EU AI Act
Por que isso importa
Em profundidade
A lei entrou em vigor em agosto de 2024, mas se aplica em fases, e não de uma vez. As proibições de práticas de risco inaceitável, junto com uma exigência geral de literacia em IA, entraram em vigor em fevereiro de 2025. As obrigações para modelos de IA de uso geral vieram em agosto de 2025, e o grosso do regime de alto risco chegaria em agosto de 2026 até que o ómnibus digital, em vigor desde julho de 2026, o adiasse para 2 de dezembro de 2027, com a IA embutida em produtos já regulamentados (dispositivos médicos, máquinas, veículos) tendo até 2 de agosto de 2028. O resultado é um calendário de conformidade contínuo que equipes jurídicas e de engenharia acompanham junto com esforços mais amplos de regulamentação de IA no mundo todo, e ela se tornou o documento-âncora da maioria dos programas corporativos de governança de IA.
Os Quatro Níveis de Risco
A lei classifica os sistemas de IA em quatro níveis. Usos de risco inaceitável são proibidos diretamente: pontuação social por governos, técnicas manipulativas que exploram vulnerabilidades, raspagem não direcionada de imagens faciais para construir bancos de dados de reconhecimento, reconhecimento de emoções em locais de trabalho e escolas, e a maioria das identificações biométricas remotas em tempo real por forças policiais em espaços públicos. Usos de alto risco — triagem de contratação e promoção, pontuação de crédito, admissões em educação, infraestrutura crítica, identificação biométrica e IA usada como componente de segurança de produtos regulamentados — são legais, mas carregam obrigações pesadas: um sistema de gestão de riscos, controles de governança de dados para detectar viés nos dados de treinamento, documentação técnica, registro de logs, supervisão humana e cadastro em um banco de dados da UE antes da implantação. Sistemas de risco limitado devem principalmente transparência: chatbots precisam revelar que são IA, e conteúdo sintético como deepfakes precisa ser rotulado. Todo o resto — filtros de spam, IA de jogos, a maioria dos ajustes de recomendação — é risco mínimo e não enfrenta nenhuma obrigação nova.
Regras para IA de Uso Geral
Um capítulo dedicado cobre modelos de IA de uso geral (GPAI) — os modelos de fundação e os LLMs de fronteira sobre os quais os produtos downstream são construídos. Os provedores precisam manter documentação técnica, publicar um resumo suficientemente detalhado do conteúdo de treinamento e adotar uma política de respeito à lei de direitos autorais da UE, para que as empresas que fazem ajuste fino ou constroem sobre o modelo tenham as informações de que precisam para estar em conformidade — bem como uma ficha de modelo padronizada com força de lei. Modelos treinados com mais de 10^25 FLOPs cumulativos são presumidos portadores de risco sistêmico e enfrentam uma segunda camada: avaliações de modelo incluindo testes adversariais e red teaming, relato de incidentes graves ao EU AI Office e exigências de cibersegurança. Modelos liberados sob licenças livres e de código aberto recebem isenções parciais dos deveres de documentação — mas não quando cruzam o limiar de risco sistêmico, uma exceção que importa para o ecossistema de pesos abertos.
Não É um Escritório de Licenças de IA
Um equívoco comum é que a lei exige aprovação governamental antes de qualquer sistema de IA poder ser lançado na Europa. Não exige. A esmagadora maioria das aplicações de IA cai no nível de risco mínimo e não carrega nenhuma obrigação nova. Mesmo para sistemas de alto risco, a conformidade é em grande parte autoavaliada: o provedor conduz uma avaliação de conformidade, a documenta, afixa uma marcação no estilo CE e registra o sistema — não há fila de licenciamento pré-mercado em um regulador. Apenas a pequena lista de práticas proibidas é terminantemente banida, e apenas modelos de uso geral com risco sistêmico interagem diretamente com o EU AI Office antes e depois do lançamento. A lei também deixa em grande parte fora de seu escopo a pesquisa pura, o uso pessoal não comercial e boa parte do desenvolvimento de código aberto.
Aplicação e o Caminho Adiante
A fiscalização é dividida: o AI Office da Comissão Europeia supervisiona modelos de uso geral e de risco sistêmico, enquanto autoridades nacionais de vigilância de mercado em cada estado-membro policiam todo o resto. As penalidades escalam com a infração — até 35 milhões de euros ou 7% do faturamento global para práticas proibidas, até 3% para a maioria das outras violações — calculadas sobre a receita mundial, e é por isso que até empresas não europeias prestam atenção. Os marcos restantes correm agora por 2027 e 2028, à medida que o regime de alto risco entra em fase, os padrões harmonizados são finalizados e os códigos de prática para provedores de GPAI se consolidam em expectativas do dia a dia. Como reescrever produtos por jurisdição é caro, muitos fornecedores estão padronizando globalmente os requisitos da lei, dando a ela influência muito além das fronteiras da Europa.