A Lei de Inteligência Artificial da União Europeia (Lei de IA da UE) estabelece um quadro baseado em risco para regular sistemas de inteligência artificial no mercado da UE. Adotada em 2024, a regulamentação classifica as aplicações de IA em quatro níveis - risco inaceitável, alto, limitado e mínimo - com obrigações correspondentes que escalam conforme o dano potencial à saúde, à segurança e aos direitos fundamentais. Essa abordagem em níveis visa fomentar a inovação, garantindo a implantação confiável de tecnologias de inteligência artificial.
A Lei se aplica a provedores, implantadores, importadores e distribuidores de sistemas de IA que operam na UE, independentemente de onde estejam sediados, se seus resultados forem usados dentro da União. Ela também abrange modelos de IA de propósito geral, incluindo modelos de linguagem de grande escala, que estão sujeitos a requisitos de transparência e direitos autorais.
Nível de Risco Inaceitável
O nível mais alto proíbe práticas de IA que representem risco inaceitável aos valores e direitos fundamentais da UE. Isso inclui pontuação social por autoridades públicas, identificação biométrica remota em tempo real em espaços publicamente acessíveis (com exceções restritas para aplicação da lei), técnicas manipulativas que exploram vulnerabilidades (por exemplo, idade ou deficiência) e policiamento preditivo baseado apenas em perfilamento. Sistemas nessa categoria são banidos diretamente, com derrogações limitadas para segurança nacional e certos cenários de aplicação da lei, sujeitas a autorização judicial.
Nível de Alto Risco
Sistemas de IA de alto risco enfrentam as obrigações mais extensas. Isso inclui IA usada em infraestrutura crítica (por exemplo, transporte, energia), educação e treinamento vocacional, emprego e gestão de trabalhadores, serviços privados e públicos essenciais (por exemplo, pontuação de crédito, saúde), aplicação da lei, migração e asilo, e processos democráticos. Os provedores devem implementar um sistema de gestão de risco, usar dados de treinamento de alta qualidade, manter documentação técnica, permitir supervisão humana e garantir robustez e segurança cibernética. Eles também devem se registrar em um banco de dados da UE e passar por avaliação de conformidade, frequentemente envolvendo avaliação de terceiros para certas aplicações.
Os implantadores de sistemas de alto risco devem usá-los de acordo com as instruções, monitorar incidentes e conduzir avaliações de impacto em direitos fundamentais quando usados em setores públicos. Sistemas de alto risco também devem ser projetados para funcionar com supervisão humana, permitindo que operadores intervenham ou anulem resultados.
Nível de Risco Limitado
O risco limitado se aplica a sistemas de IA que interagem com humanos, como chatbots, deepfakes e sistemas de reconhecimento de emoções. Esses estão sujeitos a obrigações de transparência: os usuários devem ser informados de que estão interagindo com uma IA, e deepfakes devem ser rotulados como gerados artificialmente. Esse nível visa prevenir engano e garantir consentimento informado, sem requisitos substantivos adicionais.
Nível de Risco Mínimo
A maioria das aplicações de IA, como filtros de spam, IA de videogames ou gestão de inventário, cai no nível de risco mínimo. Elas não estão sujeitas a obrigações específicas sob a Lei, embora códigos de conduta voluntários sejam incentivados. Esse nível reflete a intenção da UE de evitar regulamentação excessiva de usos de baixo impacto, permitindo que a inovação prossiga com carga burocrática mínima.
Modelos de IA de Propósito Geral
A Lei introduz um regime separado para modelos de IA de propósito geral (GPAI), que incluem modelos de fundação como os da OpenAI, Anthropic e Google DeepMind. Todos os modelos GPAI devem fornecer documentação técnica e cumprir a lei de direitos autorais. Modelos com risco sistêmico (treinados com mais de 10^25 FLOPs) enfrentam obrigações adicionais, incluindo testes adversariais, relato de incidentes e medidas de segurança cibernética. A Comissão Europeia, em consulta com um Escritório de IA, designa modelos de risco sistêmico.
Governança e Fiscalização
A Lei estabelece um Conselho Europeu de Inteligência Artificial, composto por autoridades nacionais de supervisão, para garantir aplicação consistente. Cada estado-membro da UE designa uma autoridade nacional para vigilância de mercado. As multas por não conformidade são escalonadas: até €35 milhões ou 7% do faturamento global para práticas proibidas, €15 milhões ou 3% para a maioria das outras violações, e €7,5 milhões ou 1,5% para fornecimento de informações incorretas. Pequenas e médias empresas recebem multas reduzidas e documentação simplificada.
Cronograma e Implementação
A Lei entrou em vigor em 1º de agosto de 2024, com implementação em fases. As proibições de risco inaceitável se aplicam a partir de 2 de fevereiro de 2025. As obrigações de GPAI entram em vigor em 2 de agosto de 2025. Os requisitos de alto risco para produtos já cobertos pela legislação de segurança de produtos da UE se aplicam a partir de 2 de agosto de 2026, e para outros sistemas de alto risco a partir de 2 de agosto de 2027. Os estados-membros devem estabelecer autoridades nacionais até 2 de agosto de 2025.
Impacto e Críticas
A Lei de IA da UE é a primeira regulamentação abrangente de IA do mundo, influenciando padrões globais. Os apoiadores argumentam que ela protege os cidadãos e constrói confiança, enquanto críticos contendem que as obrigações de alto risco podem sufocar a inovação, particularmente para startups e desenvolvedores de código aberto. O alcance extraterritorial da Lei significa que empresas fora da UE, incluindo grandes empresas de tecnologia como Google Cloud e Amazon Web Services, devem cumprir se atenderem clientes da UE. Em 2025, a orientação de implementação ainda está sendo desenvolvida, e o impacto prático em tecnologias emergentes como IA generativa permanece a ser visto.