representantes de grandes desenvolvedores de IA, como OpenAI, Anthropic, Google DeepMind e Microsoft (AI), bem como startups europeias, comunidades de código aberto e organizações da sociedade civil. Os grupos se reuniram regularmente de janeiro a abril de 2025, produzindo rascunhos sucessivos.
Um primeiro rascunho foi lançado em fevereiro de 2025, seguido por um segundo rascunho em abril de 2025. O AI Office realizou uma consulta pública sobre o segundo rascunho, recebendo feedback de mais de 430 partes interessadas. A versão final, incorporando revisões sobre questões como exclusões de direitos autorais e limites de risco sistêmico, foi adotada em 10 de julho de 2025.
Disposições Principais: Transparência e Direitos Autorais
O capítulo de transparência do código exige que os provedores de modelos GPAI mantenham documentação técnica detalhada, incluindo arquitetura do modelo, fontes de dados de treinamento e recursos computacionais utilizados. Os provedores também devem publicar um resumo suficientemente detalhado do conteúdo de treinamento, conforme exigido pela Lei de IA. O código especifica que esse resumo deve ser estruturado para permitir que os titulares de direitos identifiquem se suas obras foram usadas, sem revelar segredos comerciais proprietários.
Em relação a direitos autorais, o código determina que os provedores implementem uma política para cumprir a Diretiva da UE sobre Direitos Autorais no Mercado Único Digital (2019/790), incluindo a exceção de mineração de texto e dados e o mecanismo de exclusão. Os provedores devem fazer esforços razoáveis para garantir que os dados de treinamento não incluam obras onde os titulares de direitos reservaram explicitamente seus direitos por meios legíveis por máquina. O código também incentiva o uso de ferramentas técnicas, como robots.txt e registros de conteúdo, para facilitar as exclusões.
Para provedores que usam dados raspados da web, o código exige que eles mantenham um registro das fontes e respondam prontamente às solicitações dos titulares de direitos. Também sugere adotar um padrão de 'melhor esforço' para filtrar conteúdo com exclusão, reconhecendo que a conformidade perfeita é tecnicamente desafiadora. A versão final suavizou propostas anteriores para filtragem obrigatória, refletindo preocupações da indústria sobre viabilidade.
Gestão de Riscos Sistêmicos
O capítulo de risco sistêmico se aplica a modelos GPAI com poder computacional de treinamento cumulativo superior a 10^25 FLOPs, um limite estabelecido pela Lei de IA. Em 2025, isso inclui modelos como GPT-4 e GPT-5 da OpenAI, Claude 3 da Anthropic e Gemini Ultra do Google. O código exige que esses provedores conduzam avaliações rigorosas de modelos, incluindo testes de red team e testes adversariais, para identificar danos potenciais, como capacidades de ciberofensiva, criação de ameaças biológicas e perda de controle.
Os provedores devem implementar um sistema de gestão de riscos que inclua um quadro de avaliação de riscos, medidas de mitigação e protocolos de relato de incidentes. O código especifica que as avaliações devem ser conduzidas por terceiros independentes quando viável, e que os resultados devem ser compartilhados com o AI Office. Também exige que os provedores monitorem capacidades emergentes que possam escalar o risco após a implantação.
Uma disposição notável é o requisito para os provedores estabelecerem um 'plano de mitigação de riscos sistêmicos' que seja atualizado pelo menos anualmente. Este plano deve abordar riscos relacionados a ameaças químicas, biológicas, radiológicas e nucleares (CBRN), bem como ciberataques e manipulação. O código incentiva a colaboração com BAIR (Berkeley AI Research) e outras instituições acadêmicas para desenvolver benchmarks de avaliação.
Governança e Mecanismos de Conformidade
O código estabelece uma estrutura de governança sob o AI Office, que monitorará a adesão por meio de uma combinação de autoavaliação e auditorias. Espera-se que os provedores apresentem relatórios anuais de conformidade, e o AI Office pode realizar revisões direcionadas em resposta a reclamações ou riscos emergentes. O código também cria um 'Painel do Código de Prática de GPAI' composto por especialistas independentes para aconselhar sobre interpretação e atualizações.
Para modelos de código aberto, o código inclui uma seção especial que flexibiliza alguns requisitos de documentação, reconhecendo os diferentes perfis de risco de pesos abertamente liberados. No entanto, os provedores de código aberto ainda devem cumprir as obrigações de direitos autorais e as disposições de risco sistêmico se seus modelos excederem o limite computacional. O código incentiva o uso de model cards e datasheets, uma prática popularizada por MIT CSAIL e outros grupos de pesquisa.
A não conformidade com o código não aciona automaticamente penalidades, mas transfere o ônus da prova para o provedor para demonstrar meios alternativos de conformidade. A Lei de IA prevê multas de até 3% do faturamento anual global para violações das obrigações de GPAI, que podem ser aplicadas se um provedor falhar em cumprir os requisitos legais subjacentes.
Reações da Indústria e Adoção
Grandes empresas de IA expressaram apoio cauteloso ao código, embora algumas tenham levantado preocupações sobre o fardo administrativo e a viabilidade de certas medidas de direitos autorais. OpenAI e Anthropic emitiram declarações acolhendo a clareza fornecida pelo código, enquanto notaram que algumas disposições exigem desenvolvimento técnico adicional. Google DeepMind destacou a importância do alinhamento internacional, pois o código pode influenciar regulamentações em outras jurisdições.
Startups europeias, como Mistral AI e Aleph Alpha, foram mais críticas, argumentando que os requisitos de documentação do código poderiam desfavorecer players menores. A comunidade de código aberto, representada por grupos como Hugging Face, acolheu as disposições flexibilizadas para modelos abertos, mas pediu orientação mais explícita sobre o que constitui um resumo de dados de treinamento 'suficientemente detalhado'.
Organizações da sociedade civil, incluindo Access Now e European Digital Rights (EDRi), elogiaram a ênfase do código na transparência, mas instaram por mecanismos de aplicação mais fortes. Eles notaram que a natureza voluntária do código significa que os provedores poderiam escolher ignorá-lo, e pediram que o AI Office conduzisse auditorias proativas em vez de depender de autorrelato.
Relação com Outras Regulamentações e Padrões
O Código de Prática de GPAI é projetado para complementar outros instrumentos da UE, incluindo a Lei de Serviços Digitais e o Regulamento Geral de Proteção de Dados (GDPR). Ele também se alinha com iniciativas internacionais, como os Princípios de IA da OCDE e a Convenção-Quadro do Conselho da Europa sobre IA. O código referencia padrões técnicos em desenvolvimento pela CEN-CENELEC, os órgãos de padronização europeus, que fornecerão especificações mais granulares.
A abordagem do código para risco sistêmico baseia-se em metodologias da pesquisa em Deep learning, incluindo práticas de red team usadas em avaliações de segurança de Neural network. Também incorpora lições da literatura de Reinforcement Learning from AI Feedback (RLAIF) (aprendizado por reforço a partir de feedback de IA), que informou como os provedores podem alinhar modelos com diretrizes de segurança. O código incentiva os provedores a compartilhar resultados de avaliação com a comunidade de pesquisa, fomentando uma cultura de transparência.
Revisões Futuras e Impacto
O código é projetado para ser um documento vivo, com um ciclo de revisão a cada dois anos. A primeira revisão está agendada para 2027, quando o AI Office avaliará se o código reduziu efetivamente os riscos e se os limites precisam de ajustes. As disposições do código sobre direitos autorais e risco sistêmico provavelmente evoluirão à medida que as capacidades técnicas e as interpretações legais se desenvolvam.
Em final de 2025, o código já influenciou práticas corporativas. Vários provedores, incluindo OpenAI e Anthropic, publicaram relatórios iniciais de conformidade e atualizaram sua documentação de modelos para alinhar-se aos modelos do código. O código também serviu como referência para outras jurisdições, incluindo Canadá e Japão, que estão desenvolvendo quadros semelhantes para modelos de fundação.
O impacto de longo prazo do código dependerá da abordagem de aplicação do AI Office e da disposição dos provedores em engajar-se construtivamente. Embora o código seja voluntário, suas especificações detalhadas criam um forte incentivo para a conformidade, pois o desvio exigiria que um provedor justificasse medidas alternativas. Essa dinâmica levou alguns observadores a descrever o código como 'lei branda com arestas duras', refletindo seu potencial para moldar o comportamento da indústria de IA apesar de sua natureza não vinculativa.