Ai act provedor vs implantador

Por que saber qual papel você ocupa é a primeira decisão

Porque o artigo 50 não cria uma lista única de deveres: cria quatro obrigações e atribui cada uma a um papel específico. Quem não sabe qual papel ocupa cai em um de dois erros caros — assume obrigações que são do fornecedor ou deixa de cumprir as que são suas por supor que a ferramenta já resolveu. Provedor é quem coloca o sistema em circulação como coisa sua; o elemento decisivo não é ter escrito o código, é disponibilizá-lo sob o próprio nome ou marca. Este artigo trata de alocação de responsabilidade e de âmbito de aplicação; o passo a passo de como rotular conteúdo de IA está no artigo da base sobre rotulagem de IA em publicidade.

Por que o marketing quase sempre é implantador

Porque implantador é quem usa o sistema sob sua própria autoridade, no exercício de atividade profissional — e essa é a posição da esmagadora maioria das operações de marketing. A empresa não desenvolve o modelo: contrata acesso a ele e decide o que gerar, quando publicar e em que peça. Essa decisão de uso é exatamente o que caracteriza a autoridade sobre o sistema, e é ela que faz nascerem obrigações próprias, distintas das do fornecedor.

Quando um anunciante ou uma agência vira provedor sem perceber

O deslocamento de papel acontece quando a empresa passa a oferecer o sistema como produto seu. Colocar uma ferramenta de IA sob a própria marca, embutir um modelo de terceiro em um produto próprio oferecido a clientes ou modificar substancialmente um sistema e redistribuí-lo são situações em que a leitura de "somos só usuários" deixa de valer. Não é hipótese teórica para quem constrói experiências com IA para a marca — e é o ponto em que a decisão deixa de ser de marketing e passa a exigir apoio jurídico.

Quem deve o quê no artigo 50

As obrigações de transparência se dividem por parágrafo: os dois primeiros recaem sobre o provedor, os dois seguintes sobre o implantador. Essa é a informação que resolve a maior parte das dúvidas práticas do dia a dia, e é a que costuma faltar nas leituras que circulam no mercado.

O que cabe ao provedor — e por que a marcação não é absoluta

As duas obrigações do provedor são técnicas e nascem dentro do sistema: sinalizar a interação com IA e embutir no conteúdo gerado uma marcação legível por máquina.^[1] Nenhuma delas é cumprida pelo anunciante, mas as duas podem ser exigidas em contrato. Com um limite: a obrigação do artigo 50(2) é condicionada ao que for tecnicamente viável, considerando estado da arte e custos, e não se aplica quando o sistema desempenha função meramente assistiva de edição padrão ou não altera substancialmente os dados de entrada.^[3] Dá para exigir a marcação e a documentação do que é marcado; não dá para exigir garantia absoluta que a norma não impõe.

O que cabe ao implantador: o aviso biométrico e a rotulagem do deepfake

As duas obrigações do implantador nascem do uso, não do sistema. Uma alcança quem opera reconhecimento de emoções ou categorização biométrica — hipótese rara em marketing, mas não inexistente. A outra atinge o dia a dia: quem publica imagem, áudio ou vídeo gerado ou manipulado por IA que se assemelhe a pessoas, lugares ou eventos reais e possa passar por autêntico precisa divulgar que aquele conteúdo foi gerado ou manipulado artificialmente.^[2]

Por que rotular deepfake não é dever do fornecedor da ferramenta

Porque a norma coloca essa obrigação no parágrafo dirigido ao implantador — e a orientação oficial é explícita ao dizer que o implantador não pode se apoiar apenas na marcação legível por máquina embutida pelo provedor para considerar o dever cumprido.^[2] São camadas diferentes: a marcação do provedor é técnica e destinada a máquinas; a divulgação do implantador é dirigida a pessoas. A consequência é direta — peça que sai da agência com marcação no arquivo mas sem divulgação perceptível ao público não atende à obrigação de quem publicou.

O que realmente aciona a regra para uma operação fora da Europa

O gatilho de alcance é o artigo 2(1), e ele tem três hipóteses — nenhuma delas é "ter cliente europeu". Este é o ponto em que a leitura difundida no mercado erra com mais frequência, porque aplica por analogia um critério que pertence a outra norma.

As três hipóteses do artigo 2(1)

O regulamento alcança: (a) provedores que colocam sistemas de IA no mercado da União ou os colocam em serviço na União, independentemente de onde estejam estabelecidos; (b) implantadores de sistemas de IA estabelecidos ou situados na União; e (c) provedores e implantadores estabelecidos em país terceiro quando o output produzido pelo sistema é usado na União.^[3] É a terceira hipótese que pode alcançar uma operação brasileira sem filial, sem sede e sem estabelecimento europeu.

Por que a régua do GDPR não serve aqui

Porque os critérios são outros, e a troca leva a conclusões erradas nas duas direções. O GDPR usa "oferta de bens ou serviços a pessoas na União" e "monitoramento de comportamento" como gatilhos de extraterritorialidade. O AI Act não usa nenhum dos dois: usa colocação no mercado da União, estabelecimento na União e uso do output na União. Uma empresa pode ter clientes europeus e não acionar o AI Act; e pode não ter cliente europeu algum e acionar, se o resultado produzido pelo sistema for usado na União. Trocar uma régua pela outra produz ao mesmo tempo conformidade desnecessária e exposição não percebida.

O que significa "output usado na União" no dia a dia

Significa olhar para onde o resultado é utilizado, não para onde a empresa está. Um vídeo gerado por IA no Brasil e veiculado como mídia paga para público na União tem output usado na União; um texto produzido por IA e publicado em página destinada ao mercado europeu, idem. Já material gerado e consumido inteiramente fora da União não aciona a hipótese (c) só porque a empresa tem um cliente europeu na carteira. A pergunta correta é sempre a mesma: onde o resultado deste sistema é efetivamente usado? É uma resposta factual, verificável campanha a campanha — e é ela que deve ficar registrada.

O que não exige sinalização

Nem todo conteúdo produzido com IA precisa ser sinalizado — e tratar tudo como se precisasse é erro de gestão, não precaução barata. O artigo 50(4) tem escopo delimitado e traz exceções expressas; ignorá-las produz rotulagem indiscriminada, que desgasta justamente o rótulo que importa.

Que texto o artigo 50(4) alcança — e qual fica de fora

A obrigação para texto alcança conteúdo gerado ou manipulado por IA e publicado com o propósito de informar o público sobre assuntos de interesse público.^[3] Blog corporativo sobre o próprio produto, e-mail de marketing, descrição de produto em e-commerce e peça publicitária comum não se enquadram nessa descrição. A distinção não autoriza omissão quanto ao deepfake, que segue a regra de imagem, áudio e vídeo; ela apenas impede que a empresa rotule cada linha escrita com apoio de IA como se a norma exigisse.

As exceções de revisão editorial e de obra criativa

Mesmo no texto de interesse público, a obrigação não se aplica quando o conteúdo passou por revisão humana ou controle editorial e há pessoa física ou jurídica com responsabilidade editorial pela publicação.^[2] A consequência é operacional: o que sustenta essa exceção é o registro de quem revisou e de quem responde pela publicação — sem registro, a exceção existe na norma e não na prova. Há ainda regime próprio para obra evidentemente artística, criativa, satírica ou ficcional: a informação sobre o conteúdo gerado deve ser prestada de forma adequada, sem prejudicar a exibição ou a fruição da obra.^[3] É proporcionalidade, não dispensa.

O que está em vigor, o que foi deslocado e o que custa descumprir

As obrigações de transparência do artigo 50 são aplicáveis desde 2 de agosto de 2026, conforme comunicação oficial da Comissão Europeia sobre o início da aplicação das regras de transparência.^[1] Circula no mercado a leitura de que o AI Act foi adiado — ela não descreve o regime de transparência. O que ganhou prazo adicional foi o bloco de obrigações de alto risco; o artigo 50 não está nesse bloco.

A carência do artigo 111(4): para quem vale e para quê

Existe uma carência, e ela é estreita. Provedores de sistemas de IA de finalidade geral que geram conteúdo sintético e que foram colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir apenas a obrigação do artigo 50(2) — a marcação legível por máquina — e apenas quanto a esses sistemas já existentes.^[3] Ela não alcança o artigo 50 inteiro, não alcança sistemas novos e não alcança nenhuma obrigação do implantador. A consequência é direta: a rotulagem de deepfake, dever do implantador, não tem carência alguma.

As multas do artigo 50 e por que "o que for maior" muda a conta

O descumprimento das obrigações de transparência do artigo 50 sujeita o infrator a coimas de até 15 milhões de euros ou 3% do volume de negócios anual mundial do exercício anterior, consoante o que for mais elevado.^[3] A expressão final não é detalhe de redação: para empresa de grande porte, 3% do faturamento global supera com folga os 15 milhões, e omiti-la inverte o sentido da exposição. Para PME, incluindo startups, a regra é a oposta — aplica-se o menor dos dois valores.^[3] E vale corrigir uma confusão frequente: o teto de 35 milhões de euros ou 7% pertence às práticas proibidas do artigo 5, não ao artigo 50.

Como isso vira decisão de operação

O caminho é curto e cabe em seis passos, executáveis sem consultoria na maior parte das operações de marketing.

1. Classificar cada sistema de IA em uso como "somos provedores" ou "somos implantadores" — a maioria cairá na segunda coluna.
2. Verificar se há output usado na União, por campanha e por canal, com registro da resposta.
3. Separar o conteúdo em três baldes: deepfake (imagem, áudio e vídeo que se assemelham ao real), texto de interesse público e todo o resto.
4. Registrar quem revisou e quem responde editorialmente por cada publicação — é o que sustenta a exceção de revisão humana.
5. Levar ao contrato com o fornecedor a marcação legível por máquina e a documentação correspondente, com a ressalva de viabilidade técnica.
6. Revisar em ciclo, porque o regime tem datas escalonadas e o mapa de papéis muda quando a empresa lança produto próprio.

Erros comuns na leitura do artigo 50

Os erros se repetem com pouca variação e quase todos nascem de misturar normas diferentes ou parágrafos diferentes do mesmo artigo.

1. Usar a régua do GDPR — "temos clientes na Europa, então se aplica" — em vez do teste do artigo 2(1).^[3]
2. Assumir que o fornecedor resolve a rotulagem de deepfake, quando o dever é de quem publica.^[2]
3. Rotular todo conteúdo por precaução, inclusive e-mail de marketing e descrição de produto.
4. Citar a multa sem "o que for maior", subestimando a exposição de empresa grande.
5. Tratar a carência de dezembro como geral, quando ela alcança só o artigo 50(2) e só sistemas já colocados no mercado.
6. Não registrar a revisão humana e perder a exceção por falta de prova, não por falta de revisão.