As penalidades do AI Act da UE constituem o quadro de aplicação do Regulamento de Inteligência Artificial da União Europeia (Regulamento (UE) 2024/1689), que entrou em vigor em 1 de agosto de 2024. As penalidades são concebidas para garantir a conformidade com o primeiro regulamento horizontal abrangente do mundo para sistemas de inteligência artificial. Elas estabelecem um sistema escalonado de multas administrativas, variando de €7,5 milhões ou 1,5% do volume de negócios anual global para infrações menores a €35 milhões ou 7% para as violações mais graves, dependendo da categoria da infração e do tamanho da empresa. Essas penalidades aplicam-se a fornecedores, implantadores, importadores, distribuidores e representantes autorizados de sistemas de IA no mercado da UE, independentemente de onde estejam sediados, refletindo o alcance extraterritorial do regulamento.
A estrutura de penalidades é calibrada de acordo com a abordagem baseada em risco do AI Act da UE, que classifica as aplicações de IA em quatro categorias: proibidas, de alto risco, de risco limitado e de risco mínimo. As multas mais altas são reservadas para violações que envolvem práticas de IA proibidas, como pontuação social por governos, identificação biométrica remota em tempo real em espaços publicamente acessíveis (com exceções restritas) e sistemas de IA manipulativos ou exploradores. O regulamento também introduz multas específicas para o fornecimento de informações incorretas a organismos notificados ou autoridades nacionais competentes, e para o não cumprimento das obrigações de transparência para sistemas de IA generativa, incluindo grandes modelos de linguagem e modelos de IA de uso geral.
Práticas de IA Proibidas e Multas Máximas
Nos termos do Artigo 5 do AI Act da UE, certas práticas de IA são consideradas inaceitáveis e são totalmente proibidas. As violações dessas proibições atraem o nível mais alto de penalidade: até €35 milhões ou 7% do volume de negócios anual total mundial da empresa infratora no exercício financeiro anterior, o que for maior. Esse limite aplica-se tanto a fornecedores quanto a implantadores. As práticas proibidas incluem:
- Implantar sistemas de IA que usam técnicas subliminares ou exploram vulnerabilidades de grupos específicos (por exemplo, crianças ou pessoas com deficiência) para distorcer materialmente o comportamento de uma forma que cause dano.
- Explorar vulnerabilidades relacionadas à idade, deficiência ou situação socioeconômica.
- Avaliar ou classificar indivíduos com base no comportamento social ou em características pessoais previstas (pontuação social) que leve a tratamento prejudicial.
- Usar identificação biométrica remota em tempo real em espaços publicamente acessíveis para aplicação da lei, exceto em situações estritamente definidas (por exemplo, busca de pessoas desaparecidas, prevenção de ameaças terroristas iminentes) com autorização judicial prévia.
O limite de 7% é significativamente maior do que as multas máximas sob o Regulamento Geral de Proteção de Dados (GDPR) da UE, que são de €20 milhões ou 4% do volume de negócios global. Isso reflete a determinação da UE em fazer cumprir a segurança da IA e os direitos fundamentais.
Sistemas de IA de Alto Risco e Multas por Não Conformidade
Para violações das obrigações relacionadas a sistemas de IA de alto risco (Anexo III do Regulamento), que incluem IA usada em infraestrutura crítica, educação, emprego, serviços essenciais, aplicação da lei, migração e justiça, as multas são fixadas em até €15 milhões ou 3% do volume de negócios anual global, o que for maior. Os sistemas de alto risco devem cumprir requisitos rigorosos, incluindo gestão de riscos, governança de dados, documentação técnica, manutenção de registros, transparência, supervisão humana, precisão, robustez e cibersegurança. O não cumprimento dessas obrigações, como não realizar avaliações de conformidade ou não registrar o sistema no banco de dados da UE, aciona esse nível de penalidade.
Obrigações de Transparência e Multas de Nível Inferior
Os sistemas de IA que interagem com humanos, como chatbots, deepfakes e sistemas de reconhecimento de emoções, devem divulgar sua natureza de IA aos usuários. O não cumprimento dessas obrigações de transparência resulta em multas de até €7,5 milhões ou 1,5% do volume de negócios global, o que for maior. Esse nível também se aplica a violações por implantadores que não usam sistemas de alto risco de acordo com as instruções, ou que expõem tais sistemas sem salvaguardas adequadas.
Multas por Informações Incorretas
O fornecimento de informações incorretas, incompletas ou enganosas a organismos notificados ou autoridades nacionais em resposta a uma solicitação pode levar a multas de até €5 milhões ou 1% do volume de negócios global. Esta é uma infração separada concebida para garantir a integridade dos processos de avaliação de conformidade e vigilância do mercado.
Cálculo e Agregação de Multas
As multas são calculadas com base no volume de negócios anual total mundial da empresa no exercício financeiro anterior. Para empresas que fazem parte de um grupo, o volume de negócios de todo o grupo é considerado. Se ocorrerem múltiplas violações, as multas são agregadas, mas o total não pode exceder o máximo mais alto para a infração mais grave. As penalidades não prejudicam outros recursos disponíveis sob a lei da UE ou nacional, incluindo pedidos de indenização de indivíduos afetados.
Cronograma de Aplicação e Períodos Transitórios
O AI Act da UE inclui datas de aplicação escalonadas. A proibição de práticas proibidas aplica-se a partir de 2 de fevereiro de 2025. As obrigações de IA de uso geral, incluindo as dos modelos GPT da OpenAI, Claude da Anthropic e Gemini do Google DeepMind, tornam-se aplicáveis a partir de 2 de agosto de 2025. Os requisitos de sistemas de alto risco aplicam-se a partir de 2 de agosto de 2026 para a maioria dos sistemas, com algumas exceções para produtos já cobertos pela legislação existente da UE (por exemplo, dispositivos médicos, máquinas) até 2 de agosto de 2027. Os estados-membros devem designar autoridades nacionais competentes e estabelecer penalidades eficazes, proporcionais e dissuasivas até 2 de agosto de 2025. O Gabinete Europeu de IA, estabelecido dentro da Comissão Europeia, coordena a aplicação no nível da UE.
Governança e Autoridades de Supervisão
O AI Act da UE estabelece uma estrutura de governança que inclui o Conselho Europeu de Inteligência Artificial, composto por representantes dos estados-membros e do Supervisor Europeu de Proteção de Dados. As autoridades nacionais de vigilância do mercado são responsáveis por aplicar as penalidades em seus territórios. Elas têm o poder de conduzir investigações, solicitar documentação e impor multas. Para sistemas de IA que apresentam risco grave, as autoridades podem ordenar sua retirada do mercado ou recall. Em casos transfronteiriços, as autoridades cooperam por meio do Conselho para garantir uma aplicação consistente.
Impacto na Indústria Global de IA
As penalidades têm implicações significativas para empresas de tecnologia globais, incluindo Amazon Web Services, Microsoft Azure, Google Cloud e Alibaba Cloud, que fornecem infraestrutura de IA. Empresas como Intel, AMD, Nvidia e Qualcomm que fornecem chips de IA podem ser afetadas se seus produtos forem usados em sistemas de alto risco. O escopo extraterritorial significa que qualquer fornecedor ou implantador que ofereça serviços de IA a usuários da UE deve cumprir, independentemente da localização. Isso levou a esforços globais de conformidade, com muitas empresas estabelecendo estruturas de governança de IA e conduzindo auditorias. As penalidades são vistas como um referencial para outras jurisdições, como EUA, China e Canadá, que estão desenvolvendo suas próprias regulamentações de IA.
As multas são concebidas para serem dissuasivas, mas também visam fomentar a inovação ao fornecer regras claras. Pequenas e médias empresas (PMEs) e startups estão sujeitas às mesmas penalidades, mas o Regulamento inclui disposições para sandboxes regulatórios e multas reduzidas para PMEs em certos casos, embora as reduções exatas sejam deixadas aos estados-membros. Em 2025, nenhuma multa foi imposta ainda, pois as datas de aplicação ainda estão no futuro. No entanto, a ameaça de penalidades já levou muitas organizações a iniciar preparativos de conformidade, incluindo avaliações de risco e documentação.
Comparação com Outras Multas Regulatórias
As penalidades do AI Act da UE estão entre as mais altas na regulamentação digital da UE. O máximo do GDPR de €20 milhões ou 4% é menor, enquanto o Regulamento dos Mercados Digitais (DMA) pode impor multas de até 10% do volume de negócios global para infrações sistêmicas, e até 20% para violações repetidas. O limite de 7% do AI Act é maior que o do GDPR, mas menor que o do DMA, refletindo os diferentes objetivos políticos. As penalidades também são notáveis por seu cálculo baseado no volume de negócios, que garante que grandes corporações enfrentem multas substanciais, enquanto entidades menores podem pagar valores absolutos mais baixos.
Desenvolvimentos Futuros e Desafios
À medida que as datas de aplicação se aproximam, permanecem questões sobre a aplicação prática das penalidades. A definição de 'volume de negócios anual global' é clara, mas a interpretação de 'colocação no mercado' e 'entrada em serviço' pode levar a desafios legais. Espera-se que a Comissão Europeia emita diretrizes sobre a implementação das penalidades. Além disso, o Regulamento permite pagamentos periódicos de penalidades para compelir a conformidade, que podem ser de até 5% do volume de negócios diário médio. A eficácia das penalidades dependerá dos recursos e da experiência das autoridades nacionais. A UE também está trabalhando em um código de prática para IA de uso geral, que esclarecerá ainda mais as obrigações e possíveis penalidades.
Em resumo, as penalidades do AI Act da UE representam um mecanismo robusto de aplicação concebido para garantir que os sistemas de IA sejam desenvolvidos e usados de uma maneira que respeite os direitos fundamentais e a segurança. As multas escalonadas, variando de €5 milhões a €35 milhões ou até 7% do volume de negócios global, sinalizam o compromisso da UE em responsabilizar as organizações. À medida que o cenário da IA evolui, essas penalidades provavelmente serão testadas na prática, moldando o comportamento dos desenvolvedores e implantadores de IA em todo o mundo.