O AI Act da UE (Regulamento (UE) 2024/1689) é um quadro jurídico abrangente para a inteligência artificial, adotado pela União Europeia em 2024. Ele estabelece um sistema de classificação baseado em risco para sistemas de IA, impondo diferentes obrigações dependendo do nível de risco que representam para a saúde, a segurança e os direitos fundamentais. Em vez de entrar em vigor como um bloco único, as disposições do regulamento se aplicam em um cronograma escalonado, com diferentes requisitos se tornando obrigatórios em datas distintas entre fevereiro de 2025 e agosto de 2027. Essa abordagem faseada foi projetada para dar a provedores, implantadores e autoridades nacionais tempo para se adaptarem às novas regras, priorizando as proibições e estruturas de governança mais urgentes.
O regulamento se aplica tanto a provedores (aqueles que desenvolvem sistemas de IA) quanto a implantadores (aqueles que os utilizam em capacidade profissional), independentemente de estarem baseados na UE, desde que o sistema de IA seja colocado no mercado da UE ou que sua saída seja usada dentro da UE. Ele cobre uma ampla gama de tecnologias de IA, incluindo modelos de aprendizado de máquina, grandes modelos de linguagem e sistemas de IA generativa, mas exclui certas áreas, como segurança nacional e fins militares.
Entrada em Vigor e Disposições Iniciais
O AI Act foi publicado no Jornal Oficial da União Europeia em 12 de julho de 2024 e entrou em vigor vinte dias depois, em 1º de agosto de 2024. O primeiro conjunto de obrigações vinculativas, no entanto, só começou em 2 de fevereiro de 2025. Esta fase inicial focou nas disposições consideradas mais urgentes: as proibições de práticas de IA de risco inaceitável e as regras sobre alfabetização em IA.
A partir de 2 de fevereiro de 2025, o seguinte se tornou aplicável:
- Práticas proibidas sob o Artigo 5, que proíbem sistemas de IA que empregam técnicas subliminares para distorcer o comportamento, exploram vulnerabilidades de grupos específicos (como crianças ou pessoas com deficiência), avaliam ou classificam pessoas com base em comportamento social (pontuação social), usam identificação biométrica remota em tempo real em espaços publicamente acessíveis para aplicação da lei (com exceções restritas) e preveem infrações criminais ou administrativas com base apenas em perfilamento.
- Obrigações de alfabetização em IA sob o Artigo 4, exigindo que provedores e implantadores garantam que sua equipe e outros envolvidos na operação de sistemas de IA tenham um nível suficiente de alfabetização em IA, considerando seu conhecimento técnico, experiência, educação e treinamento.
- O estabelecimento do Gabinete Europeu de IA dentro da Comissão Europeia, que serve como o órgão central de execução e coordenação.
Modelos de IA de Propósito Geral (Agosto de 2025)
O segundo marco importante veio em 2 de agosto de 2025, quando as obrigações para provedores de modelos de IA de propósito geral (GPAI) entraram em vigor. Um modelo GPAI é definido como um modelo de IA, incluindo aqueles treinados com autossupervisão em larga escala, que é capaz de executar competentemente uma ampla gama de tarefas distintas. Esta categoria inclui a maioria dos modelos de fundação e grandes modelos de linguagem, como os desenvolvidos por OpenAI, Anthropic e Google DeepMind.
Sob estas regras, os provedores de modelos GPAI devem:
- Manter documentação técnica atualizada, incluindo descrições de dados de treinamento, arquitetura do modelo e resultados de avaliação.
- Fornecer informações e documentação a provedores downstream que integram o modelo em seus próprios sistemas de IA.
- Estabelecer uma política de direitos autorais que respeite a lei de direitos autorais da UE, particularmente em relação à mineração de texto e dados.
- Publicar um resumo suficientemente detalhado do conteúdo de treinamento.
Para modelos GPAI que apresentam risco sistêmico - definido como modelos treinados com computação cumulativa excedendo 10^25 operações de ponto flutuante (FLOPs) - obrigações adicionais se aplicam. Estas incluem a realização de avaliações de modelo, testes adversariais e relato de incidentes graves ao Gabinete Europeu de IA. A Comissão pode designar um modelo como de risco sistêmico mesmo que ele fique abaixo do limite de computação, com base em suas capacidades ou impacto.
Sistemas de Alto Risco e Governança (Agosto de 2026)
O conjunto mais extenso de obrigações tornou-se aplicável em 2 de agosto de 2026. Esta data cobre os requisitos para sistemas de IA de alto risco sob o Artigo 6 e Anexos I e III do regulamento. Sistemas de alto risco incluem IA usada em infraestrutura crítica, educação e treinamento vocacional, emprego e gestão de trabalhadores, serviços essenciais privados e públicos, aplicação da lei, gestão de migração e asilo, e administração da justiça.
A partir desta data, os provedores de sistemas de IA de alto risco devem cumprir um conjunto abrangente de requisitos:
- Estabelecer um sistema de gestão de riscos que funcione ao longo do ciclo de vida do sistema.
- Usar dados de treinamento, validação e teste que sejam relevantes, representativos e livres de erros e vieses.
- Criar documentação técnica demonstrando conformidade.
- Permitir registro automático de eventos para garantir rastreabilidade.
- Fornecer transparência aos implantadores, incluindo instruções de uso.
- Implementar medidas de supervisão humana.
- Garantir robustez, precisão e segurança cibernética.
Além disso, a partir de 2 de agosto de 2026, o quadro de governança se torna totalmente operacional. Isso inclui o requisito de os Estados-Membros designarem autoridades nacionais competentes e estabelecerem organismos notificados responsáveis pelas avaliações de conformidade. O Conselho Europeu de Inteligência Artificial, composto por representantes dos Estados-Membros, também se torna totalmente ativo.
Obrigações de Transparência para Sistemas de Risco Limitado (Agosto de 2026)
Também em 2 de agosto de 2026, as obrigações de transparência para sistemas de IA de risco limitado entram em vigor. Estas se aplicam a sistemas de IA que interagem com humanos, como chatbots, e a sistemas que geram ou manipulam conteúdo (deepfakes). Os provedores devem garantir que os usuários sejam informados de que estão interagindo com um sistema de IA, a menos que isso seja óbvio pelas circunstâncias. O conteúdo gerado ou manipulado por IA deve ser marcado em um formato legível por máquina para indicar sua origem artificial. Isso inclui deepfakes e texto, áudio ou vídeo gerados por IA.
Sistemas de Alto Risco no Anexo I (Agosto de 2027)
A data de aplicação final importante é 2 de agosto de 2027. Isso cobre sistemas de IA de alto risco que são componentes de segurança de produtos ou sistemas já sujeitos à legislação existente de segurança de produtos da UE, como máquinas, brinquedos, dispositivos médicos e veículos. Esses sistemas devem cumprir os mesmos requisitos de alto risco que os do Anexo III, mas a aplicação foi adiada para permitir que os fabricantes se alinhassem com a legislação setorial relevante. O regulamento também exige que a Comissão atualize a documentação técnica e os procedimentos de avaliação de conformidade para esses produtos.
Monitoramento Pós-Mercado e Execução
A partir de 2 de agosto de 2026, os provedores de sistemas de IA de alto risco também devem estabelecer um sistema de monitoramento pós-mercado para coletar e analisar ativamente dados sobre o desempenho de seus sistemas ao longo de sua vida útil. Este sistema deve ser documentado e relatado às autoridades relevantes. O regulamento também introduz um procedimento para lidar com incidentes graves e mau funcionamento que possam levar a riscos para a saúde, segurança ou direitos fundamentais.
A execução é realizada por autoridades nacionais de vigilância de mercado, coordenadas pelo Gabinete Europeu de IA. As penalidades por não conformidade são substanciais: até 35 milhões de euros ou 7% do faturamento anual mundial total de uma empresa para violações de práticas proibidas, até 15 milhões de euros ou 3% do faturamento para violações da maioria das outras obrigações, e até 7,5 milhões de euros ou 1,5% do faturamento por fornecer informações incorretas às autoridades. Para pequenas e médias empresas (PMEs) e startups, essas multas são limitadas ao menor dos dois valores.
Códigos de Prática e Normas
Para apoiar a implementação, o Gabinete Europeu de IA facilitou o desenvolvimento de um Código de Prática para provedores de IA de propósito geral, que foi finalizado em 2025. Este código traduz as obrigações legais em compromissos práticos, cobrindo áreas como transparência, direitos autorais e gestão de risco sistêmico. Provedores que aderem ao código são presumidos em conformidade com os requisitos do regulamento.
O regulamento também depende fortemente de normas técnicas harmonizadas desenvolvidas por organizações europeias de normalização (CEN, CENELEC e ETSI). Essas normas, que estão sendo redigidas ao longo de 2025 e 2026, fornecerão especificações técnicas para avaliação de conformidade, gestão de riscos e qualidade de dados. Até que essas normas sejam publicadas, os provedores podem usar métodos alternativos, mas devem demonstrar conformidade por outros meios.
Implicações para a Indústria de IA
As datas de aplicação escalonadas têm implicações significativas para empresas que desenvolvem e implantam sistemas de IA. Provedores de modelos GPAI, incluindo grandes laboratórios como OpenAI, Anthropic e Google DeepMind, tiveram que se preparar para o prazo de agosto de 2025, o que exigiu esforços substanciais de documentação e transparência. Muitas empresas estabeleceram equipes internas de conformidade e desenvolveram ferramentas para rastrear dados de treinamento e comportamento do modelo.
Para aplicações de IA de alto risco, os prazos de agosto de 2026 e agosto de 2027 dão aos desenvolvedores mais tempo, mas também exigem planejamento antecipado. Empresas em setores como saúde (por exemplo, Intuitive Surgical), direção autônoma (por exemplo, Waymo, Tesla) e serviços financeiros devem realizar avaliações de conformidade, muitas vezes envolvendo organismos notificados de terceiros. O regulamento também afeta provedores de serviços em nuvem como Amazon Web Services, Microsoft Azure e Google Cloud, que oferecem plataformas de IA e podem ser considerados implantadores ou provedores dependendo de seu papel.
O regulamento também influenciou a governança global de IA, já que outras jurisdições olharam para a UE como um modelo regulatório. No entanto, a complexidade do cronograma escalonado tem sido um ponto de crítica, com alguns grupos da indústria argumentando que a abordagem faseada cria incerteza e ônus de conformidade. A Comissão Europeia respondeu publicando documentos de orientação e estabelecendo um processo de consulta às partes interessadas para esclarecer disposições ambíguas.
Desenvolvimentos Futuros
Em 2025, a Comissão Europeia está trabalhando em atos de implementação e diretrizes adicionais, particularmente em relação à definição de risco sistêmico, à interação com a legislação setorial existente e à aplicação prática dos requisitos de transparência. A Comissão também planeja revisar a lista de práticas proibidas e áreas de alto risco do regulamento até 2027, com a possibilidade de estender o escopo a novas aplicações de IA. O impacto total do AI Act só se tornará claro à medida que as várias datas de aplicação passarem e as ações de execução começarem.