EU AI Act: resumo para gestores brasileiros

Quem é afetado e quando entra em vigor

EU AI Act se aplica a: fornecedores de sistemas de IA (você desenvolve e vende), usuários de IA de alto risco (empresa que usa IA em contexto de alto risco), distribuidores (você revende IA). O alcance extraterritorial não segue a régua do GDPR. Pelo art. 2(1), o gatilho é colocar o sistema de IA no mercado da UE ou colocá-lo em serviço lá — independentemente de o fornecedor estar estabelecido na União ou em país terceiro — e também alcança provedores e implantadores estabelecidos em país terceiro quando o resultado (output) produzido pelo sistema é usado na União^[1]. Ter cliente europeu, por si só, não é o gatilho. Na prática, a maior parte das empresas brasileiras alcançadas entra como implantadora (deployer), não como provedora — e a distinção muda quais deveres recaem sobre ela. Cronograma: as proibições (como vigilância biométrica em massa) já estão em vigor. Segundo a Cooley, o marco seguinte foi o das obrigações de transparência — rotular conteúdo, áudio e vídeo gerados por IA e deepfakes, além de avisar quando há reconhecimento emocional ou categorização biométrica —, que passaram a valer em 2 de agosto de 2026, junto com a capacidade de execução da Comissão Europeia sobre modelos de propósito geral (GPAI): poderes de supervisão, investigação e aplicação de multas a provedores de GPAI^[3]. As obrigações substantivas de GPAI em si são anteriores — valem desde 2 de agosto de 2025. Já as obrigações mais pesadas de alto risco (sistemas do Anexo III, como recrutamento e crédito) foram adiadas pelo pacote "Digital Omnibus" para 2 de dezembro de 2027 — e para 2 de agosto de 2028 no caso de IA embarcada em produtos regulados do Anexo I, segundo a Gibson Dunn^[4].

Há ainda uma carência de transição pouco divulgada: provedores de sistemas geradores de conteúdo sintético colocados no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir apenas a obrigação de marcação legível por máquina do art. 50(2) — é o art. 111(4), inserido pelo Digital Omnibus^[4]. A carência vale só para esse dever e só para sistemas já no mercado; o restante do art. 50 não tem prazo extra.

Impacto: se o seu sistema de IA cai no alcance do art. 2(1), precisa estar em conformidade. Não está? Risco: bloqueio de venda, multa e processo legal — com tetos que variam conforme a obrigação descumprida, detalhados adiante^[2].

Classificação de risco: proibido, alto, transparência, baixo

Proibido: mass surveillance biométrica, análise de emoções em determinados contextos, credit scoring sem intervenção humana (certos casos). Alto risco: sistemas que afetam direitos fundamentais (contratação, educação, justiça, serviços públicos, acesso a crédito). Transparência: chatbots, deepfakes — usuário deve saber que fala com IA. Baixo risco: resto (análise interna, recomendações não críticas).

Para cada nível, requisitos diferentes. Sua responsabilidade: classificar seu sistema corretamente, implementar requisitos.

Requisitos por categoria: documentação, testes, auditoria, transparência

Alto risco: documentação técnica, testes de viés, monitoramento contínuo, auditoria periódica, explicabilidade, data sheets sobre modelo. Transparência (art. 50): não é um bloco único — os deveres se dividem por papel. Cabem ao provedor informar que se está interagindo com IA (50(1)) e marcar conteúdo sintético de forma legível por máquina (50(2), condicionada ao que é tecnicamente viável, ao estado da arte e ao custo, e dispensada quando o sistema apenas faz edição assistiva). Cabem ao implantador (deployer) avisar sobre reconhecimento de emoções ou categorização biométrica (50(3)) e rotular deepfake, além de divulgar texto gerado por IA publicado para informar o público sobre assunto de interesse público (50(4)) — este último com exceção quando houve revisão humana e há responsável editorial pela publicação, o que deixa de fora blog corporativo, e-mail de marketing e descrição de produto. Baixo risco: documentação básica, conformidade mínima. Proibido: não implementar, ponto.

Esforço de conformidade: varia muito. Sistema simples (chatbot de FAQ) = conformidade transparência é fácil. Sistema complexo (decisão de crédito) = teste de viés, auditoria, documentação técnica leva semanas.

Processo de conformidade: avaliação, classificação, implementação, auditoria

Passo 1: Classificar seu sistema (é proibido? alto risco? transparência? baixo?). Passo 2: Implementar requisitos associados à categoria. Passo 3: Documentar (crie data sheet de modelo, documentação técnica, registro de decisões). Passo 4: Teste de conformidade (você atende todos requisitos?).

Passo 5: Auditoria (terceiro independente valida conformidade). Passo 6: Documentação de conformidade (arquivo completo guardado, pronto para regulador). Tempo total: 3–6 meses para sistema simples, 6–12 meses para sistema complexo.

Penalidades e proteção legal

Multa por não conformidade: o teto depende da obrigação descumprida. Práticas proibidas do art. 5: até €35 milhões ou 7% do faturamento anual mundial, o que for maior (art. 99(3)). Obrigações de transparência do art. 50: até €15 milhões ou 3% do faturamento anual mundial, o que for maior (art. 99(4)(g)). Informação incorreta prestada a autoridades: €7,5 milhões ou 1%. Há uma inversão que muda a conta para o leitor brasileiro: pelo art. 99(6), quando a infratora é PME ou startup aplica-se o valor menor dos dois — hipótese bem mais provável aqui do que o teto percentual^[1]. Além disso: bloqueio de venda na Europa, processo legal, dano reputacional. Proteção: se você pode demonstrar conformidade (documentação completa, auditoria realizada), proteção legal é forte contra multa.

Recomendação: começar conformidade agora. Custo de conformidade hoje << custo de multa depois. Além disso, conformidade com EU AI Act oferece baseline para regulações em outros países (Lei de IA brasileira, regulações dos EUA).