- As obrigações de transparência do Artigo 50 estão em vigor desde 5 de agosto de 2026: chatbots devem se identificar como IA, conteúdo sintético deve ser rotulado, deepfakes devem ser marcados
- As obrigações do Anexo III para IA de alto risco foram adiadas para 2 de dezembro de 2027 pelo Digital Omnibus
- Categorias de alto risco incluem recrutamento, pontuação de crédito, biometria, infraestrutura crítica, educação e aplicação da lei
- Organizações que usam IA (implantadores) têm obrigações legais distintas das dos fornecedores de IA
- Multas chegam a 35 milhões de euros ou 7% do faturamento global para as violações mais graves
- Um sprint estruturado de quatro semanas pode colocar a maioria das organizações em posição de conformidade defensável
O cronograma de aplicação
O AI Act da UE entrou em vigor em 1 de agosto de 2024 e sua aplicação avança em três ondas. A primeira, em vigor desde fevereiro de 2025, proibiu um conjunto de práticas de IA: sistemas de pontuação social operados por autoridades públicas, vigilância biométrica em tempo real em espaços públicos (com exceções restritas), IA projetada para explorar vulnerabilidades psicológicas e sistemas que coletam imagens faciais da internet para construir bancos de dados de reconhecimento.
A segunda onda chegou em agosto de 2025. Provedores de modelos de IA de propósito geral como GPT-4 da OpenAI, Claude da Anthropic e Gemini do Google ficaram sujeitos a novos requisitos de transparência e conformidade com direitos autorais. Essas obrigações recaem sobre os próprios desenvolvedores dos modelos, não sobre as empresas que acessam esses modelos via API.
A terceira onda chegou em 5 de agosto de 2026, mas se dividiu em duas partes. As obrigações de transparência do Artigo 50 entraram em vigor conforme previsto: sistemas de IA que interagem com pessoas devem revelar que são IA, conteúdo sintético deve ser rotulado e deepfakes exigem marcação explícita. O Escritório de IA da UE também obteve autoridade de fiscalização completa sobre fornecedores de GPAI na mesma data.
As obrigações do Anexo III para IA de alto risco não entraram em vigor na mesma data. Em junho de 2026, a UE adotou o Digital Omnibus sobre IA, um pacote de emendas que deslocou o prazo de conformidade para sistemas de alto risco autônomos de agosto de 2026 para 2 de dezembro de 2027.
Seu uso de IA é de alto risco? O que o Anexo III cobre
O Anexo III do AI Act lista oito categorias de uso de IA de alto risco, e a lista é mais ampla do que a maioria das organizações espera. Você não precisa construir modelos de machine learning para entrar no escopo. Uma ferramenta de terceiros que automatiza ou influencia materialmente uma decisão em qualquer uma dessas categorias já basta para torná-lo um implantador com obrigações legais.
As oito categorias são:
- Identificação e categorização biométrica de pessoas físicas, incluindo sistemas de identificação remota e ferramentas de reconhecimento de emoções
- Gestão de infraestrutura crítica, incluindo IA usada em operações de eletricidade, água, gás, transporte e infraestrutura digital
- Educação e formação profissional, incluindo IA que determina acesso a instituições educacionais ou avalia alunos (pontuação automatizada de exames, ranking de admissão)
- Emprego, gestão de trabalhadores e acesso ao autoemprego, incluindo triagem de currículos, ranking de recrutamento, monitoramento de desempenho e decisões de promoção ou demissão apoiadas por IA
- Serviços privados essenciais, incluindo IA usada em pontuação de crédito, avaliação de risco de seguros e subscrição de seguros de vida e saúde
- Aplicação da lei, incluindo IA usada para avaliação de risco de indivíduos, perfil, avaliação de evidências e análise de crimes
- Gestão de migração, asilo e controle de fronteiras, incluindo avaliação de risco de requerentes de visto e detecção de autenticidade de documentos
- Administração da justiça e processos democráticos, incluindo IA que auxilia tribunais na pesquisa ou aplicação da lei
O AI Act é direcionado a organizações que usam IA para tomar decisões consequentes sobre pessoas, não apenas às empresas que a constroem. A maioria das organizações afetadas compra e usa ferramentas de IA de terceiros.
O que sistemas de IA de alto risco devem ter até dezembro de 2027
Produzir resultados precisos não é suficiente. Cada sistema de IA de alto risco deve operar dentro de um framework documentado e auditável. O AI Act especifica oito requisitos obrigatórios.
- Sistema de gestão de riscos. Um processo contínuo e documentado para identificar e mitigar riscos ao longo do ciclo de vida do sistema. Não é uma avaliação única; deve ser mantido e atualizado conforme o sistema evolui.
- Governança de dados. Documentação dos dados de treinamento, validação e teste usados para construir o sistema. Os dados devem ser relevantes, representativos e livres de erros que possam levar a resultados discriminatórios.
- Documentação técnica. Um arquivo técnico detalhado descrevendo o design, desenvolvimento e capacidades do sistema. Esta documentação deve estar disponível às autoridades supervisoras nacionais mediante solicitação.
- Log automático. O sistema deve gerar logs de auditoria que registrem cada decisão ou output, permitindo revisão retrospectiva de como resultados específicos foram alcançados.
- Transparência e informação aos implantadores. Provedores devem fornecer aos implantadores documentação que lhes permita entender o sistema, usá-lo corretamente e cumprir suas próprias obrigações.
- Supervisão humana. Sistemas de IA de alto risco devem ser projetados para permitir revisão e substituição humana. Um humano deve poder intervir, corrigir ou interromper o sistema.
- Precisão, robustez e cibersegurança. Os sistemas devem atender a níveis definidos de precisão, ser resilientes contra tentativas de manipular outputs (ataques adversariais) e devem proteger os dados que processam.
- Declaração de conformidade da UE. Provedores devem emitir uma declaração formal de que o sistema atende aos requisitos do AI Act. Os sistemas devem ser registrados no banco de dados de IA da UE antes da implantação.
O banco de dados da UE para sistemas de IA de alto risco é um registro público. Antes que qualquer sistema de IA de alto risco possa ser implantado na UE, seu provedor deve registrá-lo. Implantadores devem confirmar com seus fornecedores que todas as ferramentas que usam estão registradas e têm declarações de conformidade válidas antes de dezembro de 2027.
Suas obrigações como implantador
Provedores devem: integrar gestão de riscos e governança de dados no próprio sistema, criar e manter documentação técnica, garantir que o sistema registre suas decisões, emitir a declaração de conformidade da UE, registrar o sistema no banco de dados de IA da UE e fornecer aos implantadores instruções claras de uso.
Implantadores devem: usar o sistema de acordo com as instruções do provedor e os requisitos do AI Act, conduzir sua própria avaliação de risco para o contexto específico de uso, implementar as medidas de supervisão humana que o provedor especifica, informar funcionários quando sistemas de IA monitoram ou avaliam seu desempenho, conduzir avaliações de impacto em direitos fundamentais onde aplicável, e manter registros do uso do sistema por pelo menos 10 anos.
Não assuma que seu fornecedor de IA está cuidando da conformidade. Muitos, incluindo os baseados fora da UE, ainda não iniciaram esse processo. Solicite evidências agora. Quando a aplicação começar, "estamos trabalhando na conformidade" não protege sua organização.
A estrutura de multas
O AI Act usa o mesmo modelo de penalidades em camadas do GDPR: as multas máximas correspondem ao valor mais alto entre um montante fixo em euros ou uma porcentagem do faturamento anual global.
- Violações de IA proibida (Artigo 5): até 35 milhões de euros ou 7% do faturamento anual global, o que for maior
- Não conformidade com IA de alto risco (obrigações do Anexo III não cumpridas): até 15 milhões de euros ou 3% do faturamento anual global, o que for maior
- Informações incorretas às autoridades: até 7,5 milhões de euros ou 1,5% do faturamento anual global, o que for maior
Para uma empresa com um bilhão de euros em receita global, uma falha de conformidade de alto risco expõe a organização a uma multa máxima de 30 milhões de euros. As autoridades supervisoras nacionais em cada Estado-membro da UE aplicam o AI Act. O precedente do GDPR indica que as maiores multas recaem sobre falhas sistemáticas e casos em que indivíduos sofreram danos concretos.
Um sprint de quatro semanas para estar pronto
Semana 1: construa seu inventário de IA
Pergunte a cada unidade de negócio: que software usamos para tomar ou recomendar decisões sobre pessoas? Inclua plataformas de RH, ferramentas de recrutamento, sistemas de CRM com pontuação de leads ou crédito, software de gestão de força de trabalho, ferramentas de detecção de fraude e sistemas de roteamento de atendimento ao cliente. Para cada ferramenta, registre o fornecedor, o caso de uso e em qual categoria do Anexo III ela se enquadra.
Semana 2: classifique e priorize
Para cada sistema de IA no seu inventário, determine se ele atende à definição do Anexo III de alto risco. Nem toda ferramenta automatizada se enquadra: um chatbot que roteia consultas de clientes fica fora do escopo. Um sistema que classifica candidatos a emprego ou pontua clientes para elegibilidade a empréstimos entra. Priorize os sistemas de alto risco para ação imediata e envolva sua equipe jurídica ou de conformidade para confirmar classificações onde houver dúvida.
Semana 3: envolva fornecedores e revise documentação
Entre em contato com cada fornecedor de um sistema de IA de alto risco e solicite três documentos: a declaração de conformidade da UE, o pacote de documentação técnica para implantadores e confirmação de que o sistema está registrado no banco de dados de IA da UE. Registre todas as comunicações por escrito. Se um fornecedor não conseguir produzir esses documentos, escale internamente e decida se o uso continuado dessa ferramenta é aceitável para o nível de risco da sua organização.
Semana 4: documente supervisão humana e inicie o log de decisões
Para cada sistema de IA de alto risco em uso, documente o processo de supervisão humana: quem revisa os outputs de IA, como podem substituir o sistema e como essas decisões ficam registradas. Notifique por escrito os funcionários cujo desempenho qualquer sistema monitora ou avalia. Comece a registrar decisões assistidas por IA em formato recuperável. Atribua um responsável nomeado para a conformidade contínua de cada sistema.
Onde focar agora
O prazo de dezembro de 2027 é fixo. Você não precisa abandonar as ferramentas de IA que geram valor; precisa operá-las com documentação, supervisão e responsabilização que a maioria das organizações ainda não formalizou.
A inação abre duas frentes de risco. Reguladores podem multar sua empresa quando a aplicação começar. Se uma decisão apoiada por IA prejudicar um indivíduo e você não conseguir demonstrar que salvaguardas adequadas estavam em vigor, você enfrenta responsabilidade civil além das penalidades regulatórias.
- Conclua um inventário de IA em todas as funções de negócio antes do final de julho
- Classifique cada uso de IA contra o Anexo III e confirme o escopo com consultor jurídico ou de conformidade
- Solicite documentação de conformidade da UE de cada fornecedor de sistema de IA de alto risco por escrito
- Documente procedimentos de supervisão humana para cada ferramenta de IA de alto risco atualmente em uso
- Notifique funcionários por escrito onde sistemas de IA avaliam ou monitoram seu desempenho
- Comece a registrar decisões assistidas por IA com detalhes suficientes para reconstruir a base de cada resultado
- Atribua um responsável nomeado para cada sistema de IA de alto risco e agende uma data de revisão para conformidade contínua
Ryland lidera programas de cibersegurança, conformidade e gestão de TI para organizações regulamentadas no Brasil, Reino Unido e Países Baixos há mais de 20 anos, com cargos sênior na Microsoft, ING, IPsoft, PPHE e mais. Perfil completo