A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial na UE. Entrou em vigor em 1 de agosto de 2024, com disposições tornando-se aplicáveis gradualmente ao longo dos 6 a 36 meses seguintes. A Lei abrange a maioria dos sistemas de IA em todos os setores, isentando aqueles usados apenas para fins militares, de segurança nacional, de pesquisa ou não profissionais. Como regulamentação de produtos, não cria direitos individuais, mas impõe deveres a provedores e usuários profissionais de IA.
O regulamento classifica as aplicações de IA não isentas por nível de risco de dano em quatro níveis - inaceitável, alto, limitado, mínimo - além de uma categoria separada para IA de propósito geral. Aplicações de risco inaceitável são proibidas; as de alto risco devem cumprir obrigações de segurança, transparência e qualidade e passar por avaliações de conformidade; aplicações de risco limitado enfrentam apenas deveres de transparência; as de risco mínimo não são regulamentadas. Para IA de propósito geral, aplicam-se requisitos de transparência, com deveres reduzidos para modelos de código aberto e avaliações extras para sistemas de alta capacidade. A Lei também estabelece um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e a conformidade. Como o Regulamento Geral sobre a Proteção de Dados da UE, pode aplicar-se extraterritorialmente a provedores fora da UE com usuários dentro da UE.
A Comissão Europeia propôs a Lei em 21 de abril de 2021. Foi aprovada pelo Parlamento Europeu em 13 de março de 2024 e aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. O rascunho foi revisado para abordar o surgimento de sistemas de IA generativa como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal.
Entrada em Vigor e Aplicação em Fases
A Lei de IA entrou em vigor em 1 de agosto de 2024, vinte dias após sua publicação no Jornal Oficial da UE. Suas disposições aplicam-se em etapas, dando às partes interessadas tempo para se adaptar. A primeira data-chave foi 2 de fevereiro de 2025, quando as proibições de sistemas de IA de risco inaceitável tornaram-se aplicáveis. Isso incluiu proibições de IA que manipula o comportamento humano, usa identificação biométrica remota em tempo real em espaços públicos (com exceções estreitas) ou permite pontuação social.
Até 2 de agosto de 2025, as obrigações para modelos de IA de propósito geral entraram em vigor, incluindo requisitos de transparência para provedores. O Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve capítulos sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade; a participação é voluntária. A maioria das disposições restantes, incluindo aquelas para sistemas de alto risco, torna-se aplicável em 2 de agosto de 2026. Sistemas de IA de alto risco incorporados em produtos regulamentados já sujeitos à legislação setorial da UE têm um prazo estendido até 2 de agosto de 2027. Essas datas escalonadas refletem o objetivo da Lei de equilibrar inovação com supervisão, conforme observado na avaliação de impacto da Comissão.
Categorias de Risco e Obrigações
O esquema baseado em risco da Lei segue um modelo de segurança de produtos, atribuindo deveres regulatórios a provedores e implantadores que se intensificam com o impacto potencial na saúde, segurança ou direitos fundamentais. Essa estrutura concentra a supervisão em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Risco inaceitável - Aplicações nesta categoria são proibidas, exceto por isenções específicas. Isso inclui IA que manipula o comportamento humano, identificação biométrica remota em tempo real em espaços públicos e pontuação social. Nenhuma isenção se aplica a esses usos na maioria dos casos.
Alto risco - Sistemas de IA com probabilidade de representar ameaças significativas à saúde, segurança ou direitos fundamentais enquadram-se aqui. Exemplos incluem sistemas usados em saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei ou justiça. Eles devem cumprir obrigações de qualidade, transparência, supervisão humana e segurança. Alguns exigem uma Avaliação de Impacto sobre Direitos Fundamentais (FRIA) antes da implantação - uma revisão ex ante para identificar e mitigar impactos sobre direitos fundamentais. A FRIA baseia-se em trabalhos anteriores de avaliação de impacto algorítmico, que sugeriram que tais ferramentas deveriam identificar indivíduos e comunidades afetados, descrever possíveis danos e fornecer uma base para escrutínio público. Sistemas de alto risco devem ser avaliados antes da colocação no mercado e ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida sem alterar a própria Lei. Os cidadãos têm direitos de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco limitado - Esses sistemas têm obrigações de transparência, garantindo que os usuários saibam que estão interagindo com IA e possam fazer escolhas informadas. Esta categoria inclui IA que gera ou manipula imagens, som ou vídeos, como deepfakes.
Risco mínimo - Exemplos incluem IA em videogames ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre aqui. Esses sistemas não são regulamentados, e os estados-membros não podem impor regulamentações adicionais devido às regras de harmonização máxima. Leis nacionais existentes sobre tais sistemas são anuladas, embora um código de conduta voluntário seja sugerido.
Categoria de IA de Propósito Geral
Adicionada em 2023, a categoria de IA de propósito geral cobre modelos de fundação como modelos de linguagem de grande escala que podem realizar uma ampla gama de tarefas. Se os pesos e o design de um modelo forem de código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais. Modelos de código fechado devem atender a requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos - definidos como exigindo mais de 10^25 operações de ponto flutuante para treinar - devem passar por avaliação extra.
Provedores de modelos de IA de propósito geral devem publicar um resumo dos dados de treinamento, adotar uma política de conformidade com direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Modelos designados como representando risco sistêmico também devem realizar avaliações de modelos e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir cibersegurança adequada.
Isenções
Os artigos 2.3 e 2.6 isentam sistemas de IA usados para fins militares ou de segurança nacional ou pesquisa e desenvolvimento científico puro da Lei. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou de segurança nacional, ou a sistemas desenvolvidos e colocados em serviço somente para esses fins. Atividades de pesquisa e desenvolvimento também estão fora do escopo, assim como usos não profissionais. Essas isenções são estreitas; implantações comerciais de IA em contextos civis permanecem cobertas mesmo se desenvolvidas com origens militares ou de pesquisa.
Execução e Governança
A Lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Cada estado-membro designa uma autoridade nacional de supervisão para supervisionar a implementação. O Conselho coordena essas autoridades e aconselha a Comissão sobre questões técnicas e regulatórias. Mecanismos de execução incluem multas por não conformidade, escalonadas pela gravidade da violação e pelo tamanho da empresa. O alcance extraterritorial da Lei significa que provedores fora da UE devem cumprir se seus sistemas de IA forem usados por pessoas dentro da UE, espelhando a abordagem do GDPR.
Histórico Legislativo e Contexto
A Comissão Europeia propôs a Lei de IA em 21 de abril de 2021, após extensas consultas às partes interessadas e comparações de pesquisa documentadas em uma avaliação de impacto. O Parlamento Europeu a aprovou em 13 de março de 2024, e o Conselho da UE a aprovou por unanimidade em 21 de maio de 2024. O texto final incorporou revisões de 2023 para abordar sistemas de IA generativa como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro de risco original. Isso levou à categoria dedicada de IA de propósito geral. A aplicação em fases da Lei dá a provedores e implantadores tempo para implementar medidas de conformidade, com as primeiras proibições efetivas em fevereiro de 2025 e aplicação total para a maioria dos sistemas de alto risco até agosto de 2026.
Impacto e Interpretação
Estudiosos do direito notaram que a Lei enquadra "IA confiável" como sistemas que demonstram conformidade com limites de segurança e risco. A abordagem baseada em risco baseia-se na regulamentação de segurança de produtos, atribuindo deveres àqueles que colocam IA no mercado e àqueles que a usam profissionalmente. A avaliação inicial do Serviço de Pesquisa do Parlamento Europeu elogiou a avaliação de impacto da Comissão por seu engajamento com as partes interessadas e análise comparativa de políticas. À medida que as datas de aplicação passam, os efeitos práticos da Lei dependerão de como as autoridades nacionais e o Conselho interpretarem suas disposições, particularmente para IA de alto risco e de propósito geral. O código de conduta voluntário para sistemas de risco mínimo e as obrigações obrigatórias para categorias de risco mais alto visam criar um mercado harmonizado da UE para IA enquanto protegem direitos fundamentais.