A Lei de Inteligência Artificial (AI Act) é um regulamento da União Europeia que estabelece um quadro regulatório e jurídico comum para a inteligência artificial (IA) dentro da UE. Entrou em vigor em 1º de agosto de 2024, com disposições que entrarão em operação gradualmente ao longo dos 6 a 36 meses seguintes. A lei abrange a maioria dos sistemas de IA em uma ampla gama de setores, com isenções para IA usada apenas para fins militares, de segurança nacional, de pesquisa ou para uso não profissional. Como uma forma de regulamentação de produtos, ela não cria direitos individuais; em vez disso, impõe deveres aos provedores de IA e às organizações que usam IA em um contexto profissional.
A lei classifica as aplicações de IA não isentas pelo seu risco de causar danos. Há quatro níveis – inaceitável, alto, limitado, mínimo – além de uma categoria adicional para IA de propósito geral. Para IA de propósito geral, são impostos requisitos de transparência, com requisitos reduzidos para modelos de código aberto, e avaliações adicionais para modelos de alta capacidade. A lei também cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade com o regulamento. Como o Regulamento Geral de Proteção de Dados da UE, a lei pode se aplicar extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE.
Histórico Legislativo
A Comissão Europeia propôs a Lei de IA em 21 de abril de 2021. Ela foi aprovada pelo Parlamento Europeu em 13 de março de 2024 e aprovada por unanimidade pelo Conselho da UE em 21 de maio de 2024. O projeto de lei foi revisado para abordar o aumento da popularidade dos sistemas de IA generativa, como o ChatGPT, cujas capacidades de propósito geral não se encaixavam no quadro principal. A categoria de IA de propósito geral foi adicionada em 2023, refletindo o rápido desenvolvimento de modelos de linguagem de grande porte e outros sistemas de IA generativa.
Categorias de Risco
A lei adota uma abordagem baseada em risco, atribuindo deveres regulatórios aos provedores e implantadores de sistemas de IA. Esses deveres tornam-se mais exigentes à medida que o impacto potencial na saúde, segurança ou direitos fundamentais aumenta. As categorias são:
- Risco inaceitável – Aplicações de IA nesta categoria são proibidas, exceto por isenções específicas. Isso inclui aplicações de IA que manipulam o comportamento humano, aquelas que usam identificação biométrica remota em tempo real (como reconhecimento facial) em espaços públicos e aquelas usadas para pontuação social (classificando indivíduos com base em suas características pessoais, status socioeconômico ou comportamento).
- Alto risco – Aplicações de IA que se espera representem ameaças significativas à saúde, segurança ou direitos fundamentais. Isso inclui sistemas de IA usados em saúde, educação, recrutamento, gestão de infraestrutura crítica, aplicação da lei ou justiça. Eles estão sujeitos a obrigações de qualidade, transparência, supervisão humana e segurança e, em alguns casos, exigem uma Avaliação de Impacto sobre Direitos Fundamentais antes da implantação. Eles devem ser avaliados tanto antes de serem colocados no mercado quanto ao longo de seu ciclo de vida. Os cidadãos têm o direito de apresentar reclamações sobre sistemas de IA e de receber explicações sobre decisões tomadas por IA de alto risco que afetem seus direitos.
- Risco limitado – Sistemas de IA nesta categoria têm obrigações de transparência, garantindo que os usuários sejam informados de que estão interagindo com um sistema de IA. Isso inclui aplicações de IA que geram ou manipulam imagens, som ou vídeos (como deepfakes).
- Risco mínimo – Isso inclui sistemas de IA usados para videogames ou filtros de spam. Espera-se que a maioria das aplicações de IA se enquadre nesta categoria. Esses sistemas não são regulamentados, e os Estados-Membros não podem impor regulamentações adicionais devido às regras de harmonização máxima. Leis nacionais existentes sobre o design ou uso de tais sistemas são anuladas. Um código de conduta voluntário é sugerido.
O esquema baseado em risco segue um modelo de segurança de produto, garantindo que a supervisão se concentre em sistemas com probabilidade de criar riscos significativos, permitindo abordagens mais leves para usos considerados menos sensíveis. Alguns estudiosos do direito argumentam que, na prática, a lei enquadra a "IA confiável" como sistemas que podem demonstrar conformidade com esses limites de segurança e risco.
Obrigações de IA de Propósito Geral
A categoria de IA de propósito geral inclui modelos de fundação (por exemplo, ChatGPT) que podem executar uma ampla gama de tarefas. Os provedores de modelos de IA de propósito geral devem publicar um resumo dos dados de treinamento, adotar uma política para cumprir a lei de direitos autorais e fornecer documentação técnica a provedores downstream e autoridades de supervisão. Se os pesos e o design de um modelo forem disponibilizados como código aberto, os desenvolvedores devem publicar um resumo dos dados de treinamento e uma política de direitos autorais; modelos de código fechado devem cumprir requisitos de transparência mais amplos.
Modelos de alto impacto que representam riscos sistêmicos (exigem mais de 10^25 operações de ponto flutuante para treinar) devem passar por avaliação extra. Esses modelos também devem realizar avaliações de modelo e testes adversariais, avaliar e mitigar riscos como viés e falhas de segurança, relatar incidentes graves e garantir um nível adequado de segurança cibernética.
Um Código de Prática de IA de Propósito Geral, publicado em 10 de julho de 2025, descreve três capítulos principais sobre transparência, direitos autorais e segurança e proteção para ajudar os provedores a demonstrar conformidade com a Lei de IA. A participação no código é voluntária.
Isenções
Os artigos 2.3 e 2.6 isentam sistemas de IA usados para fins militares ou de segurança nacional ou pesquisa e desenvolvimento científico puro da Lei de IA. O regulamento não se aplica onde sistemas de IA são usados exclusivamente para fins militares, de defesa ou segurança nacional, ou a sistemas desenvolvidos e colocados em serviço exclusivamente para pesquisa científica. O uso não profissional também é isento.
Execução e Extraterritorialidade
A lei cria um Conselho Europeu de Inteligência Artificial para promover a cooperação nacional e garantir a conformidade com o regulamento. Como o Regulamento Geral de Proteção de Dados da UE, a lei pode se aplicar extraterritorialmente a provedores de fora da UE se eles tiverem usuários dentro da UE. Isso significa que empresas como OpenAI, Anthropic e Google DeepMind podem estar sujeitas à lei se oferecerem serviços a usuários da UE.
Impacto no Desenvolvimento de IA
As disposições de IA de propósito geral da Lei de IA têm implicações significativas para o desenvolvimento e implantação de sistemas de IA. Os provedores agora devem considerar obrigações de transparência e direitos autorais desde a fase de design. O requisito de publicar resumos de dados de treinamento pode afetar modelos proprietários, enquanto modelos de código aberto enfrentam requisitos reduzidos, potencialmente incentivando um desenvolvimento mais aberto. As avaliações de risco sistêmico para modelos de alta capacidade podem influenciar o treinamento de redes neurais muito grandes, pois os provedores podem precisar alocar recursos para testes de segurança.
A lei também interage com tendências mais amplas em aprendizado de máquina e aprendizado profundo. Por exemplo, o foco na transparência está alinhado com os esforços para documentar dados de treinamento e comportamento do modelo, como visto na pesquisa sobre poda de modelos e aumento de dados. Os requisitos da lei para documentação técnica podem levar os provedores a adotar práticas mais rigorosas, como aquelas usadas em arquiteturas de transformadores e mecanismos de atenção multi-cabeça.
Recepção e Críticas
A Lei de IA tem sido recebida com reações mistas. Algumas partes interessadas acolhem a clareza regulatória que ela fornece, enquanto outras expressam preocupações sobre custos de conformidade e possível sufocamento da inovação. O alcance extraterritorial tem sido um ponto particular de debate, pois pode afetar provedores globais de IA. O código de prática voluntário para sistemas de risco mínimo é visto como uma abordagem flexível, mas alguns argumentam que as categorias de risco da lei nem sempre são claras, especialmente para IA de propósito geral que pode ser usada em múltiplos contextos.
Em 2025, a lei está em sua fase de implementação gradual, com disposições entrando em operação ao longo de 6 a 36 meses a partir de agosto de 2024. O impacto total na indústria de IA ficará mais claro à medida que a execução começar e a jurisprudência se desenvolver.