O Artificial Intelligence Act (AI Act) é um regulamento da União Europeia que estabelece um quadro regulamentar e jurídico comum para a inteligência artificial na UE. Entrou em vigor em 1 de agosto de 2024, com disposições a entrarem em funcionamento gradualmente ao longo dos 6 a 36 meses seguintes. O regulamento abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou para uso não profissional. Como uma forma de regulamentação de produtos, não cria direitos individuais; em vez disso, impõe deveres aos fornecedores de IA e às organizações que usam IA em um contexto profissional.
O regulamento classifica as aplicações de IA não isentas pelo seu risco de causar danos, criando quatro níveis - inaceitável, alto, limitado e mínimo - além de uma categoria adicional para IA de propósito geral. Este esquema baseado em risco segue um modelo de segurança de produtos no qual os deveres regulamentares são atribuídos a fornecedores e implantadores de sistemas de IA, com deveres se tornando mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta. A estrutura visa focar a supervisão em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos menos sensíveis.
Histórico Legislativo
A Comissão Europeia propôs o AI Act em 21 de abril de 2021. O Parlamento Europeu o aprovou em 13 de março de 2024, e o Conselho da UE o aprovou por unanimidade em 21 de maio de 2024. Durante o processo legislativo, o projeto foi revisado para abordar o aumento da popularidade de sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal. Esta revisão adicionou a categoria de IA de propósito geral em 2023, cobrindo modelos de fundação que podem executar uma ampla gama de tarefas.
O regulamento também cria um Comitê Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade. Como o Regulamento Geral sobre a Proteção de Dados da UE, o regulamento pode ser aplicado extraterritorialmente a fornecedores de fora da UE se eles tiverem usuários dentro da UE.
Categorias de Risco
Risco Inaceitável
Aplicações de IA nesta categoria são proibidas, exceto por isenções específicas. Quando nenhuma isenção se aplica, isso inclui aplicações de IA que manipulam o comportamento humano, aquelas que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos e aquelas usadas para pontuação social - classificando indivíduos com base em características pessoais, status socioeconômico ou comportamento.
Risco Alto
Aplicações de alto risco são aquelas que se espera representar ameaças significativas à saúde, segurança ou direitos fundamentais das pessoas. Notavelmente, sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestruturas críticas, aplicação da lei ou justiça se enquadram nesta categoria. Esses sistemas estão sujeitos a obrigações de qualidade, transparência, supervisão humana e segurança. Em alguns casos, eles exigem uma Avaliação de Impacto sobre os Direitos Fundamentais (AIDF) antes da implantação - uma revisão ex ante para identificar e mitigar impactos potenciais sobre os direitos fundamentais. Eles devem ser avaliados tanto antes de serem colocados no mercado quanto ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida ao longo do tempo sem modificar o próprio AI Act. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco Limitado
Sistemas de IA de risco limitado têm obrigações de transparência, garantindo que os usuários sejam informados de que estão interagindo com um sistema de IA e permitindo que façam escolhas informadas. Esta categoria inclui aplicações de IA que geram ou manipulam imagens, som ou vídeos, como deepfakes.
Risco Mínimo
Aplicações de risco mínimo incluem sistemas de IA usados para videogames ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre nesta categoria. Esses sistemas não são regulamentados, e os estados membros não podem impor regulamentações adicionais devido a regras de harmonização máxima. Leis nacionais existentes sobre o design ou uso de tais sistemas são anuladas. No entanto, um código de conduta voluntário é sugerido.
IA de Propósito Geral
A categoria de IA de propósito geral, adicionada em 2023, inclui modelos de fundação que podem executar uma ampla gama de tarefas. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais. Modelos de código fechado devem cumprir requisitos de transparência mais amplos. Modelos de alto impacto que representam riscos sistêmicos - exigindo mais de 10²⁵ operações de ponto flutuante para treinar - devem passar por avaliação adicional.
Além dos deveres básicos de transparência, o regulamento estabelece uma lista comum de obrigações para fornecedores de modelos de IA de propósito geral. Eles devem publicar um resumo dos dados de treinamento, adotar uma política para cumprir a lei de direitos autorais e fornecer documentação técnica a fornecedores downstream e autoridades de supervisão. Modelos designados como representando risco sistêmico também devem realizar avaliações de modelo e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir um nível adequado de segurança cibernética.
Um Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os fornecedores a demonstrar conformidade. A participação no código é voluntária.
Isenções
Os artigos 2.3 e 2.6 isentam sistemas de IA usados para fins militares ou de segurança nacional ou pesquisa e desenvolvimento puramente científica do AI Act. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou segurança nacional, ou a sistemas desenvolvidos e colocados em serviço somente para esses fins.
Cronograma de Implementação
O regulamento entrou em vigor em 1 de agosto de 2024, com disposições sendo implementadas gradualmente ao longo de 6 a 36 meses. Esta abordagem escalonada permite que fornecedores e implantadores tenham tempo para se adaptar às novas obrigações. O Comitê Europeu de Inteligência Artificial apoia a cooperação nacional e a aplicação consistente entre os estados membros.
Impacto e Interpretação
Alguns estudiosos do direito argumentam que, na prática, o regulamento enquadra a "IA confiável" como sistemas que podem demonstrar conformidade com limites de segurança e risco. De acordo com uma avaliação inicial do Serviço de Pesquisa do Parlamento Europeu, a avaliação de impacto da Comissão baseou-se em consultas às partes interessadas e em uma ampla gama de pesquisas existentes ao comparar opções de política para o quadro baseado em risco. A aplicação extraterritorial significa que fornecedores não pertencentes à UE com usuários na UE também devem cumprir, semelhante ao alcance do Regulamento Geral sobre a Proteção de Dados.
Conceitos Relacionados
A abordagem baseada em risco do AI Act relaciona-se com desenvolvimentos mais amplos na governança de inteligência artificial. Suas disposições sobre IA de propósito geral se cruzam com tecnologias como modelos de linguagem de grande porte e IA generativa. Os requisitos de transparência para deepfakes se conectam a aplicações de aprendizado profundo. O foco do regulamento em setores de alto risco, como saúde e aplicação da lei, reflete preocupações também abordadas por organizações como Google DeepMind e OpenAI em suas pesquisas de segurança. A Avaliação de Impacto sobre os Direitos Fundamentais baseia-se em trabalhos anteriores em avaliações de impacto algorítmico, semelhante à pesquisa de instituições como MIT CSAIL e Stanford AI Lab.