O Artificial Intelligence Act (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial em toda a UE. Entrou em vigor em 1 de agosto de 2024, com disposições sendo aplicadas gradualmente nos 6 a 36 meses seguintes. O regulamento abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou de uso não profissional. Como uma forma de regulamentação de produtos, não cria direitos individuais; em vez disso, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional.
O regulamento classifica as aplicações de IA não isentas pelo seu risco de causar danos, com quatro níveis - inaceitável, alto, limitado e mínimo - além de uma categoria adicional para IA de propósito geral. Aplicações com riscos inaceitáveis são proibidas. Aplicações de alto risco devem cumprir obrigações de segurança, transparência e qualidade, e passar por avaliações de conformidade. Aplicações de risco limitado têm apenas obrigações de transparência. Aplicações de risco mínimo não são regulamentadas. Para IA de propósito geral, são impostos requisitos de transparência, com requisitos reduzidos para modelos de código aberto e avaliações adicionais para modelos de alta capacidade. O regulamento também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade com o regulamento. Como o Regulamento Geral sobre a Proteção de Dados da UE, o regulamento pode ser aplicado extraterritorialmente a provedores de fora da UE se tiverem usuários dentro da UE.
Proposta e Trajetória Legislativa
A Comissão Europeia propôs o AI Act em 21 de abril de 2021. O projeto foi elaborado para harmonizar as regras para sistemas de IA no mercado único, seguindo uma abordagem baseada em risco semelhante à legislação existente de segurança de produtos. A proposta inicial focava em sistemas tradicionais de aprendizado de máquina e aprendizado profundo, categorizando-os pelo seu potencial de causar danos.
Durante o processo legislativo, o surgimento de sistemas de IA generativa, como o ChatGPT, motivou revisões significativas. O quadro original não abordava adequadamente modelos de propósito geral que pudessem realizar uma ampla gama de tarefas em diferentes setores. Em 2023, o projeto foi revisado para incluir uma categoria dedicada para IA de propósito geral, cobrindo modelos de fundação e grandes modelos de linguagem. Esta revisão reconheceu que sistemas como o ChatGPT e outros grandes modelos de linguagem exigiam tratamento regulatório diferente do que aplicações mais específicas.
Aprovação Parlamentar e Adoção pelo Conselho
O Parlamento Europeu aprovou o AI Act em 13 de março de 2024, após extensas negociações e emendas. A versão do Parlamento fortaleceu as disposições sobre direitos fundamentais, adicionou requisitos para avaliações de impacto sobre direitos fundamentais para sistemas de alto risco e expandiu as obrigações de transparência para IA generativa. O Conselho da UE aprovou por unanimidade o texto final em 21 de maio de 2024, concluindo o processo legislativo.
O regulamento final foi publicado no Jornal Oficial da União Europeia em julho de 2024, com entrada em vigor em 1 de agosto de 2024. O cronograma de implementação faseado significa que diferentes obrigações se aplicam em datas diferentes, com as proibições de aplicações de risco inaceitável entrando em vigor antes dos requisitos para sistemas de alto risco.
Categorias de Risco em Detalhe
O regulamento estabelece quatro categorias primárias de risco, além de uma categoria separada para IA de propósito geral. Aplicações de risco inaceitável são proibidas diretamente, com isenções específicas. Isso inclui IA que manipula o comportamento humano, identificação biométrica remota em tempo real em espaços públicos e sistemas de pontuação social que classificam indivíduos com base em características pessoais ou comportamento.
Aplicações de alto risco são aquelas consideradas capazes de ameaçar significativamente a saúde, a segurança ou os direitos fundamentais. Isso inclui sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei e justiça. Esses sistemas devem cumprir obrigações de qualidade, transparência, supervisão humana e segurança. Alguns exigem uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação, que é uma revisão ex ante para identificar e mitigar potenciais impactos sobre os direitos fundamentais. Sistemas de alto risco devem ser avaliados tanto antes da colocação no mercado quanto ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar o próprio AI Act. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Sistemas de risco limitado têm obrigações de transparência, garantindo que os usuários saibam que estão interagindo com IA e possam fazer escolhas informadas. Esta categoria inclui aplicações que geram ou manipulam imagens, som ou vídeos, como deepfakes. Sistemas de risco mínimo, incluindo IA de videogames e filtros de spam, não são regulamentados, e os estados-membros não podem impor regulamentações adicionais devido às regras de harmonização máxima.
Disposições sobre IA de Propósito Geral
Adicionada em 2023, a categoria de IA de propósito geral cobre modelos de fundação que podem realizar uma ampla gama de tarefas, incluindo sistemas de IA generativa. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais. Modelos de código fechado devem cumprir requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos, definidos como aqueles que exigem mais de 1025 operações de ponto flutuante para treinar, devem passar por avaliações adicionais.
Um Código de Prática para IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção, para ajudar os provedores a demonstrar conformidade. A participação no código é voluntária. Além dos deveres básicos de transparência, o regulamento estabelece uma lista comum de obrigações para provedores de modelos de IA de propósito geral. Eles devem publicar um resumo dos dados de treinamento, adotar uma política de conformidade com direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Modelos designados como representando risco sistêmico também devem realizar avaliações de modelo e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir cibersegurança adequada.
Isenções e Escopo
Os Artigos 2.3 e 2.6 isentam do AI Act sistemas de IA usados para fins militares ou de segurança nacional ou para pesquisa e desenvolvimento puramente científicos. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou de segurança nacional, ou a sistemas desenvolvidos e colocados em serviço exclusivamente para pesquisa científica. Esta isenção reconhece a necessidade de equilibrar inovação com regulamentação, mantendo o controle dos estados-membros sobre questões de segurança.
Implementação e Fiscalização
O regulamento cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. O Conselho Europeu de IA coordena as autoridades de supervisão nos estados-membros, semelhante à estrutura de governança estabelecida pelo Regulamento Geral sobre a Proteção de Dados. O cronograma de implementação faseado é detalhado na linha do tempo de fiscalização, com diferentes obrigações sendo ativadas em 6, 12, 24 e 36 meses após a entrada em vigor.
O escopo extraterritorial significa que provedores de fora da UE devem cumprir o regulamento se tiverem usuários dentro da UE. Isso espelha a abordagem do GDPR e tem implicações significativas para desenvolvedores globais de IA, incluindo aqueles nos Estados Unidos, China e outros grandes mercados de IA. O quadro baseado em risco do regulamento segue um modelo de segurança de produtos onde os deveres regulatórios são atribuídos a provedores e implantadores, com deveres se tornando mais exigentes à medida que o potencial impacto na saúde, segurança ou direitos fundamentais aumenta.
Contexto Mais Amplo e Impacto
O AI Act representa uma das primeiras tentativas abrangentes de regular a inteligência artificial em nível regional. Seu desenvolvimento ocorreu em paralelo aos avanços rápidos nas tecnologias de aprendizado de máquina e aprendizado profundo, incluindo a arquitetura de transformadores que sustenta os grandes modelos de linguagem modernos. A linha do tempo legislativa reflete o desafio de regular um campo em rápida evolução, com as revisões de 2023 respondendo ao crescimento explosivo das ferramentas de IA generativa.
A abordagem do regulamento influenciou discussões em outras jurisdições, embora seu impacto total ainda esteja por ser visto à medida que a implementação avança. O Serviço de Pesquisa do Parlamento Europeu forneceu uma avaliação inicial da avaliação de impacto da Comissão, que se baseou em consultas às partes interessadas e em pesquisas existentes ao comparar opções de política. Estudiosos do direito observaram que o regulamento enquadra "IA confiável" como sistemas que podem demonstrar conformidade com limites de segurança e risco, estabelecendo uma abordagem orientada à conformidade para a governança da IA.
A implementação faseada dá às organizações tempo para se adaptarem, mas a complexidade dos requisitos, particularmente para IA de alto risco e de propósito geral, gerou atividade significativa de conformidade em todo o setor de tecnologia. A partir da entrada em vigor do regulamento, as consequências operacionais completas para desenvolvedores, implantadores e usuários de IA na UE e além continuam a se desenrolar.