A Lei de Inteligência Artificial é um regulamento da União Europeia que estabelece um quadro regulatório e legal comum para a inteligência artificial em todos os estados-membros. O regulamento entrou em vigor em 1º de agosto de 2024, com suas disposições sendo aplicadas gradualmente ao longo dos 6 a 36 meses seguintes. Ele define as regras para a maioria dos sistemas de IA usados na UE, isentando aqueles empregados para fins militares, de segurança nacional, de pesquisa ou não profissionais. Seguindo um modelo de segurança de produtos, ele atribui deveres a provedores e usuários profissionais de IA, com o objetivo de promover tanto a inovação quanto os direitos fundamentais dos cidadãos.
A proposta originou-se da Comissão Europeia em 21 de abril de 2021, passou por revisões substanciais para abordar o surgimento de sistemas de IA generativa, como o ChatGPT da OpenAI, foi aprovada pelo Parlamento Europeu em 13 de março de 2024 e foi aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. A Lei de IA, assim como o Regulamento Geral sobre a Proteção de Dados, pode ser aplicada extraterritorialmente a provedores de jurisdições fora da UE se eles tiverem usuários dentro da UE. As regras são implementadas por meio de uma classificação de risco em quatro níveis, complementada por uma categoria dedicada para IA de propósito geral, visando estimular uma adoção gerenciável enquanto mitiga possíveis danos.
Adoção e cronograma legislativo
O caminho para a adoção foi um processo de vários anos. A Comissão Europeia, atuando como órgão executivo da UE, apresentou um primeiro rascunho em 21 de abril de 2021. Esse rascunho foi construído com base nas avaliações da Comissão, consultas às partes interessadas e pesquisas existentes sobre opções de políticas. A proposta refletia a ambição de posicionar a UE como um estado inovador em IA, estabelecendo padrões para a governança regulatória, semelhante ao Regulamento Geral sobre a Proteção de Dados de 2016 no campo da proteção de dados.
As negociações foram reiniciadas entre 2022 e 2023, quando a popularidade dos modelos de IA generativa, como o ChatGPT e similares grandes modelos de linguagem, destacou que o rascunho original, focado em sistemas tradicionais de aprendizado de máquina, não abrangia facilmente tais capacidades. Os legisladores integraram, assim, uma seção totalmente nova para IA de propósito geral. Essa mudança foi formalizada no texto final, abordando redes neurais que poderiam executar uma ampla variedade de tarefas.
Em 13 de março de 2024, o Parlamento aprovou o texto final e, em 21 de maio de 2024, o Conselho da UE o aprovou por unanimidade. A publicação oficial do regulamento seguiu-se e ele entrou formalmente em vigor em 1º de agosto de 2024. No entanto, as obrigações são implementadas apenas gradualmente. As proibições de IA de risco inaceitável, consequentemente adiadas, tornaram-se efetivas mais cedo, assim como as regras de identificação biométrica em tempo real. O conjunto completo de regras, incluindo a maioria das avaliações de conformidade de alto risco, já entrou ou entrará em vigor dentro de 36 meses a partir da entrada em vigor.
Classificação baseada em risco
A estrutura central da Lei de IA da UE é um quadro em níveis de risco, modelado com base na lei de segurança de produtos. A classificação atribui obrigações com base no impacto potencial sobre a saúde, a segurança ou os direitos fundamentais. Essa abordagem visa concentrar a supervisão nos sistemas com maior potencial de dano, enquanto reduz a burocracia para usos de menor risco.
Os quatro níveis de risco explícitos são: inaceitável, alto, limitado e mínimo. Além disso, a Lei adiciona uma quinta categoria especificamente projetada para IA de propósito geral, introduzida durante revisões posteriores.
Risco inaceitável
Aplicações classificadas como risco inaceitável são proibidas de imediato, embora existam exceções restritas. Por exemplo, a proibição abrange sistemas de IA que empregam manipulação subliminar além da consciência de uma pessoa para distorcer o comportamento, exploram vulnerabilidades devido à idade, deficiência ou situação econômica, ou levam a danos físicos ou psicológicos. Também são proibidos sistemas usados para pontuação social, classificando indivíduos com base em características pessoais, status socioeconômico ou comportamento por parte de autoridades públicas ou privadas. Sistemas de identificação biométrica remota em tempo real em espaços publicamente acessíveis são geralmente proibidos, com exceções limitadas que podem se aplicar no caso de certos crimes graves, e sujeitos à aprovação judicial prévia.
Alto risco
Sistemas de IA de alto risco são aqueles que representam ameaças significativas à saúde, segurança ou direitos fundamentais. Isso inclui uma ampla gama de aplicações em setores como saúde, educação, emprego, infraestrutura crítica, aplicação da lei, migração e justiça. Provedores e implantadores de sistemas de IA de alto risco devem cumprir obrigações rigorosas de segurança, transparência, qualidade e supervisão humana. Eles estão sujeitos a avaliações de conformidade, seja por autoavaliação ou por organismos notificados de terceiros, dependendo da aplicação. Para áreas de alto risco que impactam direitos fundamentais - como na aplicação da lei ou migração - o provedor deve conduzir uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação. Esta é uma verificação ex ante para identificar e mitigar impactos potenciais sobre indivíduos e comunidades afetados. Tais sistemas são obrigados a ser avaliados antes de serem colocados no mercado e novamente ao longo de seu ciclo de vida. A lista de aplicações de alto risco pode ser expandida sem a necessidade de um novo regulamento. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
Risco limitado
Sistemas no nível de risco limitado são aqueles com obrigações apenas de transparência. Nesta categoria, os indivíduos devem ser informados de que estão interagindo com um sistema de IA, por exemplo, ao usar um chatbot. Da mesma forma, conteúdo gerado ou manipulado por IA, como deepfakes, deve ser claramente rotulado como tal, a menos que o consentimento seja fornecido pelas pessoas. Essa obrigação permite que os usuários entendam a natureza do conteúdo ou interação e façam escolhas informadas.
Risco mínimo
A categoria mínima - talvez perto de 80% dos sistemas de IA - inclui videogames, filtros de spam e similares. Esses sistemas não têm obrigações especiais sob o regulamento. Sob as regras de harmonização máxima, os estados-membros também não podem impor requisitos de licenciamento extras ou estruturas de conformidade adicionais para eles. Leis nacionais existentes são ainda mais sobrepostas na medida em que as substituem. No entanto, a Lei incentiva a adesão voluntária a códigos de conduta para esses usos de baixo risco.
Categoria de IA de propósito geral
Em 2023, o texto foi estendido com uma camada dedicada para IA de propósito geral, como redes baseadas em transformadores que produzem recomendações, texto ou imagens. Isso inclui modelos de fundação como grandes modelos de linguagem. Os responsáveis publicam um resumo de transparência dos dados de treinamento, adotam políticas de conformidade com direitos autorais e fornecem documentação técnica a provedores subsequentes e autoridades de supervisão.
Provedores de código aberto com uma ressalva específica: se os pesos e o design do modelo estiverem disponíveis gratuitamente, eles devem contornar os requisitos de transparência mais rigorosos, mas ainda devem publicar uma política de direitos autorais e um certo grau de resumo dos dados de treinamento. Modelos mais capazes ou de alto impacto, aqueles que exigem mais de 10²⁵ operações de ponto flutuante multiplicadas (isto é, 10.000.000.000.000.000.000.000.000) para treinar, estão sujeitos a obrigações extras, incluindo testes adversariais, avaliações de modelo, mitigação de riscos relacionados a viés e segurança, relatórios de incidentes e cibersegurança adequada - isso abrange os chamados modelos de IA de risco sistêmico.
Para provedores de propósito geral, o regulamento foi complementado por um 'Código de Prática de IA de Propósito Geral' publicado pela primeira vez em 10 de julho de 2025. Ele contém três capítulos principais cobrindo transparência, direitos autorais e segurança/proteção prevista, ajudando os provedores a demonstrar alinhamento com o regulamento.
Execução e aplicação extraterritorial
A Lei de IA constrói uma estrutura de governança abrangente, estabelecendo um Conselho Europeu de Inteligência Artificial com representantes dos estados-membros para promover cooperação, consistência e orientação. Autoridades nacionais de supervisão independentes cooperam com o conselho, realizando tarefas de reclamações, vigilância de mercado e medidas de execução. Assim como com o GDPR, a Lei também tem escopo extraterritorial em mente para provedores externos: se eles oferecerem sistemas ou serviços de IA dentro da União, suas empresas domésticas precisam cumprir, mesmo aquelas fisicamente estabelecidas em outras partes do globo.
Isenções e escopo
Sistemas de IA usados exclusivamente para fins militares, de defesa ou segurança nacional são excluídos do regulamento, assim como sistemas desenvolvidos para pesquisa e desenvolvimento científico puro. A redação não deixa espaço para atividades fora das linhas de isenção. O uso não profissional também não é coberto. O regulamento não cria por si só direitos individuais; em vez disso, impõe deveres a provedores e organizações, de modo que os direitos sobre aqueles pareçam