A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial na UE. Entrou em vigor em 1 de agosto de 2024, com disposições que passaram a operar gradualmente ao longo dos 6 a 36 meses seguintes. A lei abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou para uso não profissional. Como forma de regulamentação de produtos, não cria direitos individuais; em vez disso, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional.
A lei classifica as aplicações de IA não isentas pelo seu risco de causar danos, com quatro níveis - inaceitável, alto, limitado, mínimo - além de uma categoria adicional para IA de propósito geral. Aplicações com riscos inaceitáveis são proibidas. Aplicações de alto risco devem cumprir obrigações de segurança, transparência e qualidade, e passar por avaliações de conformidade. Aplicações de risco limitado têm apenas obrigações de transparência. Aplicações de risco mínimo não são regulamentadas. Para IA de propósito geral, são impostos requisitos de transparência, com requisitos reduzidos para modelos de código aberto, e avaliações adicionais para modelos de alta capacidade. A lei também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir o cumprimento do regulamento. Como o Regulamento Geral de Proteção de Dados da UE, a lei pode ser aplicada extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE.
Histórico Legislativo
A Comissão Europeia propôs a Lei de IA em 21 de abril de 2021. O projeto foi revisado para abordar o aumento da popularidade de sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal. O Parlamento Europeu aprovou a lei em 13 de março de 2024, e o Conselho da UE a aprovou por unanimidade em 21 de maio de 2024. O regulamento entrou em vigor em 1 de agosto de 2024, com disposições implementadas gradualmente ao longo dos 6 a 36 meses seguintes.
Categorias de Risco
A Lei de IA adota uma abordagem baseada em risco, atribuindo deveres regulatórios a provedores e implantadores de sistemas de IA. Esses deveres se tornam mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta. Essa estrutura garante que a supervisão se concentre em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos considerados menos sensíveis.
Risco Inaceitável
Aplicações de IA nesta categoria são proibidas, exceto por isenções específicas. Quando nenhuma isenção se aplica, isso inclui aplicações de IA que manipulam o comportamento humano, aquelas que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos, e aquelas usadas para pontuação social (classificação de indivíduos com base em suas características pessoais, status socioeconômico ou comportamento).
Alto Risco
Aplicações de IA com probabilidade de representar ameaças significativas à saúde, segurança ou direitos fundamentais das pessoas se enquadram nesta categoria. Notavelmente, sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei ou justiça estão incluídos. Eles estão sujeitos a obrigações de qualidade, transparência, supervisão humana e segurança, e em alguns casos exigem uma Avaliação de Impacto sobre Direitos Fundamentais (FRIA) antes da implantação. Uma FRIA é uma revisão ex ante para identificar e mitigar impactos potenciais sobre direitos fundamentais antes que um sistema de IA seja implantado. Trabalhos anteriores sobre avaliações de impacto algorítmico sugeriram que tais ferramentas devem identificar quais indivíduos e comunidades são afetados por um sistema automatizado, descrever possíveis danos e fornecer uma base para o escrutínio público e institucional de seu uso. Sistemas de alto risco devem ser avaliados tanto antes de serem colocados no mercado quanto ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar a própria Lei de IA. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco Limitado
Sistemas de IA nesta categoria têm obrigações de transparência, garantindo que os usuários sejam informados de que estão interagindo com um sistema de IA e permitindo que façam escolhas informadas. Esta categoria inclui aplicações de IA que geram ou manipulam imagens, som ou vídeos, como deepfakes.
Risco Mínimo
Esta categoria inclui sistemas de IA usados para videogames ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre nesta categoria. Esses sistemas não são regulamentados, e os Estados-Membros não podem impor regulamentações adicionais devido às regras de harmonização máxima. Leis nacionais existentes sobre o design ou uso de tais sistemas são anuladas. No entanto, um código de conduta voluntário é sugerido.
Obrigações de IA de Propósito Geral
Adicionada em 2023, a categoria de IA de propósito geral inclui modelos de fundação (por exemplo, ChatGPT) que podem realizar uma ampla gama de tarefas. Se os pesos e o design de um modelo forem tornados de código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais; modelos de código fechado devem cumprir requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos (exigindo mais de 10^25 operações de ponto flutuante para treinar) devem passar por avaliação extra.
Além desses deveres básicos de transparência, a lei estabelece uma lista comum de obrigações para provedores de modelos de IA de propósito geral. Eles devem publicar um resumo dos dados de treinamento, adotar uma política para cumprir a lei de direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Modelos designados como de risco sistêmico também devem realizar avaliações de modelo e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir um nível adequado de cibersegurança.
Um Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade com a Lei de IA. A participação no código é voluntária.
Isenções
Os artigos 2.3 e 2.6 isentam sistemas de IA usados para fins militares ou de segurança nacional ou pesquisa e desenvolvimento puramente científica da Lei de IA. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou segurança nacional, ou a sistemas desenvolvidos e colocados em serviço exclusivamente para pesquisa científica.
Implementação e Execução
A lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir o cumprimento do regulamento. A implementação faseada significa que diferentes obrigações se tornam aplicáveis em momentos diferentes ao longo dos 6 a 36 meses seguintes à entrada em vigor. O escopo extraterritorial espelha o GDPR, aplicando-se a provedores de fora da UE se eles tiverem usuários dentro da UE.
Recepção e Análise
O esquema baseado em risco segue um modelo de segurança de produto, enquadrando "IA confiável" como sistemas que podem demonstrar conformidade com limites de segurança e risco. De acordo com uma avaliação inicial do Serviço de Pesquisa do Parlamento Europeu, a avaliação de impacto da Comissão se baseou em consultas às partes interessadas e em uma ampla gama de pesquisas existentes ao comparar opções de política para esse quadro baseado em risco.