O Regulamento Europeu de Inteligência Artificial — Regulamento (UE) 2024/1689, conhecido como AI Act — entrou em vigor escalonadamente, com obrigações já aplicáveis para sistemas de risco proibido desde fevereiro de 2025 e exigências mais profundas para sistemas de alto risco a partir de agosto de 2026. Diferentemente do GDPR, que adota abordagem baseada em direitos, o AI Act estrutura-se em uma lógica de risco e produto, classificando sistemas de IA em quatro níveis: risco inaceitável (proibidos), alto risco (sujeitos a obrigações materiais), risco limitado (obrigações de transparência) e risco mínimo (sem obrigações específicas).
Empresas brasileiras estão sujeitas ao regulamento sempre que: (i) colocam sistemas de IA no mercado europeu, ainda que indiretamente; (ii) prestam serviços que utilizam IA com efeitos materiais na União Europeia; (iii) processam dados de cidadãos europeus em sistemas automatizados; ou (iv) atuam como fornecedores de componentes integrados a sistemas comercializados na UE. A extraterritorialidade do regulamento é deliberada e segue o mesmo desenho expansivo do GDPR — não há refúgio geográfico para empresas que atuam no mercado europeu.
Os fornecedores de sistemas de alto risco — categoria que inclui sistemas usados em recrutamento, avaliação de crédito, biometria, infraestrutura crítica, ensino, aplicação da lei e administração da justiça — devem cumprir requisitos rigorosos: (a) implementação de sistema de gestão de qualidade; (b) condução de avaliações de conformidade prévias à colocação no mercado; (c) manutenção de documentação técnica detalhada (incluindo conjuntos de dados de treinamento e validação); (d) garantia de supervisão humana significativa; (e) provisão de transparência aos usuários finais; (f) registro em base de dados europeia da UE; (g) marca CE; e (h) sistema de monitoramento pós-mercado.
Adicionalmente, sistemas de IA de uso geral (GPAI — General Purpose AI), incluindo modelos de fundação como LLMs (Large Language Models), enfrentam regime próprio. Modelos com risco sistêmico — definidos por critérios técnicos relacionados a capacidade computacional — devem realizar avaliações de modelo, testes adversariais (red teaming), reporte de incidentes graves à Comissão Europeia e implementação de medidas de cibersegurança proporcionais ao risco.
A norma ISO/IEC 42001:2023, primeira norma certificável de sistema de gestão de IA, tornou-se referência prática para evidenciar conformidade. Estruturada na lógica de PDCA (Plan-Do-Check-Act), comum a outras normas ISO de sistemas de gestão, a 42001 abrange políticas, papéis, gestão de risco, ciclo de vida do sistema, avaliação de impacto e melhoria contínua. Empresas que iniciam o caminho de certificação ganham vantagem competitiva relevante em licitações internacionais, contratos B2B com clientes europeus e processos de M&A — especialmente quando o ativo de IA compõe parcela material do valuation.
As sanções previstas no AI Act são robustas: até EUR 35 milhões ou 7% do faturamento global, o que for maior, para violações relativas a práticas proibidas; até EUR 15 milhões ou 3% do faturamento global para descumprimento das obrigações de sistemas de alto risco; e até EUR 7,5 milhões ou 1,5% para fornecimento de informações incorretas a autoridades. Esses patamares superam significativamente os do GDPR.
Para empresas brasileiras, a recomendação é iniciar imediatamente um inventário estruturado de sistemas de IA — tanto desenvolvidos internamente quanto contratados de terceiros — classificá-los segundo a taxonomia de risco do AI Act e identificar aqueles que potencialmente se enquadram em alto risco ou risco sistêmico. Em seguida, avaliar exposição extraterritorial: há clientes europeus? Há processamento de dados de cidadãos europeus? Há revenda ou integração em produtos comercializados na UE?
A construção do framework de governança deve contemplar: papéis e responsabilidades (incluindo a figura do AICO — AI Compliance Officer); políticas corporativas de uso responsável; avaliações de impacto algorítmico (DPIA ampliada com elementos do AI Act); mecanismos de explicabilidade; processos de teste e validação; supervisão humana; gestão de fornecedores; e plano de resposta a incidentes algorítmicos.
É importante registrar que o Brasil avança em paralelo com o PL 2.338/2023, que constitui a base do futuro Marco Legal da IA brasileiro. Embora o texto brasileiro tenha estrutura própria, há convergência significativa com o AI Act em diversos pontos — classificação por risco, obrigações de transparência, supervisão humana e direitos do afetado por decisão automatizada. Empresas que já se estruturam para o AI Act estarão amplamente preparadas para a versão brasileira.
A EthosEdge oferece consultoria especializada em governança de IA, com metodologia AICO proprietária, atuação multijurisdicional e parcerias com profissionais certificados internacionalmente. Apoiamos clientes desde o inventário inicial até a implementação completa de programas de IA responsável alinhados ao AI Act, ISO/IEC 42001 e ao Marco Legal da IA.
