O Código de Conduta da Lei de IA da UE é um quadro voluntário publicado em 10 de julho de 2025 pela Comissão Europeia. Ele foi concebido para ajudar os fornecedores de modelos de IA de uso geral, como grandes modelos de linguagem, a demonstrar conformidade com as obrigações estabelecidas na Lei de Inteligência Artificial (Lei de IA), um regulamento da União Europeia relativo à inteligência artificial. O Código não cria novas obrigações legais, mas operacionaliza os requisitos existentes sob a Lei, concentrando-se em três capítulos principais: transparência, direitos autorais e segurança e proteção.
A própria Lei de IA entrou em vigor em 1º de agosto de 2024, com disposições implementadas gradualmente ao longo dos 6 a 36 meses seguintes. O Código de Conduta foi desenvolvido para abordar a lacuna regulatória para a IA de uso geral, uma categoria adicionada em 2023 para cobrir modelos de base que podem executar uma ampla gama de tarefas, incluindo sistemas generativos como o ChatGPT. A participação no Código é voluntária, mas a adesão visa sinalizar e apoiar a conformidade com obrigações legais vinculativas sob a Lei.
Contexto e Antecedentes Legislativos
A Lei de IA foi proposta pela Comissão Europeia em 21 de abril de 2021 como um quadro regulatório abrangente para a IA em todos os setores, com isenções para uso militar, segurança nacional, pesquisa e uso não profissional. Foi aprovada pelo Parlamento Europeu em 13 de março de 2024 e aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. O projeto foi revisado durante as negociações para abordar o rápido avanço dos sistemas de IA generativa, cujas capacidades de uso geral não se encaixavam no quadro original baseado em risco.
A Lei estabelece um quadro regulatório e legal comum com quatro níveis de risco - inaceitável, alto, limitado e mínimo - além de uma categoria separada para IA de uso geral. Ela também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Como o Regulamento Geral sobre a Proteção de Dados da UE, a Lei pode ser aplicada extraterritorialmente a fornecedores de fora da UE se eles tiverem usuários dentro da UE.
O Código de Conduta para IA de Uso Geral emergiu desse processo legislativo como uma ferramenta de implementação. Foi publicado em 10 de julho de 2025 após consultas com partes interessadas, incluindo desenvolvedores de IA, associações industriais, sociedade civil e academia. O Código é estruturado em torno dos requisitos da Lei para fornecedores de modelos de IA de uso geral, que incluem publicar um resumo dos dados de treinamento, adotar uma política de direitos autorais e fornecer documentação técnica a fornecedores downstream e autoridades de supervisão.
Requisitos de Transparência
O capítulo de transparência do Código aborda a obrigação da Lei de que os fornecedores informem os usuários sobre a natureza do conteúdo e das interações gerados por IA. Para modelos de IA de uso geral, isso inclui requisitos para divulgar que o conteúdo é gerado por IA, particularmente para saídas de texto, áudio ou visual que possam ser confundidas com criações humanas. Isso está alinhado com a categoria de risco limitado da Lei, que impõe deveres de transparência a sistemas que geram ou manipulam imagens, som ou vídeo, como deepfakes.
Modelos de código aberto, cujos pesos e design são disponibilizados publicamente, enfrentam requisitos de transparência reduzidos sob o Código. Eles devem publicar um resumo dos dados de treinamento e uma política de direitos autorais, mas estão isentos de alguns deveres de divulgação mais amplos. Modelos de código fechado, por outro lado, devem atender a padrões de transparência mais completos, incluindo documentação detalhada das capacidades, limitações e uso pretendido do modelo.
Para modelos de alta capacidade que ultrapassam um limiar de 1025 operações de ponto flutuante para treinar, o Código adiciona obrigações extras de avaliação. Esses modelos são considerados como representando riscos sistêmicos e devem passar por avaliações de modelo e testes adversariais além dos requisitos básicos. As disposições de transparência também exigem que os fornecedores mantenham registros acessíveis às autoridades nacionais de supervisão e usuários empresariais downstream.
Direitos Autorais e Dados de Treinamento
O capítulo de direitos autorais do Código operacionaliza o requisito da Lei de que os fornecedores adotem políticas em conformidade com a lei de direitos autorais da UE. Isso inclui documentar as fontes dos dados de treinamento, garantir que os conjuntos de dados usados para treinar modelos não infrinjam direitos existentes e fornecer transparência sobre quais dados foram usados. Os fornecedores devem publicar um resumo dos dados de treinamento, que serve como um mecanismo prático para os titulares de direitos identificarem possíveis infrações.
O Código incentiva os fornecedores a usar ferramentas técnicas disponíveis e melhores práticas para filtrar material protegido por direitos autorais dos conjuntos de dados de treinamento. Ele também enfatiza a necessidade de que os fornecedores downstream tenham informações suficientes para avaliar a conformidade ao usar um modelo de uso geral em seus próprios produtos. Isso é particularmente relevante porque a Lei responsabiliza principalmente os fornecedores, mas os implantadores também podem ter obrigações dependendo de seu papel.
Não há registro obrigatório ou mecanismo de execução no próprio Código. Em vez disso, a adesão é voluntária, mas os fornecedores que seguem o Código podem usá-lo como evidência de esforços de boa-fé para cumprir as obrigações da Lei. A Comissão sinalizou que a participação pode ser considerada favoravelmente durante quaisquer ações de execução futuras, embora a não participação não implique automaticamente não conformidade.
Obrigações de Segurança e Proteção
O capítulo de segurança e proteção do Código aborda os deveres de gerenciamento de risco da Lei para modelos de IA de uso geral. Para modelos designados como apresentando risco sistêmico, os fornecedores devem realizar avaliações de modelo, incluindo testes de viés, vulnerabilidades de segurança e outros danos potenciais. Eles também devem conduzir testes adversariais para sondar fraquezas do modelo, avaliar e mitigar riscos como discriminação ou saídas inseguras, relatar incidentes graves às autoridades e garantir um nível adequado de segurança cibernética.
O Código fornece orientação prática sobre como conduzir essas avaliações, incluindo métricas específicas e metodologias de avaliação. Ele também incentiva os fornecedores a estabelecer estruturas de governança interna que possam monitorar riscos ao longo do ciclo de vida do modelo. Essas obrigações vão além da mera documentação e exigem gerenciamento de risco ativo e contínuo.
Para modelos abaixo do limiar de risco sistêmico, os requisitos de segurança são mais leves. Os fornecedores ainda devem garantir confiabilidade e segurança básicas, mas não são obrigados a conduzir o mesmo nível de testes adversariais ou relatórios de incidentes. O Código distingue entre modelos de alta capacidade e outros, reconhecendo que diferentes abordagens são necessárias com base no impacto potencial.
O quadro de segurança baseia-se em trabalhos técnicos anteriores em aprendizado de máquina, incluindo métodos como aprendizado por reforço a partir de feedback de IA e poda de modelos, embora o Código não prescreva técnicas específicas. Ele se concentra em resultados e processos, em vez de algoritmos particulares.
Relação com Categorias Baseadas em Risco
O Código opera dentro do sistema mais amplo de classificação de risco da Lei de IA. Embora a Lei regule a IA de uso geral separadamente, suas disposições interagem com as quatro categorias de risco. Por exemplo, um modelo de uso geral implantado como parte de uma aplicação de alto risco - como em saúde, educação ou recrutamento - estaria sujeito tanto às obrigações de uso geral quanto aos requisitos de alto risco. Isso inclui avaliações de conformidade e, em alguns casos, uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação.
A categoria de IA de uso geral foi adicionada à Lei especificamente para abordar modelos que não se encaixam perfeitamente nos níveis de risco tradicionais. Esses modelos são adaptáveis a muitas tarefas, tornando seu perfil de risco dependente do contexto. O Código ajuda a preencher essa lacuna fornecendo um quadro único para obrigações do fornecedor, independentemente de como um modelo é finalmente implantado.
Aplicações de risco mínimo, como videogames ou filtros de spam, permanecem amplamente não regulamentadas sob a Lei, e o Código não se aplica a elas. As regras de harmonização máxima da Lei impedem que os Estados-Membros imponham regulamentações nacionais adicionais a esses sistemas, embora um código de conduta voluntário também seja sugerido para eles.
Implementação e Monitoramento
A Comissão Europeia supervisiona a implementação do Código, trabalhando em conjunto com autoridades nacionais e o Conselho Europeu de Inteligência Artificial. O Conselho, estabelecido pela Lei, promove a cooperação entre os Estados-Membros e garante a aplicação consistente do regulamento em toda a UE. O Código serve como uma ferramenta para essa coordenação, fornecendo um conjunto comum de práticas que os fornecedores podem adotar.
O monitoramento do Código é principalmente autorregulatório. Os fornecedores que se comprometem com o Código relatam sua conformidade por meio de documentação publicamente disponível. A Comissão indicou que revisará o Código periodicamente e poderá atualizá-lo à medida que as tecnologias evoluírem ou conforme lições forem aprendidas com a implementação. Essa abordagem adaptativa visa acompanhar os desenvolvimentos em arquiteturas baseadas em transformadores e outros avanços em IA.
A execução da Lei de IA subjacente permanece responsabilidade das autoridades nacionais de supervisão e, quando aplicável, da Comissão Europeia. O Código não substitui a conformidade formal, mas é projetado para tornar a conformidade mais direta e transparente. Fornecedores de fora da UE também são incentivados a participar se oferecerem serviços ou produtos no mercado da UE.
Recepção e Impacto
O Código de Conduta foi geralmente bem recebido pela indústria de IA, embora algumas partes interessadas tenham levantado preocupações sobre o ônus da documentação e avaliação. Grandes empresas de tecnologia, incluindo aquelas envolvidas com OpenAI, Anthropic e Google DeepMind, participaram das consultas e espera-se que alinhem suas práticas ao Código. Fornecedores menores e projetos de código aberto podem enfrentar desafios para atender aos requisitos, mas as obrigações de transparência reduzidas do código para modelos de código aberto visam mitigar isso.
Grupos da sociedade civil elogiaram o Código por tornar a governança de IA mais tangível, particularmente em torno de direitos autorais e segurança. No entanto, alguns críticos argumentam que sua natureza voluntária enfraquece a responsabilização, pois não há penalidade para a não participação. O Parlamento Europeu expressou apoio ao Código como um complemento à Lei, ao mesmo tempo em que enfatiza a necessidade de forte execução do regulamento subjacente.
O Código também influencia discussões internacionais sobre governança de IA. Ao fornecer um modelo detalhado para supervisão de IA de uso geral, ele oferece um ponto de referência para outras jurisdições que desenvolvem quadros semelhantes. Seu foco em medidas proporcionais e baseadas em risco está alinhado com as melhores práticas emergentes em políticas de IA, embora a abordagem regulatória da UE permaneça distinta em sua abrangência.
No final de 2025, o Código está em sua fase inicial de implementação. Seu impacto de longo prazo dependerá de quão efetivamente os fornecedores integram suas disposições nos ciclos de desenvolvimento e quão robustamente as autoridades supervisionam a conformidade com a Lei de IA. A natureza voluntária do Código significa que seu sucesso depende da adoção generalizada e da credibilidade da conformidade autorrelatada.