A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial (IA) dentro da UE. Entrou em vigor em 1 de agosto de 2024, com disposições tornando-se aplicáveis gradualmente ao longo dos 6 a 36 meses seguintes. A Lei abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou de uso não profissional. Como uma forma de regulamentação de produtos, ela não cria direitos individuais; em vez disso, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional.
A Lei classifica as aplicações de IA não isentas pelo seu risco de causar danos, com quatro níveis – inaceitável, alto, limitado e mínimo – além de uma categoria adicional para IA de propósito geral. Para IA de propósito geral, são impostos requisitos de transparência, com requisitos reduzidos para modelos de código aberto, e avaliações adicionais para modelos de alta capacidade. A Lei também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Como o Regulamento Geral sobre a Proteção de Dados da UE, a Lei pode ser aplicada extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE.
Histórico Legislativo
A Comissão Europeia propôs a Lei de IA em 21 de abril de 2021. O projeto foi revisado para abordar o aumento da popularidade de sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal. O Parlamento Europeu aprovou a Lei em 13 de março de 2024, e o Conselho da UE a aprovou por unanimidade em 21 de maio de 2024. O regulamento entrou em vigor em 1 de agosto de 2024, com uma implementação faseada: proibições de sistemas de risco inaceitável aplicadas a partir de fevereiro de 2025, obrigações de IA de propósito geral a partir de agosto de 2025, e a maioria das disposições de alto risco a partir de agosto de 2026.
Categorias de Risco
O esquema baseado em risco da Lei segue um modelo de segurança de produtos no qual os deveres regulatórios são atribuídos a provedores e implantadores de sistemas de IA, tornando-se mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta. Essa estrutura garante que a supervisão se concentre em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Risco Inaceitável
Aplicações de IA nesta categoria são proibidas, exceto por isenções específicas. Quando nenhuma isenção se aplica, isso inclui aplicações de IA que manipulam o comportamento humano, aquelas que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos, e aquelas usadas para pontuação social (classificando indivíduos com base em características pessoais, status socioeconômico ou comportamento).
Alto Risco
Aplicações de IA de alto risco são aquelas que se espera representarem ameaças significativas à saúde, segurança ou direitos fundamentais. Notavelmente, sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestrutura crítica, aplicação da lei ou justiça se enquadram nesta categoria. Eles estão sujeitos a obrigações de qualidade, transparência, supervisão humana e segurança, e em alguns casos exigem uma Avaliação de Impacto sobre os Direitos Fundamentais (AIDF) antes da implantação. Uma AIDF é uma revisão ex ante para identificar e mitigar impactos potenciais sobre os direitos fundamentais. Trabalhos anteriores sobre avaliações de impacto algorítmico sugeriram que tais ferramentas deveriam identificar indivíduos e comunidades afetados, descrever possíveis danos e fornecer uma base para escrutínio público e institucional. Sistemas de alto risco devem ser avaliados tanto antes da colocação no mercado quanto ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar a própria Lei de IA. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco Limitado
Sistemas de IA nesta categoria têm obrigações de transparência, garantindo que os usuários sejam informados de que estão interagindo com um sistema de IA e permitindo que façam escolhas informadas. Isso inclui aplicações de IA que geram ou manipulam imagens, som ou vídeos, como deepfakes.
Risco Mínimo
Esta categoria inclui sistemas de IA usados para videogames ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre nesta categoria. Esses sistemas não são regulamentados, e os estados-membros não podem impor regulamentações adicionais devido a regras de harmonização máxima. Leis nacionais existentes sobre o design ou uso de tais sistemas são anuladas. No entanto, um código de conduta voluntário é sugerido.
Disposições sobre IA de Propósito Geral
Adicionada em 2023, a categoria de IA de propósito geral inclui modelos de fundação que podem realizar uma ampla gama de tarefas, como modelos de linguagem de grande escala como o ChatGPT. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais; modelos de código fechado devem atender a requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos (exigindo mais de 10^25 operações de ponto flutuante para treinar) devem passar por avaliação extra.
Um Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade com a Lei de IA. A participação no código é voluntária.
Além dos deveres básicos de transparência, a Lei estabelece uma lista comum de obrigações para provedores de modelos de IA de propósito geral. Eles devem publicar um resumo dos dados de treinamento, adotar uma política para cumprir a lei de direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Modelos designados como representando risco sistêmico também devem realizar avaliações de modelo e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir um nível adequado de segurança cibernética.
Isenções
Os artigos 2.3 e 2.6 isentam sistemas de IA usados para fins militares ou de segurança nacional ou pesquisa e desenvolvimento puramente científica da Lei de IA. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou de segurança nacional, ou a sistemas desenvolvidos e colocados em serviço exclusivamente para pesquisa científica. O uso não profissional também é isento, o que significa que aplicações pessoais de IA não são cobertas.
Execução e Extraterritorialidade
A Lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Como o GDPR, a Lei pode ser aplicada extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE. Isso significa que empresas sediadas nos Estados Unidos, Ásia ou em outros lugares devem cumprir ao oferecer serviços de IA a residentes da UE. Autoridades nacionais de supervisão em cada estado-membro são responsáveis pela execução, com penalidades por não conformidade chegando a até 7% do faturamento anual global para práticas proibidas, embora valores específicos não sejam detalhados na fonte.
Impacto no Desenvolvimento de IA
As regras de IA de propósito geral da Lei têm implicações significativas para desenvolvedores de sistemas de IA generativa. Por exemplo, OpenAI, Anthropic e Google DeepMind devem garantir que seus modelos atendam aos requisitos de transparência e documentação quando implantados na UE. Modelos de código aberto, como os da Meta (não na lista fornecida, mas implícito), se beneficiam de obrigações reduzidas, incentivando a transparência no desenvolvimento de modelos. A Lei também influencia padrões globais, pois outras jurisdições podem adotar abordagens semelhantes baseadas em risco. A implementação faseada dá tempo aos provedores para se adaptarem, mas as avaliações de risco sistêmico para modelos de alta capacidade podem afetar o ritmo da pesquisa e implantação de IA.