EU AI Act: O que está em vigor agora e o que o Digital Omnibus mudou

O que é o EU AI Act

O EU AI Act (Regulamento UE 2024/1689) é o primeiro quadro jurídico abrangente do mundo para inteligência artificial. Foi publicado em 12 de julho de 2024 e entrou em vigor em 1 de agosto de 2024. A lei aplica-se horizontalmente a todos os setores e casos de uso de IA, usando uma abordagem baseada em risco para determinar quais obrigações se aplicam a cada sistema.

A lei cria obrigações para dois tipos principais de atores. Provedores desenvolvem sistemas de IA e os colocam no mercado da UE: fornecedores de software, empresas de SaaS, desenvolvedores de ferramentas de IA. Implantadores usam sistemas de IA em contexto profissional sob sua própria autoridade. A maioria das empresas, incluindo PMEs que usam ferramentas de IA prontas para RH, atendimento ao cliente ou operações, são implantadoras. Os provedores têm as obrigações mais pesadas. Implantadores de IA de alto risco têm obrigações menores, mas igualmente reais.

Os quatro níveis de risco

A lei classifica os sistemas de IA em quatro níveis. O nível determina suas obrigações: zero para a maior parte da IA cotidiana, banimento total para os usos mais perigosos.

IA proibida: o que foi banido desde fevereiro de 2025

As proibições do Capítulo II entraram em vigor em 2 de fevereiro de 2025. Se sua organização usa qualquer um dos itens abaixo, já está em violação.

• Manipulação subliminar: IA que influencia as pessoas através de técnicas que operam abaixo da percepção consciente para distorcer seu comportamento ou decisões de forma a causar danos.
• Explorando vulnerabilidades: IA que explora as vulnerabilidades de grupos específicos, idade, deficiência, situação social ou econômica, para distorcer seu comportamento de forma prejudicial.
• Pontuação social: IA utilizada pelas autoridades públicas para avaliar ou classificar indivíduos com base no seu comportamento social ou características pessoais, levando a um tratamento prejudicial ou desfavorável.
• Previsão de comportamento criminoso por perfil: IA que avalia o risco de uma pessoa cometer um crime com base apenas no perfil ou nos traços de personalidade, e não em fatos objetivos e verificáveis.
• Raspagem biométrica não direcionada: Sistemas de IA que criam ou expandem bancos de dados de reconhecimento facial coletando imagens da Internet ou filmagens de CFTV sem um propósito específico.
• Reconhecimento de emoções nos locais de trabalho e na educação: IA que infere as emoções de trabalhadores ou estudantes. Empregadores que usam ferramentas de monitoramento do humor ou do envolvimento precisam rever essas soluções agora.
• Categorização biométrica por atributos sensíveis: IA que categoriza pessoas com base em dados biométricos em grupos definidos por raça, opinião política, religião, orientação sexual ou outras características sensíveis.
• Identificação biométrica remota em tempo real em espaços públicos: IA utilizada para identificação biométrica em tempo real de pessoas em espaços acessíveis ao público, sujeita a exceções restritas e rigorosamente supervisionadas pela aplicação da lei.

IA de alto risco: as oito categorias do Anexo III

O Anexo III lista as categorias de sistemas de IA classificados como de alto risco. As emendas do Digital Omnibus de junho de 2026 adiaram as obrigações para fornecedores e implantadores nessas categorias para 2 de dezembro de 2027; o prazo original de agosto de 2026 não se aplica mais. Para a maioria das organizações, o risco concreto estará nas categorias de emprego e serviços financeiros.

O que os implantadores de IA de alto risco devem fazer

Quando sua organização usa um sistema de IA de alto risco, suas obrigações como implantador são distintas das do fornecedor. O fornecedor responde pelo projeto, documentação e avaliação de conformidade do sistema. Você responde por como ele é usado.

• Use conforme previsto: Use o sistema de acordo com as instruções do fornecedor. Modificações ou casos de uso fora do escopo previsto transferem a responsabilidade para você.
• Implemente supervisão humana: Designe uma pessoa com competência, autoridade e recursos suficientes para supervisionar a operação do sistema. Decisões de alto risco totalmente automatizadas, sem revisão humana real, não são permitidas.
• Monitore comportamento inesperado: Acompanhe o funcionamento do sistema e comunique incidentes graves ou falhas ao fornecedor e, quando necessário, à autoridade de fiscalização de mercado competente.
• Mantenha registros: Quando o sistema de IA gera logs automaticamente, retenha esses registros pelo período exigido pela lei aplicável.
• Informe os trabalhadores afetados: Quando o sistema afetar trabalhadores, por exemplo, em monitoramento de desempenho ou atribuição de tarefas, informe os trabalhadores e seus representantes antes de implantá-lo.
• Realize uma Avaliação de Impacto nos Direitos Fundamentais (FRIA): Órgãos públicos e implantadores de IA de alto risco para pontuação de crédito, seguros ou serviços equivalentes devem realizar e documentar uma FRIA antes da implantação.

Modelos de IA de uso geral: o que os implantadores precisam saber

Os modelos General Purpose AI (GPAI), os grandes modelos básicos que sustentam o ChatGPT, o Microsoft Copilot, o Google Gemini e ferramentas semelhantes, estão sujeitos a uma faixa separada na lei. As obrigações do GPAI sobre os fornecedores passaram a valer a partir de 2 de agosto de 2025.

Quando você usa um modelo GPAI por meio de uma API, um produto de assinatura ou uma plataforma como o Microsoft 365 Copilot, você é implantador desse sistema. O provedor, OpenAI, Microsoft ou Google, cumpre as principais obrigações de conformidade com a GPAI: documentação técnica, resumos de dados de treinamento e conformidade com as leis de direitos autorais da UE. Você herda essa conformidade por meio dos termos e da documentação de transparência deles.

A situação muda se você construir sobre um modelo GPAI. Se você ajustar um modelo básico, incorporá-lo a um produto que coloca no mercado, ou usá-lo para alimentar um aplicativo que se enquadre em uma categoria de alto risco do Anexo III, como uma ferramenta de triagem de currículos, você assume as obrigações de fornecedor desse aplicativo. A conformidade do provedor GPAI não cobre o produto de alto risco que você criou sobre ele.

Modelos GPAI com risco sistêmico

Modelos GPAI treinados com mais de 10²⁵ operações de ponto flutuante, equivalentes aos modelos de fronteira mais capazes disponíveis atualmente, são classificados como de risco sistêmico. Seus fornecedores enfrentam requisitos adicionais: testes adversariais, comunicação de incidentes ao Gabinete Europeu de IA, medidas de cibersegurança e relatórios de eficiência energética. Como implantador desses modelos, suas obrigações permanecem as mesmas, mas confirme que seu fornecedor GPAI está registrado no Gabinete de IA da UE e publicou a documentação de transparência exigida.

O cronograma de implementação

O que a maioria das empresas precisa fazer agora

Com o prazo do Anexo III movido para dezembro de 2027, você tem tempo para um inventário estruturado do uso de IA. Sem saber quais sistemas sua organização usa e em que contexto, não é possível avaliar as obrigações.

Etapa 1: inventariar seu uso de IA

Liste todos os sistemas de IA em uso na organização, não apenas os que a TI adquiriu, mas ferramentas adotadas por equipes e indivíduos. Inclua IA de produtividade (Copilot, ChatGPT), plataformas de RH com funcionalidades de IA, chatbots para clientes, ferramentas de detecção de fraude e plataformas analíticas que tomam ou influenciam decisões sobre pessoas. Shadow AI é um risco concreto: muitas organizações descobrem nesse processo que funcionários usam ferramentas de IA que a TI nunca revisou.

Etapa 2: classifique cada sistema por nível de risco

Para cada sistema identificado, determine qual nível se aplica. A pergunta central para a maioria das PMEs: esse sistema de IA toma ou apoia materialmente decisões sobre pessoas em contexto de emprego, educação, crédito ou serviços essenciais? Se sim, provavelmente é de alto risco. Chatbots em que os usuários sabem que falam com uma máquina são risco limitado. Mecanismos de recomendação e ferramentas de produtividade internas são risco mínimo.

Etapa 3: verifique seu RH e IA de recrutamento

Gestão de emprego e trabalhadores é a categoria do Anexo III mais relevante para o maior número de organizações. Se você usa qualquer ferramenta que automatize ou auxilie triagem de currículos, classificação de candidatos, agendamento de entrevistas, monitoramento de produtividade ou alocação de tarefas, verifique se o fornecedor tem documentação que confirme sua posição perante a lei de IA. Pergunte diretamente aos seus fornecedores de tecnologia de RH: seus sistemas são classificados como de alto risco sob o EU AI Act e qual é o roteiro de conformidade deles?

Etapa 4: revise sua exposição à IA proibida

Percorra as categorias de IA proibidas e verifique se alguma ferramenta atual se enquadra. Reconhecimento de emoções e monitoramento de local de trabalho são as duas exposições mais prováveis para organizações do setor privado. Qualquer plataforma que analise expressões faciais, tom de voz ou comportamento físico para inferir o estado emocional dos funcionários precisa ser revisada agora.

Etapa 5: atualize suas políticas de IA e informe sua força de trabalho

A lei exige que implantadores de IA de alto risco informem trabalhadores quando sistemas de IA influenciam decisões de emprego. Além do requisito legal, funcionários que sabem quais ferramentas de IA são usadas e como funcionam é boa governança. Atualize sua política de uso aceitável para cobrir IA generativa, documente quais ferramentas são aprovadas e para quais finalidades, e garanta que a pessoa responsável pela supervisão da IA tenha autoridade real e tempo para exercê-la.

Nossa equipe de auditorias e compliance estrutura avaliações de preparação para a lei de IA, do inventário à análise de lacunas e remediação. Nossa prática de consultoria em IA apoia empresas que implantam IA em setores regulamentados, incluindo serviços financeiros, saúde e hospitalidade.

A estrutura de multas

A lei define três faixas de penalidade. As autoridades nacionais de fiscalização de mercado respondem pela aplicação em cada Estado-Membro; o Gabinete Europeu de IA supervisiona diretamente os fornecedores de GPAI.

• Violações proibidas de IA: Até 35 milhões de euros ou 7% do volume de negócios anual total mundial, o que for maior.
• Não cumprimento das obrigações de IA de alto risco: Até 15 milhões de euros ou 3% do volume de negócios anual total mundial, o que for maior.
• Fornecer informações incorretas, incompletas ou enganosas às autoridades: Até 7,5 milhões de euros ou 1% do volume de negócios anual total mundial, o que for maior.

Para PMEs e empresas em fase de arranque, as multas ficam limitadas ao valor mais baixo entre o limite absoluto e a percentagem do faturamento. Os valores absolutos continuam expressivos em qualquer escala. O Gabinete Europeu de IA sinalizou que a aplicação inicial se concentrará nas violações mais graves e no descumprimento repetido ou negligente, e não em primeiras infrações técnicas de organizações que demonstram esforço genuíno de conformidade.