AI Act: o que é, o que já vale e o que muda pro Brasil

Toda vez que a União Europeia aprova regulação nova de tecnologia, o Brasil copia depois. Foi assim com a GDPR, que entrou em vigor lá em maio de 2018. Dois anos depois a gente aprovou a LGPD, com estrutura quase idêntica: direito de acesso, base legal pro tratamento, direito ao esquecimento, encarregado de dados. Trocou o nome e adaptou a autoridade fiscalizadora (ANPD no lugar de DPA). O modelo veio inteiro de lá.

Com AI Act vai acontecer a mesma coisa. É o que a lógica indica.

O AI Act já tá em vigor na União Europeia. E já pega empresa brasileira, mesmo com sede em Belo Horizonte, São Paulo, Curitiba, antes mesmo de virar lei aqui. No Congresso brasileiro já tramita o PL 2338/2023, chamado de Marco Legal da IA, com estrutura calcada no modelo europeu.

Se você lidera empresa, constrói produto com IA, opera time que usa IA no dia a dia, ou atende cliente que exporta pra Europa, esse texto é pra você. Vou contar o que a lei europeia diz, o que já entrou em vigor, o que ainda vai entrar, e o que provavelmente vem pra cá.

O que é o AI Act

O AI Act é a primeira lei do mundo que regula inteligência artificial de forma ampla. Publicada como Regulamento (UE) 2024/1689 em 12 de julho de 2024, entrou em vigor em 1º de agosto de 2024. O nome oficial é longo e ninguém usa. AI Act pegou.

A lógica é simples. Sistema de IA de risco alto = obrigação alta. Sistema de risco baixo = pouca obrigação. Sistema de risco inaceitável = proibido.

A lei se aplica a qualquer empresa que coloca sistema de IA no mercado europeu ou cujo output é usado dentro da União Europeia. Você tá em Belo Horizonte, atende cliente em Munique, sua ferramenta processa dado de usuário alemão. Você entra na lei. Não importa onde sua empresa tá sediada.

É a mesma lógica de extraterritorialidade da GDPR. E o mercado brasileiro levou tempo pra entender que essa lógica pega a gente também.

O paralelo com a LGPD e o que provavelmente vem pro Brasil

A GDPR nasceu no Parlamento Europeu em 2016 e entrou em vigor em 25 de maio de 2018. Antes disso, no Brasil, o assunto era ignorado pela maior parte das empresas. Poucos meses depois de a GDPR entrar em vigor, o Brasil sancionou a LGPD (Lei 13.709/2018), em 14 de agosto de 2018. A lei brasileira entrou em vigor efetivo em setembro de 2020. Copiou estrutura, categorias e princípios. Trocou o nome da autoridade fiscalizadora e ajustou algumas particularidades locais.

O padrão temporal foi: UE aprova, Brasil adapta em dois anos, entra em vigor em quatro.

O PL 2338/2023 está em tramitação no Senado brasileiro seguindo o mesmo modelo do AI Act. Estrutura de risco graduado, obrigações proporcionais, autoridade nacional de fiscalização. Ainda não foi aprovado. Mas quando for, vai puxar o padrão europeu.

Duas consequências práticas disso:

Primeira, quem estuda AI Act agora já entende 80% do que vai virar lei no Brasil. É o mesmo esqueleto.

Segunda, quem atende cliente europeu já precisa cumprir hoje. Não é "quando sair a lei brasileira". A lei europeia já pega você via cliente, via fornecedor, via cadeia de dados.

As quatro faixas de risco do AI Act

A lei divide sistema de IA em quatro categorias. Essa é a parte que decide se sua operação vai ter dor de cabeça ou não.

Risco inaceitável. Proibido colocar no mercado europeu. Sistema de manipulação subliminar. Social scoring nos moldes chineses. Reconhecimento facial em tempo real em espaço público, com exceção pequena pra polícia. Inferência de emoção em ambiente de trabalho e sala de aula. Categorização biométrica que deduz religião, raça, orientação política. Tudo isso não pode existir lá.

Alto risco. Permitido, mas com obrigação pesada. Sistema usado em infraestrutura crítica, educação, RH (recrutar, avaliar, promover, demitir), crédito, serviços essenciais, aplicação da lei, imigração, justiça e processo eleitoral. Se sua empresa usa IA pra triar currículo, dar score de crédito ou tomar decisão sobre benefício, tá aqui. A lista completa está no Anexo III da lei.

Quem coloca sistema de alto risco no mercado precisa fazer gestão de risco documentada, governança dos dados de treino, documentação técnica, log de eventos, supervisão humana obrigatória, robustez, cibersegurança e sistema de qualidade auditável. Não é autodeclaração. É auditoria externa.

Risco de transparência. Chatbot precisa se identificar como IA. Deepfake e imagem gerada por IA precisam de rótulo. Texto gerado por IA sobre assunto de interesse público precisa de rótulo. Ponto.

Risco mínimo. Filtro de spam, IA em jogo, recomendação de produto em e-commerce. Sem obrigação específica.

Pergunta prática pra saber onde seu caso encaixa: essa IA decide algo sobre a vida de uma pessoa (contratação, crédito, benefício, punição, acesso)? Se sim, provavelmente é alto risco.

O cronograma completo do AI Act

Cinco marcos absolutos. Grava essas datas.

A partir de 2 de agosto de 2026 a lei tá em vigor pra maioria dos casos práticos. Quem toca alto risco precisa estar em conformidade nessa data. Não tem período de graça.

O que é GPAI e por que impacta as ferramentas que todo mundo usa

GPAI significa modelo de propósito geral. GPT, Claude, Gemini, Llama, Mistral. As IAs que empresa de qualquer tamanho usa no dia a dia.

Todo provedor de modelo GPAI tem obrigação de: documentação técnica pública, resumo dos dados usados no treino, respeito à diretiva europeia de direitos autorais e informação técnica pra quem integra o modelo em produto.

Modelo com risco sistêmico, definido pelo limiar de 10²⁵ operações de ponto flutuante no treino (o que pega os maiores modelos de fronteira hoje), tem obrigação extra: avaliação de modelo, red-teaming obrigatório, mitigação de risco sistêmico, reporte de incidente grave, cibersegurança reforçada.

Isso afeta você indiretamente. Se OpenAI, Anthropic ou Google não cumprir na Europa, a ferramenta que você usa pode mudar de comportamento, ficar mais cara, ganhar rótulo obrigatório ou sair do ar em país específico. Aconteceu com Gemini na Itália em 2024. Vai acontecer mais.

As sanções do AI Act

Três faixas de multa. Sempre o maior valor entre porcentagem do faturamento global e valor fixo.

Prática proibida: até 35 milhões de euros ou 7% do faturamento global. É 20% a mais que a GDPR, que já foi considerada agressiva.

Descumprimento de obrigação de alto risco ou GPAI: até 15 milhões de euros ou 3% do faturamento global.

Informação incorreta pra autoridade: até 7,5 milhões de euros ou 1%.

Startup e pequena empresa pagam o menor dos dois valores, não o maior. Foi ajuste pra não quebrar empresa pequena. Mesmo assim, 7,5 milhões de euros pra empresa média brasileira é fim de negócio.

Quem cobra? O AI Office, criado dentro da Comissão Europeia, cuida de GPAI. Cada país da UE tem sua autoridade nacional de mercado, que fiscaliza os outros casos. Elas trocam informação entre si.

O que muda pra quem constrói, opera ou lidera IA no Brasil

Cinco pontos que costumam pegar de surpresa quem opera IA no Brasil e tem cadeia com cliente europeu.

Primeiro, AI literacy do time virou obrigação de conformidade. Todo funcionário que opera sistema de IA precisa ter treinamento formal registrado sobre uso, limite e risco da tecnologia. Não é curso opcional de 30 minutos. É programa documentado. Vale desde 2 de fevereiro de 2025.

Segundo, uso de IA em recrutamento e RH é alto risco. Ferramenta que analisa currículo, dá score de candidato, monitora comportamento em teste. Tudo isso cai na categoria mais pesada. Precisa de auditoria, supervisão humana obrigatória e documentação técnica.

Terceiro, IA em credit scoring, análise de seguro e triagem de benefício é alto risco. Pega fintech, seguradora, banco médio, empresa de dado enriquecido. E vale pra fornecedor B2B que entrega score pra cliente europeu, não só pra quem opera na UE.

Quarto, chatbot precisa se identificar como IA. Se seu produto tem chatbot no site com nome próprio (Sofia, Ana, Bruno) escondendo que é bot, tá em desconformidade. Precisa avisar no início da conversa.

Quinto, conteúdo gerado por IA precisa de rótulo. Anúncio, post, imagem, vídeo, e-mail que roda pra público europeu e usou IA em qualquer parte precisa avisar. Deepfake é obrigatório. Isso pega quem faz mídia, quem produz conteúdo, quem opera automação de comunicação.

Um exemplo pra dimensionar: uma empresa brasileira de software B2B que exporta pra Alemanha e tem chatbot no site, newsletter automatizada com texto gerado por LLM, três anúncios em vídeo com voz sintética e ferramenta de recrutamento com IA. Se nenhum dos itens estiver em conformidade, a empresa está em cinco situações de risco simultâneas. E provavelmente ninguém dentro dela sabe disso.

Onde estudar o AI Act

Selecionei fontes que valem tempo.

Oficiais. artificialintelligenceact.eu é o melhor ponto de partida. Tem resumo por artigo, explorador da lei, checklist de conformidade e newsletter quinzenal. O texto integral da lei em português está no EUR-Lex, portal oficial da UE. A Comissão Europeia mantém uma página resumindo a visão do órgão em digital-strategy.ec.europa.eu. Dúvida formal pode ser enviada ao AI Act Service Desk, em ai-act-service-desk.ec.europa.eu.

Análise técnica e compliance. IAPP, associação internacional de privacidade, tem centro de governança de IA com material prático em iapp.org. Future of Life Institute produz o resumo mais didático em futureoflife.org. OECD.AI é referência pra comparar regulação entre países. CEPS e Bruegel são think tanks europeus com paper técnico bom.

Prática de time. ALTAI é o checklist oficial de autoavaliação publicado pela UE. CNIL, autoridade francesa, publica guia prático antes das diretrizes centrais saírem. Vale acompanhar.

Em português. IAPP tem material traduzido. Baptista Luz Advogados cobre AI Act do ponto de vista jurídico brasileiro. O portal do Senado publica o andamento do PL 2338/2023 pra quem quer acompanhar a versão brasileira.

Se você vai ler só um site, é o artificialintelligenceact.eu. Se vai ler dois, adiciona a página oficial da Comissão. O resto é aprofundamento por área.

Perguntas frequentes sobre o AI Act

O AI Act se aplica a empresa brasileira?

Sim. Se sua empresa coloca sistema de IA no mercado europeu, ou se o output do seu sistema é usado dentro da União Europeia, você entra na lei. A sede da empresa não muda a aplicação.

Quando o AI Act entrou em vigor?

Foi publicado em 12 de julho de 2024 e entrou em vigor em 1º de agosto de 2024. As obrigações começaram em ondas, com o grosso da lei ativo a partir de 2 de agosto de 2026.

Qual é a multa máxima do AI Act?

Até 35 milhões de euros ou 7% do faturamento global anual, o que for maior. Vale pra prática proibida. Descumprimento de obrigação de alto risco vai até 15 milhões de euros ou 3%.

Preciso rotular conteúdo gerado por IA no Brasil?

Só se o conteúdo circular pra público europeu. No Brasil, não existe hoje lei federal obrigando rótulo, mas o PL 2338/2023 traz a regra. Quem atende cliente europeu já precisa rotular hoje.

Chatbot precisa avisar que é IA?

Sim, se o público for europeu. A regra de transparência do AI Act obriga o sistema a se identificar como IA no início da interação. Vale pra chatbot de site, atendente automatizado de WhatsApp e assistente de voz.

O que a lei considera alto risco?

Sistema de IA usado em infraestrutura crítica, educação, RH, crédito, serviços essenciais, aplicação da lei, imigração, justiça e processo eleitoral. A lista completa está no Anexo III do regulamento.

Qual a diferença entre AI Act e GDPR?

GDPR regula dado pessoal. AI Act regula sistema de IA. Um caso pode cair nas duas leis. Uma ferramenta de recrutamento com IA precisa cumprir GDPR (dado do candidato) e AI Act (sistema de alto risco). São camadas complementares.

O que é AI literacy?

É a exigência de que todo funcionário que opera sistema de IA na empresa tenha treinamento formal registrado sobre uso, limite e risco da tecnologia. Vale desde 2 de fevereiro de 2025. É requisito de conformidade, não boa prática.

Modelo open source é regulado?

Parcialmente. Modelo GPAI open source (parâmetro público) precisa cumprir copyright e publicar resumo de treino. Se apresentar risco sistêmico, entra nas obrigações completas.

Existe lei parecida no Brasil?

O PL 2338/2023, chamado de Marco Legal da IA, está em tramitação no Senado. A estrutura é calcada no AI Act (risco graduado, obrigações proporcionais), mas com adaptações. O padrão da LGPD indica que a versão brasileira, quando aprovada, deve seguir de perto o modelo europeu.

Pra fechar

O AI Act já mudou o jogo lá fora. Aqui vai mudar por dois caminhos. Primeiro por reflexo, com cliente europeu exigindo do fornecedor brasileiro. Depois por lei, quando o PL 2338/2023 for aprovado seguindo o mesmo modelo.

Quem estuda agora tem margem pra ajustar. Quem espera "sair a lei brasileira" pra pensar no assunto vai correr atrás igual empresa que ignorou GDPR até virar LGPD.

A pergunta prática que vale a pena fazer hoje: onde a IA aparece na sua operação, quem opera, tem prova de treinamento, e o que entrega decisão sobre a vida de uma pessoa. As respostas dessas quatro perguntas mostram se você tá em conformidade ou se vai ter que correr.

---

fontes e contexto

Para reforçar SEO, GEO e a leitura por fontes primárias, aqui estão os principais pontos oficiais de consulta ligados ao tema do artigo:

• EUR-Lex: Regulation (EU) 2024/1689
• European Commission: AI Act
• AI Act Explorer
• Senado Federal: PL 2338/2023