A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e legal comum para a inteligência artificial (IA) dentro da UE. Entrou em vigor em 1º de agosto de 2024, com disposições sendo implementadas gradualmente ao longo dos 6 a 36 meses seguintes. Como regulamento de produto, não cria direitos individuais, mas impõe deveres a provedores de IA e usuários profissionais.
A lei abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para uso militar, segurança nacional, pesquisa e uso não profissional. Ela classifica as aplicações não isentas pelo risco de dano em quatro níveis - inaceitável, alto, limitado, mínimo - além de uma categoria separada para IA de propósito geral. O quadro segue um modelo de segurança de produto, atribuindo deveres regulatórios a provedores e implantadores que aumentam com o impacto potencial na saúde, segurança ou direitos fundamentais.
Origens e Histórico Legislativo
A Comissão Europeia propôs a Lei de IA em 21 de abril de 2021. O rascunho foi revisado para abordar o rápido surgimento de sistemas de IA generativa como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro original baseado em risco. O Parlamento Europeu aprovou a lei em 13 de março de 2024, e o Conselho da UE a aprovou por unanimidade em 21 de maio de 2024. O regulamento entrou em vigor em 1º de agosto de 2024.
Durante o processo legislativo, os formuladores de políticas consultaram partes interessadas e se basearam em pesquisas existentes, conforme observado em uma avaliação do Serviço de Pesquisa do Parlamento Europeu. A introdução de uma categoria dedicada de IA de propósito geral em 2023 refletiu a crescente influência dos sistemas de modelos de linguagem de grande escala e sua ampla implantação.
Categorias de Risco
A lei define quatro categorias principais de risco, além de uma categoria distinta para IA de propósito geral:
Risco inaceitável - Aplicações nesta categoria são proibidas, com isenções específicas. As proibições abrangem IA que manipula o comportamento humano, identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos e pontuação social que classifica indivíduos com base em características pessoais, status socioeconômico ou comportamento.
Alto risco - Aplicações que representam ameaças significativas à saúde, segurança ou direitos fundamentais, incluindo IA em saúde, educação, recrutamento, infraestrutura crítica, aplicação da lei ou justiça. Esses sistemas devem cumprir obrigações de qualidade, transparência, supervisão humana e segurança. Alguns exigem uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação. Sistemas de alto risco passam por avaliações de conformidade tanto antes da colocação no mercado quanto ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida sem alterar a própria lei. Os cidadãos têm o direito de apresentar reclamações e receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco limitado - Sistemas com apenas obrigações de transparência, garantindo que os usuários saibam que estão interagindo com IA. Isso abrange ferramentas que geram ou manipulam imagens, som ou vídeo, como deepfakes.
Risco mínimo - Sistemas como videogames ou filtros de spam. Estes não são regulamentados, e os estados-membros não podem impor requisitos adicionais devido às regras de harmonização máxima. Um código de conduta voluntário é sugerido.
Obrigações da IA de Propósito Geral
A categoria de IA de propósito geral, adicionada em 2023, abrange modelos de fundação que realizam uma ampla variedade de tarefas. Desenvolvedores de modelos de código aberto devem publicar um resumo dos dados de treinamento e uma política de direitos autorais; modelos de código fechado enfrentam obrigações de transparência mais amplas. Modelos de alto impacto que exigem mais de 10^25 operações de ponto flutuante para treinar devem passar por avaliação adicional e testes adversariais, avaliar riscos como viés e falhas de segurança, relatar incidentes graves e garantir segurança cibernética.
Um Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança. A participação é voluntária. Todos os provedores de modelos de IA de propósito geral devem publicar resumos dos dados de treinamento, adotar políticas de conformidade com direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão.
Isenções e Extraterritorialidade
Os artigos 2.3 e 2.6 isentam sistemas de IA usados exclusivamente para fins militares, de defesa ou segurança nacional, bem como pesquisa e desenvolvimento puramente científicos. Como o Regulamento Geral de Proteção de Dados da UE, a lei pode ser aplicada extraterritorialmente a provedores fora da UE se eles tiverem usuários dentro da UE.
Execução e Governança
A lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Os estados-membros designam autoridades de supervisão para fiscalizar a implementação. O esquema baseado em risco garante que a supervisão se concentre em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Contexto Mais Amplo
Estudiosos do direito argumentam que a lei enquadra a "IA confiável" como sistemas que demonstram conformidade com limites de segurança e risco. O alcance extraterritorial e as categorias abrangentes de risco a tornam uma referência para a regulamentação de IA globalmente, influenciando debates em outras jurisdições sobre o equilíbrio entre inovação e proteção de direitos fundamentais.