A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia relativo à inteligência artificial (IA), estabelecendo um quadro regulamentar e jurídico comum para a IA na UE. O regulamento entrou em vigor em 1 de agosto de 2024, com disposições que serão aplicadas gradualmente ao longo dos 6 a 36 meses seguintes. Abrange a maioria dos sistemas de IA numa vasta gama de setores, com exceções para a IA utilizada apenas para fins militares, de segurança nacional, de investigação ou para uso não profissional. Como forma de regulamentação de produtos, não cria direitos individuais; em vez disso, impõe deveres aos fornecedores de IA e às organizações que utilizam IA num contexto profissional.
A Lei classifica as aplicações de IA não isentas de acordo com o seu risco de causar danos, com quatro níveis - inaceitável, alto, limitado, mínimo - além de uma categoria adicional para IA de uso geral. As aplicações com riscos inaceitáveis são proibidas. As aplicações de alto risco devem cumprir obrigações de segurança, transparência e qualidade e passar por avaliações de conformidade. As aplicações de risco limitado têm apenas obrigações de transparência. As aplicações de risco mínimo não são regulamentadas. Para a IA de uso geral, são impostos requisitos de transparência, com requisitos reduzidos para modelos de código aberto, e avaliações adicionais para modelos de alta capacidade. A Lei também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir o cumprimento do regulamento. Tal como o Regulamento Geral sobre a Proteção de Dados da UE, a Lei pode aplicar-se extraterritorialmente a fornecedores fora da UE se tiverem utilizadores dentro da UE.
Histórico Legislativo
Proposta pela Comissão Europeia em 21 de abril de 2021, o projeto de Lei foi aprovado pelo Parlamento Europeu em 13 de março de 2024 e aprovado por unanimidade pelo Conselho da UE em 21 de maio de 2024. O projeto foi revisado para abordar o aumento da popularidade dos sistemas de IA generativa, como o ChatGPT, cujas capacidades de uso geral não se enquadravam no quadro principal. O texto final foi publicado no Jornal Oficial da UE em julho de 2024, com o regulamento entrando em vigor em 1 de agosto de 2024. O cronograma de aplicação faseada significa que as proibições de sistemas de risco inaceitável se tornaram aplicáveis em fevereiro de 2025, enquanto as obrigações de IA de uso geral e as regras de governança seguiram-se em agosto de 2025, e a maioria dos requisitos para sistemas de alto risco está programada para agosto de 2026 ou posteriormente.
Categorias de Risco
A Lei estabelece um esquema baseado em risco seguindo um modelo de segurança de produtos no qual os deveres regulamentares são atribuídos a fornecedores e implantadores de sistemas de IA, com deveres que se tornam mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta. Esta estrutura garante que a supervisão se concentre em sistemas suscetíveis de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Risco Inaceitável
As aplicações de IA nesta categoria são proibidas, exceto em casos de isenções específicas. Quando nenhuma isenção se aplica, isto inclui aplicações de IA que manipulam o comportamento humano, aquelas que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos e aquelas usadas para pontuação social (classificação de indivíduos com base em características pessoais, status socioeconômico ou comportamento). Essas proibições entraram em vigor em fevereiro de 2025, seis meses após a entrada em vigor.
Alto Risco
As aplicações de IA que se espera representarem ameaças significativas à saúde, segurança ou direitos fundamentais das pessoas enquadram-se nesta categoria. Notavelmente, os sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei ou justiça estão incluídos. Estão sujeitos a obrigações de qualidade, transparência, supervisão humana e segurança e, em alguns casos, exigem uma Avaliação de Impacto sobre os Direitos Fundamentais (AIDF) antes da implantação. Uma AIDF é uma revisão ex ante para identificar e mitigar potenciais impactos sobre os direitos fundamentais antes de um sistema de IA ser implantado. Trabalhos anteriores sobre avaliações de impacto algorítmico sugeriram que tais ferramentas devem identificar quais indivíduos e comunidades são afetados por um sistema automatizado, descrever possíveis danos e fornecer uma base para o escrutínio público e institucional do seu uso. Os sistemas de alto risco devem ser avaliados tanto antes de serem colocados no mercado quanto ao longo do seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar a própria Lei de IA. Os cidadãos também têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem os seus direitos.
Risco Limitado
Os sistemas de IA nesta categoria têm obrigações de transparência, garantindo que os utilizadores sejam informados de que estão a interagir com um sistema de IA e permitindo-lhes fazer escolhas informadas. Esta categoria inclui aplicações de IA que geram ou manipulam imagens, som ou vídeos, como deepfakes. Estes deveres de transparência aplicam-se a partir de agosto de 2026, embora algumas disposições relacionadas com a transparência da IA de uso geral tenham entrado em vigor mais cedo.
Risco Mínimo
Esta categoria inclui sistemas de IA usados para jogos de vídeo ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre nesta categoria. Estes sistemas não são regulamentados, e os Estados-Membros não podem impor regulamentações adicionais devido a regras de harmonização máxima. As leis nacionais existentes relativas à conceção ou uso de tais sistemas são anuladas. No entanto, um código de conduta voluntário é sugerido.
IA de Uso Geral
Adicionada em 2023, a categoria de IA de uso geral inclui modelos de fundação, como o ChatGPT, que podem realizar uma ampla gama de tarefas. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treino e uma política de direitos de autor; os modelos de código fechado devem cumprir requisitos de transparência mais amplos. Os modelos de alto impacto que representam riscos sistémicos, exigindo mais de 10^25 operações de ponto flutuante para treinar, devem passar por avaliação adicional. Um Código de Prática de IA de Uso Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos de autor e segurança e proteção para ajudar os fornecedores a demonstrar conformidade com a Lei de IA. A participação no código é voluntária.
Além dos deveres básicos de transparência, a Lei estabelece uma lista comum de obrigações para os fornecedores de modelos de IA de uso geral. Eles devem publicar um resumo dos dados de treino, adotar uma política para cumprir a lei de direitos de autor e fornecer documentação técnica a fornecedores a jusante e autoridades de supervisão. Os modelos designados como representando risco sistémico também devem realizar avaliações de modelos e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir um nível adequado de cibersegurança.
Isenções
Os artigos 2.3 e 2.6 isentam os sistemas de IA usados para fins militares ou de segurança nacional ou investigação e desenvolvimento puramente científica da Lei de IA. O Regulamento não se aplica quando os sistemas de IA são usados exclusivamente para fins militares, de defesa ou de segurança nacional, ou a sistemas desenvolvidos e colocados em serviço exclusivamente para investigação científica. Além disso, a IA usada para atividades pessoais não profissionais fica fora do âmbito de aplicação. Estas isenções significam que o desenvolvimento de IA relacionado com a defesa, como o trabalho de organizações como bhabha-atomic-research, não está sujeito às obrigações da Lei.
Execução e Governança
A Lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir o cumprimento do regulamento. Cada Estado-Membro deve designar autoridades nacionais competentes para a vigilância do mercado e supervisão dos sistemas de IA. A Comissão Europeia desempenha um papel central na supervisão dos modelos de IA de uso geral, incluindo a designação de modelos de risco sistémico. Os mecanismos de execução incluem multas por incumprimento, que podem chegar a 35 milhões de euros ou 7% do volume de negócios anual global para práticas proibidas, com limites mais baixos para outras violações. O âmbito extraterritorial significa que os fornecedores fora da UE, incluindo grandes empresas de tecnologia como openai, anthropic e google-deepmind, devem cumprir se oferecerem serviços de IA a utilizadores dentro da UE.
Cronograma de Implementação
A aplicação faseada começou com as proibições de sistemas de risco inaceitável em fevereiro de 2025. As regras de governança e as obrigações de IA de uso geral, incluindo o estabelecimento do Conselho de IA e o código de prática, tornaram-se aplicáveis em agosto de 2025. As obrigações de transparência para sistemas de risco limitado e a maioria dos requisitos de sistemas de alto risco estão programadas para se aplicarem a partir de agosto de 2026. Os sistemas de alto risco incorporados em produtos regulamentados, como dispositivos médicos ou veículos, têm um cronograma estendido até agosto de 2027. Esta abordagem escalonada permite que fornecedores e implantadores tenham tempo para adaptar os seus quadros de conformidade.
Impacto e Receção
Os estudiosos do direito notaram que a Lei enquadra a "IA confiável" como sistemas que podem demonstrar conformidade com limites de segurança e risco. De acordo com uma avaliação inicial do Serviço de Estudos do Parlamento Europeu, a avaliação de impacto da Comissão baseou-se em consultas às partes interessadas e numa vasta gama de investigação existente ao comparar opções políticas para este quadro baseado em risco. A abordagem da Lei influenciou as discussões globais sobre regulamentação de IA, com outras jurisdições a examinar o modelo da UE. No entanto, alguns observadores da indústria levantaram preocupações sobre os custos de conformidade para fornecedores mais pequenos, enquanto grupos da sociedade civil defenderam proteções mais fortes em áreas como vigilância biométrica. O código de conduta voluntário para sistemas de risco mínimo e o código de prática de IA de uso geral representam esforços para incentivar melhores práticas além dos requisitos obrigatórios.