A data de alto risco da Lei de IA da UE marca o dia a partir do qual as obrigações de conformidade mais substanciais da Lei de Inteligência Artificial (Lei de IA) da União Europeia se tornam aplicáveis. Caindo em 2 de agosto de 2026, exatamente 24 meses após o regulamento entrar em vigor, esta data aciona obrigações para provedores e implantadores de sistemas de IA classificados como de alto risco sob a estrutura baseada em risco da Lei. A Lei de IA, proposta pela Comissão Europeia em 21 de abril de 2021 e aprovada pelo Parlamento Europeu em 13 de março de 2024 e pelo Conselho da UE em 21 de maio de 2024, estabelece uma estrutura regulatória comum para inteligência artificial em toda a UE, aplicando-se extraterritorialmente a provedores fora do bloco se tiverem usuários dentro dele.
A categoria de alto risco abrange sistemas de IA que representam ameaças significativas à saúde, segurança ou direitos fundamentais, incluindo aqueles usados em saúde, educação, recrutamento, gestão de infraestrutura crítica, aplicação da lei e justiça. A partir da data de alto risco, esses sistemas devem cumprir obrigações de segurança, transparência e qualidade, passar por avaliações de conformidade e, em alguns casos, exigir uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação. A data faz parte de um cronograma escalonado no qual as disposições da Lei se tornam operacionais gradualmente ao longo de 6 a 36 meses, com as obrigações de alto risco chegando na marca de 24 meses.
Cronograma Regulatório e Escalonamento
A Lei de IA entrou em vigor em 1º de agosto de 2024, mas suas disposições foram projetadas para serem implementadas gradualmente ao longo do tempo para permitir que as partes interessadas se adaptassem. As primeiras proibições de aplicações de risco inaceitável, como pontuação social e identificação biométrica remota em tempo real em espaços públicos, entraram em vigor em 2 de fevereiro de 2025, seis meses após a entrada em vigor. As obrigações de IA de propósito geral, incluindo requisitos de transparência para modelos de fundação, tornaram-se aplicáveis em 2 de agosto de 2025. A data de alto risco de 2 de agosto de 2026 representa o terceiro marco importante, aplicando o conjunto mais extenso de deveres a uma ampla gama de sistemas de IA.
Uma quarta fase, cobrindo sistemas de IA de alto risco incorporados em produtos já regulados por outra legislação da UE, como dispositivos médicos e máquinas, está programada para 2 de agosto de 2027. Essa abordagem escalonada reflete o modelo de segurança de produtos da Lei, onde os deveres regulatórios são atribuídos a provedores e implantadores, e esses deveres se tornam mais exigentes à medida que os impactos potenciais sobre saúde, segurança ou direitos fundamentais aumentam. A Comissão Europeia projetou esse cronograma para dar aos desenvolvedores, particularmente pequenas e médias empresas, tempo para incorporar mecanismos de conformidade em seus ciclos de vida de produtos.
Escopo da Classificação de Alto Risco
Os sistemas de IA de alto risco são definidos no Anexo III da Lei e cobrem oito áreas específicas: identificação e categorização biométrica de pessoas físicas; gestão e operação de infraestrutura crítica; educação e formação profissional; emprego, gestão de trabalhadores e acesso ao trabalho autônomo; acesso e usufruto de serviços privados essenciais e serviços e benefícios públicos; aplicação da lei; gestão de migração, asilo e controle de fronteiras; e administração da justiça e processos democráticos. Os sistemas nessas áreas são presumidos como de alto risco, a menos que executem tarefas processuais estreitas, melhorem o resultado de atividades humanas previamente concluídas ou não afetem os direitos dos indivíduos.
A classificação é dinâmica. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar a própria Lei de IA, por meio de atos delegados da Comissão Europeia. Essa flexibilidade permite que o regulamento responda a usos emergentes de tecnologias de aprendizado de máquina e aprendizado profundo. Os provedores devem avaliar seus sistemas tanto antes de colocá-los no mercado quanto ao longo de seu ciclo de vida, com obrigações de manter documentação técnica, implementar sistemas de gestão de risco, garantir governança de dados e permitir supervisão humana.
Avaliações de Conformidade e Avaliações de Impacto sobre Direitos Fundamentais
Um requisito central a partir da data de alto risco é a avaliação de conformidade, um procedimento que verifica se um sistema de IA atende aos requisitos da Lei antes de ser colocado no mercado da UE. Para a maioria dos sistemas de alto risco, os provedores conduzem uma autoavaliação contra normas harmonizadas, enquanto sistemas em certas categorias, como identificação biométrica, exigem o envolvimento de um organismo notificado. A avaliação cobre práticas de treinamento de dados, desempenho do modelo, medidas de segurança cibernética e a precisão e robustez do sistema.
Para sistemas de alto risco usados em administração pública, aplicação da lei ou serviços essenciais, os implantadores também devem conduzir uma Avaliação de Impacto sobre Direitos Fundamentais (FRIA) antes da implantação. Essa revisão ex ante identifica e mitiga impactos potenciais sobre direitos fundamentais, descrevendo quais indivíduos e comunidades são afetados, possíveis danos e fornecendo uma base para escrutínio público e institucional. O requisito de FRIA baseia-se em trabalhos anteriores sobre avaliações de impacto algorítmico e visa garantir que a implantação de IA não infrinja desproporcionalmente os direitos protegidos pela legislação da UE.
Os cidadãos ganham novos direitos processuais a partir da data de alto risco. Eles podem apresentar reclamações sobre sistemas de IA às autoridades nacionais de supervisão e receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos. Esses direitos não criam causas de ação individuais sob a própria Lei, pois ela é uma forma de regulamentação de produtos, mas complementam os remédios existentes sob o Regulamento Geral de Proteção de Dados e leis nacionais.
Obrigações para Provedores e Implantadores
Os provedores de sistemas de IA de alto risco devem estabelecer um sistema de gestão de qualidade, manter documentação técnica, implementar monitoramento pós-comercialização e tomar medidas corretivas quando os sistemas apresentarem riscos. Eles também devem garantir que os dados de treinamento, validação e teste sejam relevantes, representativos e livres de viés, quando viável. As obrigações de transparência exigem que os usuários sejam informados ao interagir com um sistema de IA e que os sistemas sejam projetados para permitir supervisão humana, incluindo a capacidade de interpretar saídas e intervir ou interromper a operação.
Os implantadores, as organizações que usam IA de alto risco em um contexto profissional, têm deveres separados. Eles devem usar os sistemas de acordo com as instruções, atribuir supervisão humana a pessoal adequadamente treinado, monitorar sinais de risco e relatar incidentes graves às autoridades. Implantadores do setor público devem registrar seus sistemas em um banco de dados da UE antes da implantação. Esses deveres se aplicam independentemente de o implantador estar baseado na UE, pois a Lei pode se aplicar extraterritorialmente a provedores e implantadores com usuários dentro da UE.
Relação com IA de Propósito Geral e Modelos Generativos
A data de alto risco opera em conjunto com uma categoria separada para IA de propósito geral, adicionada durante o processo legislativo em 2023 para abordar o surgimento de sistemas de IA generativa como o ChatGPT. Modelos de propósito geral, incluindo modelos de linguagem de grande escala construídos em arquiteturas transformer, não são automaticamente de alto risco, mas enfrentam seus próprios requisitos de transparência. Modelos de código aberto devem publicar resumos de dados de treinamento e políticas de direitos autorais, enquanto modelos de código fechado enfrentam deveres de transparência mais amplos. Modelos de alto impacto que exigem mais de 10^25 operações de ponto flutuante para treinar devem passar por avaliações adicionais para riscos sistêmicos.
A distinção importa para a data de alto risco porque alguns sistemas de IA de propósito geral podem ser implantados em contextos de alto risco. Um modelo de fundação usado em recrutamento ou saúde, por exemplo, poderia acionar obrigações de alto risco para o implantador, mesmo que o modelo em si seja regulado sob a categoria de propósito geral. A estrutura da Lei atribui deveres tanto ao provedor do modelo quanto ao implantador, criando responsabilidades de conformidade sobrepostas. O Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, fornece orientação voluntária sobre transparência, direitos autorais e segurança, mas não substitui os requisitos obrigatórios de alto risco.
Execução e Governança
A data de alto risco ativa mecanismos de execução supervisionados por autoridades nacionais de supervisão e pelo Conselho Europeu de Inteligência Artificial, que promove a cooperação nacional e garante conformidade consistente. Cada estado-membro da UE deve designar uma autoridade de vigilância de mercado responsável por monitorar sistemas de alto risco, conduzir verificações e impor penalidades por não conformidade. As multas podem chegar a até 35 milhões de euros ou 7 por cento do faturamento anual global por violações envolvendo práticas proibidas, com multas menores, mas ainda substanciais, para outras infrações.
A Comissão Europeia mantém um banco de dados público de sistemas de IA de alto risco, que implantadores do setor público devem usar para registro. A Lei também incentiva o desenvolvimento de normas harmonizadas por organizações europeias de normalização, que fornecerão especificações técnicas para conformidade. Onde as normas ainda não estiverem disponíveis, os provedores podem contar com especificações comuns adotadas pela Comissão. Essa estrutura de governança é projetada para garantir que a data de alto risco leve a uma supervisão significativa, em vez de mera conformidade formal.
Impacto na Indústria e na Inovação
A data de alto risco tem implicações significativas para desenvolvedores e usuários de IA em todos os setores. Empresas que desenvolvem IA para diagnóstico médico, avaliação educacional, contratação ou aplicação da lei devem redesenhar seus fluxos de trabalho para atender aos requisitos da Lei. Isso inclui documentar a proveniência dos dados, implementar processos de gestão de risco e garantir trilhas de auditoria. O ônus da conformidade é substancial, mas a Lei permite abordagens mais leves para sistemas considerados menos sensíveis, e a maioria das aplicações de IA, como videogames e filtros de spam, se enquadra na categoria de risco mínimo e não é regulamentada.
Para provedores fora da UE, o alcance extraterritorial da Lei significa que empresas nos Estados Unidos, China e outros lugares devem cumprir se oferecerem sistemas de IA de alto risco a usuários da UE. Isso levou a uma convergência global nas práticas de governança de IA, pois muitas empresas multinacionais aplicam os padrões da Lei em suas operações. A data de alto risco também interage com outros regulamentos digitais da UE, incluindo o Regulamento Geral de Proteção de Dados e a proposta de Diretiva de Responsabilidade por IA, criando um cenário regulatório complexo, mas coerente, para inteligência artificial na Europa.