O Código de Conduta para IA de Propósito Geral é um documento regulatório preliminar publicado pela Comissão Europeia em 2025, destinado a operacionalizar as obrigações impostas aos provedores de modelos de inteligência artificial de propósito geral (GPAI) sob o Ato de IA da UE. O código traduz requisitos legislativos de alto nível em medidas concretas e acionáveis para empresas que desenvolvem e implantam modelos de fundação, incluindo grandes modelos de linguagem e outros sistemas de IA generativa. Ele representa um passo fundamental no esforço da UE para estabelecer um padrão global de governança de IA, equilibrando inovação com proteções de direitos fundamentais.
O código foi desenvolvido por meio de um processo com múltiplas partes interessadas, envolvendo representantes da indústria, organizações da sociedade civil, academia e especialistas independentes. Ele aborda quatro pilares principais: transparência e conformidade com direitos autorais, identificação e avaliação de riscos, gestão interna de riscos e avaliação e mitigação de riscos sistêmicos. O rascunho foi publicado para consulta pública, com uma versão final esperada após a incorporação de feedback das partes interessadas e do Escritório Europeu de IA.
Contexto e Base Legal
O Ato de IA da UE, formalmente adotado em 2024, introduziu uma estrutura regulatória baseada em risco para sistemas de IA. Modelos GPAI, definidos como aqueles treinados em dados em larga escala e capazes de executar uma ampla gama de tarefas, estão sujeitos a obrigações específicas sob os Artigos 51-56 do Ato. Estas incluem fornecer documentação técnica, publicar resumos dos dados de treinamento e implementar políticas para respeitar a lei de direitos autorais da UE. Para modelos com risco sistêmico - aqueles com alta capacidade computacional ou impacto significativo - requisitos adicionais se aplicam, como testes adversariais e relatórios de incidentes.
O Código de Conduta não é um instrumento legal autônomo, mas um documento de orientação que a Comissão Europeia pretende usar como referência para conformidade. Provedores que aderem ao código são presumidos em conformidade com as disposições de GPAI do Ato de IA. Essa abordagem de "soft law" visa fornecer clareza e flexibilidade enquanto a Comissão desenvolve padrões harmonizados por meio de organizações europeias de padronização.
Processo de Desenvolvimento
Em novembro de 2024, o Escritório Europeu de IA lançou um processo de consulta para redigir o código. Quatro grupos de trabalho foram estabelecidos, cada um focado em um pilar específico. Os grupos incluíram representantes de grandes empresas de tecnologia como OpenAI, Anthropic, Google DeepMind e Amazon Web Services, bem como startups europeias, grupos da sociedade civil como Access Now e instituições acadêmicas incluindo MIT CSAIL e Stanford AI Lab. O processo foi presidido por especialistas independentes, incluindo o cientista da computação Michael I. Jordan e a estudiosa jurídica Marietje Schaake.
Os grupos de trabalho se reuniram virtualmente e presencialmente ao longo de vários meses, produzindo rascunhos iterativos. O primeiro rascunho completo foi publicado em 14 de abril de 2025, seguido por um período de comentários públicos de seis semanas. Mais de 500 submissões foram recebidas de 40 países, refletindo o interesse global na regulamentação de IA da UE. A versão final está programada para adoção no final de 2025, com um período de transição para os provedores alinharem suas práticas.
Pilar Um: Transparência e Direitos Autorais
O primeiro pilar exige que os provedores de GPAI mantenham documentação técnica detalhada, incluindo arquitetura do modelo, fontes de dados de treinamento e recursos computacionais utilizados. Os provedores devem publicar um resumo suficientemente detalhado do conteúdo de treinamento, conforme exigido pelo Artigo 53(1)(a) do Ato de IA. O código especifica que este resumo deve incluir informações sobre categorias de dados, idiomas e a proveniência dos conjuntos de dados, respeitando segredos comerciais.
A conformidade com direitos autorais é uma preocupação central. O código obriga os provedores a implementar medidas de última geração para identificar e respeitar reservas de direitos expressas por detentores de direitos autorais, como o uso de protocolos de opt-out legíveis por máquina. Também exige que os provedores documentem suas políticas para cumprir a Diretiva da UE sobre Direitos Autorais no Mercado Único Digital, particularmente em relação às exceções de mineração de texto e dados. O rascunho sugere que os provedores devem manter registros de quaisquer reclamações relacionadas a direitos autorais e suas resoluções.
Pilar Dois: Identificação e Avaliação de Riscos
O segundo pilar foca em processos internos para identificar e avaliar riscos associados a modelos GPAI. Os provedores devem estabelecer um sistema de gestão de riscos que cubra todo o ciclo de vida do modelo, desde a coleta de dados e treinamento até a implantação e monitoramento pós-mercado. O código recomenda uma abordagem estruturada baseada em estruturas existentes como a Estrutura de Gestão de Riscos de IA do NIST, adaptada ao contexto da UE.
Categorias específicas de risco incluem viés e discriminação, violações de privacidade, falhas de segurança e potencial uso indevido para desinformação ou ataques cibernéticos. Espera-se que os provedores conduzam exercícios de red-teaming e testes adversariais, particularmente para modelos com alta capacidade. O código também exige documentação das metodologias de avaliação de riscos, incluindo métricas usadas para medir viés (por exemplo, paridade demográfica) e robustez (por exemplo, desempenho sob mudança de distribuição).
Pilar Três: Gestão Interna de Riscos
O terceiro pilar detalha medidas de governança e operacionais. Os provedores devem nomear uma pessoa ou equipe responsável pela conformidade de IA, com linhas claras de responsabilidade. O código recomenda estabelecer um conselho de revisão interna que inclua perspectivas diversas, incluindo eticistas e especialistas jurídicos, para supervisionar decisões de risco. Programas de treinamento para funcionários sobre segurança e ética de IA também são obrigatórios.
Medidas técnicas incluem implementar Model Pruning e outras técnicas de otimização para reduzir comportamentos não intencionais, bem como manter controle de versão e trilhas de auditoria para atualizações de modelo. Os provedores também devem estabelecer protocolos de resposta a incidentes, incluindo procedimentos para relatar incidentes graves ao Escritório Europeu de IA dentro de 15 dias. O código enfatiza a importância de Data Augmentation e Curriculum Learning como métodos para melhorar a robustez do modelo e reduzir modos de falha conhecidos.
Pilar Quatro: Avaliação e Mitigação de Riscos Sistêmicos
Para modelos considerados de risco sistêmico - definidos como aqueles que exigem mais de 10^25 operações de ponto flutuante por execução de treinamento - o código impõe obrigações adicionais. Os provedores devem conduzir avaliações abrangentes usando benchmarks padronizados e testes de estresse, incluindo avaliações de capacidades ofensivas cibernéticas, conhecimento de armas químicas ou biológicas e potencial de replicação autônoma. O rascunho referencia metodologias de BAIR (Berkeley AI Research) e University of Oxford sobre avaliação de risco de IA de fronteira.
Medidas de mitigação incluem implementar Reinforcement Learning from AI Feedback (RLAIF) (aprendizado por reforço a partir de feedback de IA) e Gradient Clipping para estabilizar o treinamento, bem como implantar Top-K Sampling e Temperature Scaling para controlar o comportamento de geração. Os provedores também devem se comprometer a compartilhar descobertas de segurança com o Escritório Europeu de IA e, quando apropriado, com outros provedores. O código incentiva a participação em iniciativas conjuntas de pesquisa de segurança, como aquelas lideradas por Anthropic e Google DeepMind.
Resposta da Indústria e Críticas
O rascunho do código recebeu reações mistas. Grandes empresas de tecnologia geralmente receberam bem a clareza que ele fornece, mas expressaram preocupações sobre custos de conformidade e o potencial de regulamentação excessiva. OpenAI e Anthropic se comprometeram publicamente a atender aos requisitos do código, enquanto Google Cloud e Microsoft Azure notaram a necessidade de alinhamento internacional para evitar fragmentação. Startups europeias, como AI21 Labs e Mistral AI, argumentaram que a ênfase do código em documentação poderia desfavorecer players menores com recursos limitados.
Organizações da sociedade civil elogiaram o foco em transparência e direitos autorais, mas criticaram a falta de mecanismos de execução vinculantes. Alguns acadêmicos, incluindo Melanie Mitchell e Aleksander Madry, questionaram a viabilidade das avaliações de risco propostas, observando que os métodos atuais de avaliação são insuficientes para prever capacidades emergentes. O OpenPanel, um órgão consultivo independente, recomendou disposições mais fortes para divulgação pública de dados de treinamento e auditorias de terceiros mais rigorosas.
Próximos Passos e Cronograma de Implementação
A Comissão Europeia planeja finalizar o código até dezembro de 2025, incorporando feedback da consulta. Uma vez adotado, o código entrará em vigor em 2 de agosto de 2026, coincidindo com a data de aplicação geral do Ato de IA para obrigações de GPAI. Os provedores terão um período de transição de seis meses para alinhar suas práticas, com o Escritório Europeu de IA conduzindo verificações de conformidade a partir do início de 2027.
Espera-se que o código influencie a governança de IA além da UE, já que outras jurisdições, incluindo Canadá e Japão, expressaram interesse em adotar estruturas semelhantes. A comunidade de Artificial intelligence monitorará de perto sua implementação, particularmente em relação a como os limites de risco sistêmico são aplicados e se o código equilibra com sucesso inovação com segurança pública. Em meados de 2025, o texto final permanece sujeito a mudanças, e as partes interessadas continuam engajadas no processo de elaboração de regras.