O Conselho da União Europeia deu sua aprovação final à Lei de Inteligência Artificial (AI Act) em 21 de maio de 2024, concluindo um processo legislativo que começou com a proposta da Comissão Europeia em 21 de abril de 2021. O voto unânime dos ministros dos estados-membros marcou o último grande obstáculo antes de o regulamento entrar em vigor, preparando o cenário para o primeiro quadro jurídico abrangente do mundo que rege a inteligência artificial. A Lei havia sido aprovada anteriormente pelo Parlamento Europeu em 13 de março de 2024, e seu texto final incorporou revisões significativas feitas em resposta ao rápido avanço dos sistemas de IA generativa, como o ChatGPT da OpenAI, cujas capacidades de uso geral não se encaixavam no quadro original baseado em risco.
O regulamento entrou formalmente em vigor em 1º de agosto de 2024, com disposições programadas para se tornarem aplicáveis gradualmente ao longo dos 6 a 36 meses seguintes. Essa implementação faseada foi projetada para dar a empresas, autoridades nacionais e provedores de sistemas de IA tempo adequado para se adaptarem às novas obrigações. A Lei de IA estabelece um quadro regulatório e jurídico comum para a IA em todos os estados-membros da UE, cobrindo a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou de uso não profissional. Como uma forma de regulamentação de produtos, ela não cria direitos individuais, mas impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional.
Classificação Baseada em Risco
A Lei classifica as aplicações de IA não isentas em quatro níveis de risco - inaceitável, alto, limitado e mínimo - além de uma categoria adicional para IA de uso geral. Esse esquema baseado em risco segue um modelo de segurança de produtos no qual os deveres regulatórios são atribuídos a provedores e implantadores, tornando-se mais exigentes à medida que o impacto potencial sobre saúde, segurança ou direitos fundamentais aumenta. A estrutura garante que a supervisão se concentre em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Aplicações com riscos inaceitáveis são proibidas por completo, exceto por isenções específicas. Isso inclui sistemas de IA que manipulam o comportamento humano, aqueles que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos e sistemas de pontuação social que classificam indivíduos com base em características pessoais, status socioeconômico ou comportamento. Aplicações de alto risco devem cumprir obrigações de segurança, transparência e qualidade, e passar por avaliações de conformidade antes da implantação. Isso inclui sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestrutura crítica, aplicação da lei ou justiça, que também devem passar por uma Avaliação de Impacto sobre Direitos Fundamentais (FRIA) em alguns casos - uma revisão ex ante para identificar e mitigar impactos potenciais sobre direitos fundamentais.
Aplicações de risco limitado têm apenas obrigações de transparência, garantindo que os usuários sejam informados de que estão interagindo com um sistema de IA e permitindo que façam escolhas informadas. Essa categoria inclui ferramentas de geração de deepfakes e outros sistemas que manipulam imagens, som ou vídeo. Aplicações de risco mínimo, como IA em videogames ou filtros de spam, não são regulamentadas, e os estados-membros não podem impor regulamentações adicionais devido a regras de harmonização máxima. Espera-se que a maioria das aplicações de IA se enquadre nessa categoria, com um código de conduta voluntário sugerido para melhores práticas.
Disposições sobre IA de Uso Geral
Adicionada em 2023, a categoria de IA de uso geral aborda modelos de fundação que podem executar uma ampla gama de tarefas, incluindo grandes modelos de linguagem e outros sistemas de aprendizado de máquina. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais; modelos de código fechado devem cumprir requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos - definidos como aqueles que exigem mais de 10^25 operações de ponto flutuante para treinar - devem passar por avaliação extra, incluindo avaliações de modelo, testes adversariais, avaliação de risco para viés e falhas de segurança, relato de incidentes graves e medidas adequadas de cibersegurança.
Além dos deveres básicos de transparência, os provedores de modelos de IA de uso geral devem publicar um resumo dos dados de treinamento, adotar uma política para cumprir a lei de direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Um Código de Prática de IA de Uso Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade. A participação no código é voluntária.
Isenções e Alcance Extraterritorial
Os artigos 2.3 e 2.6 da Lei isentam sistemas de IA usados exclusivamente para fins militares, de defesa ou de segurança nacional, bem como pesquisa e desenvolvimento científico puro. O regulamento também não se aplica a sistemas desenvolvidos e colocados em serviço exclusivamente para esses fins. Como o Regulamento Geral de Proteção de Dados da UE, a Lei de IA pode se aplicar extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE, o que significa que empresas como Google DeepMind, Anthropic ou Amazon Web Services que oferecem serviços de IA a clientes da UE devem cumprir as regras, independentemente da localização de sua sede.
Governança e Execução
A Lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade com o regulamento. Esse conselho coordena as autoridades de supervisão nos estados-membros, facilitando a aplicação consistente das regras. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar a própria Lei de IA, permitindo que o quadro se adapte a riscos emergentes.
Jornada Legislativa e Revisões
A proposta original da Comissão Europeia em 21 de abril de 2021 baseou-se em consultas às partes interessadas e em uma ampla gama de pesquisas existentes, de acordo com uma avaliação inicial do Serviço de Pesquisa do Parlamento Europeu. O projeto de Lei foi revisado durante as negociações para abordar o aumento da popularidade dos sistemas de IA generativa, cujas capacidades de uso geral não se encaixavam no quadro principal. O texto final equilibrou preocupações com inovação e proteções de direitos fundamentais, incorporando contribuições de várias partes interessadas, incluindo empresas de tecnologia, organizações da sociedade civil e instituições acadêmicas.
A aprovação unânime pelo Conselho da UE em 21 de maio de 2024 representou uma conquista política significativa, demonstrando consenso entre partidos e nações sobre a regulamentação da IA. O cronograma de implementação faseada significa que diferentes disposições se tornam aplicáveis em momentos diferentes, com as proibições mais urgentes e os requisitos de transparência entrando em vigor primeiro, seguidos pelas obrigações para sistemas de alto risco e modelos de IA de uso geral nos meses subsequentes.
Implicações para a Indústria
O alcance extraterritorial e a cobertura abrangente da Lei de IA significam que grandes empresas de tecnologia em todo o mundo devem ajustar suas práticas de desenvolvimento e implantação. Provedores de sistemas de grandes modelos de linguagem, aplicações baseadas em redes neurais e outras ferramentas de IA devem documentar seus dados de treinamento, implementar políticas de direitos autorais e realizar avaliações de risco. A distinção entre modelos de código aberto e código fechado cria diferentes encargos de conformidade, influenciando potencialmente como as empresas escolhem lançar seus sistemas de IA. A abordagem baseada em risco da Lei também afeta setores como saúde, educação e aplicação da lei, onde aplicações de IA de alto risco enfrentam os requisitos mais rigorosos.
Contexto Mais Amplo
A Lei de IA representa um marco na regulamentação de tecnologia, seguindo o padrão da UE de estabelecer padrões globais por meio de legislação abrangente. Seu quadro baseado em risco foi estudado por reguladores em outras jurisdições que consideram abordagens semelhantes. A ênfase da Lei em transparência, supervisão humana e proteção de direitos fundamentais reflete preocupações sociais mais amplas sobre o impacto da IA na democracia, privacidade e autonomia individual. À medida que as disposições entram em operação gradualmente, a implementação prática será acompanhada de perto pela indústria, sociedade civil e formuladores de políticas em todo o mundo.
O sucesso do regulamento dependerá da execução eficaz pelas autoridades nacionais e pelo Conselho Europeu de Inteligência Artificial, bem como da cooperação dos provedores de IA. O código de conduta voluntário para aplicações de risco mínimo e o Código de Prática de IA de Uso Geral fornecem orientação para conformidade, enquanto a flexibilidade da Lei permite atualizações futuras à medida que a tecnologia de IA evolui. A aprovação do Conselho em 21 de maio de 2024 marcou, portanto, não um fim, mas um começo - o início de uma nova era em que os sistemas de IA que operam na UE devem demonstrar conformidade com regras claras e aplicáveis, projetadas para proteger saúde, segurança e direitos fundamentais.