O Regulamento (UE) 2024/1689, conhecido como AI Act, alcança empresas brasileiras que colocam sistemas ou modelos de inteligência artificial (IA) no mercado da União Europeia e as que operam do Brasil quando o resultado produzido pelo sistema é utilizado em território europeu. Até 9 de outubro de 2026, as proibições e as regras para modelos de IA de finalidade geral já se aplicam, mas as obrigações dos sistemas de alto risco foram adiadas: o Regulamento (UE) 2026/1744, chamado de Omnibus Digital sobre IA, em vigor desde 27 de julho de 2026, transferiu-as para 2 de dezembro de 2027 e 2 de agosto de 2028.
Quando a regra europeia alcança uma empresa brasileira
O art. 2º define o alcance do regulamento pelo mercado e pelo efeito, não pela sede. Estão sujeitos, entre outros:
- prestadores que coloquem no mercado ou em serviço, na União, sistemas de IA ou modelos de IA de finalidade geral, estejam estabelecidos no bloco ou em país terceiro;
- prestadores e responsáveis pela implantação situados fora da União, quando o resultado do sistema for usado no bloco;
- importadores, distribuidores e fabricantes de produtos que integrem sistema de IA sob marca própria;
- responsáveis pela implantação estabelecidos na União e pessoas afetadas localizadas no território europeu.
Prestador é quem desenvolve, ou manda desenvolver, um sistema ou modelo e o coloca no mercado com nome ou marca próprios; responsável pela implantação é quem utiliza o sistema sob sua autoridade, fora de atividade pessoal não profissional (art. 3º, pontos 3 e 4). O prestador brasileiro de sistema de alto risco deve designar, por mandato escrito, um mandatário estabelecido na União antes de disponibilizar o sistema no mercado europeu (art. 22, aplicável junto com as demais regras de alto risco); exigência equivalente já se aplica a quem fornece modelos de finalidade geral (art. 54).
Ficam fora do regulamento os usos exclusivamente militares, de defesa ou de segurança nacional, os sistemas criados só para pesquisa científica, os testes anteriores à colocação no mercado (salvo em condições reais), o uso pessoal não profissional e, em regra, o software livre e aberto que não seja de alto risco nem abrangido pelos arts. 5º e 50 (art. 2º, n.ºs 3, 6, 8, 10 e 12).
O que já está proibido
As práticas vedadas pelo art. 5º valem desde 2 de fevereiro de 2025 (art. 113). Entre elas estão:
- técnicas subliminares, manipuladoras ou enganadoras que distorçam substancialmente o comportamento e causem danos significativos;
- exploração de vulnerabilidades ligadas à idade, à deficiência ou à situação socioeconômica;
- classificação social que leve a tratamento prejudicial injustificado ou desproporcional;
- previsão do risco de alguém cometer crime com base apenas em perfil ou em traços de personalidade;
- criação ou ampliação de bases de reconhecimento facial com coleta indiscriminada de imagens da internet ou de câmeras de vigilância;
- inferência de emoções no trabalho e em instituições de ensino, salvo por razões médicas ou de segurança;
- categorização biométrica para deduzir raça, opiniões políticas, filiação sindical, religião ou orientação sexual;
- identificação biométrica à distância, em tempo real, em espaços públicos para fins policiais, fora de hipóteses estritas.
O Omnibus Digital acrescentou duas proibições, aplicáveis a partir de 2 de dezembro de 2026: sistemas que gerem ou manipulem imagens, vídeos ou áudios realistas de partes íntimas ou de conduta sexual explícita de pessoa identificável sem consentimento expresso, e sistemas que gerem material de abuso sexual de crianças, nos termos da Diretiva 2011/93/UE.
O cronograma depois do Omnibus Digital
O art. 113 do AI Act escalonou a aplicação das regras, e o Regulamento (UE) 2026/1744 alterou parte do calendário. O quadro em 9 de outubro de 2026:
- 1º de agosto de 2024 — entrada em vigor do AI Act.
- 2 de fevereiro de 2025 — disposições gerais, inclusive o dever de literacia em IA (art. 4º), e proibições do art. 5º.
- 2 de agosto de 2025 — entre outros pontos, regras para modelos de IA de finalidade geral, estrutura de governança e regime de sanções, exceto as multas aplicadas pela Comissão aos fornecedores desses modelos (art. 101).
- 2 de agosto de 2026 — data geral de aplicação, que inclui os deveres de transparência do art. 50 e as multas do art. 101.
- 2 de dezembro de 2026 — novas proibições e prazo para que sistemas generativos lançados antes de 2 de agosto de 2026 marquem seus conteúdos como artificiais, conforme o art. 50, n.º 2.
- 2 de dezembro de 2027 — obrigações dos sistemas de alto risco do anexo III, que abrange biometria, infraestrutura crítica, educação, emprego, acesso a serviços essenciais como crédito e seguros de vida e saúde, aplicação da lei, migração e administração da justiça.
- 2 de agosto de 2028 — obrigações dos sistemas de alto risco ligados a produtos regulados pela legislação listada no anexo I.
Em regra, sistemas de alto risco colocados no mercado antes dessas datas só passam a se sujeitar ao regulamento se sofrerem alterações significativas de concepção; os destinados a autoridades públicas, porém, precisam se adequar até 2 de agosto de 2030 (art. 111, n.º 2).
Como o adiamento foi aprovado
A Comissão Europeia apresentou a proposta do Omnibus Digital sobre IA em 19 de novembro de 2025. O Conselho da União Europeia fixou sua posição em 13 de março de 2026, chegou a acordo provisório com o Parlamento Europeu em 7 de maio e deu a aprovação final em 29 de junho de 2026. O ato registra a posição do Parlamento de 16 de junho de 2026; foi assinado em 8 de julho, publicado no Jornal Oficial em 24 de julho e entrou em vigor no terceiro dia seguinte, 27 de julho de 2026.
Segundo os considerandos, manter 2 de agosto de 2026 para o alto risco deixou de se justificar diante do atraso de normas técnicas, especificações comuns e orientações, e da instituição das autoridades nacionais. O Omnibus também reescreveu o dever de literacia: prestadores e responsáveis pela implantação devem adotar medidas para promover a literacia em IA de seu pessoal, sem obrigação de assegurar um nível específico (art. 4º).
Multas: os tetos não mudaram
O art. 99 deixa aos Estados-Membros a definição do regime de sanções, mas fixa limites máximos:
- até 35 milhões de euros ou 7% do volume de negócios anual mundial, o que for maior, por violação das proibições do art. 5º;
- até 15 milhões de euros ou 3% por descumprimento de obrigações de prestadores, mandatários, importadores, distribuidores e responsáveis pela implantação, inclusive os deveres de transparência do art. 50;
- até 7,5 milhões de euros ou 1% por informações incorretas, incompletas ou enganosas prestadas às autoridades.
Para pequenas e médias empresas, aplica-se o menor dos dois valores (art. 99, n.º 6); o Omnibus estendeu esse critério, nas duas últimas faixas, às pequenas empresas de média capitalização (art. 99, n.º 6-A). Fornecedores de modelos de finalidade geral respondem perante a Comissão Europeia, com multa de até 3% do volume de negócios mundial ou 15 milhões de euros, o que for maior (art. 101).
Efeitos práticos para quem atende o mercado europeu
As obrigações dependem do papel ocupado na cadeia de valor: prestador, responsável pela implantação, importador ou distribuidor têm deveres próprios (arts. 16, 23, 24 e 26). Um distribuidor ou responsável pela implantação passa a ser tratado como prestador se puser sua marca em sistema de alto risco, se o modificar substancialmente ou se alterar sua finalidade para um uso de alto risco (art. 25, n.º 1). Uma empresa brasileira que oferece a clientes europeus, por exemplo, ferramenta de triagem de currículos atua em domínio listado no anexo III, cujas obrigações começam em 2 de dezembro de 2027. Já o dever de informar que a pessoa interage com um sistema de IA (art. 50, n.º 1) vale desde 2 de agosto de 2026.
Quem fornece modelos, ferramentas ou componentes integrados a sistemas de alto risco de terceiros deve definir com o prestador, por acordo escrito, as informações, o acesso técnico e a assistência necessários ao cumprimento do regulamento (art. 25, n.º 4, na redação do Omnibus). O ponto repercute nos contratos SaaS. O AI Act também não afasta o regulamento europeu de proteção de dados (art. 2º, n.º 7). No Brasil, a regulação geral da IA ainda depende do PL 2.338/2023, em tramitação na Câmara dos Deputados.
Em resumo
- O AI Act alcança empresas de fora da União que colocam sistemas ou modelos no mercado europeu ou cujos resultados são usados no bloco (art. 2º).
- As proibições valem desde 2 de fevereiro de 2025; as regras para modelos de finalidade geral, desde 2 de agosto de 2025; a transparência do art. 50, desde 2 de agosto de 2026.
- O Omnibus Digital, em vigor desde 27 de julho de 2026, adiou o alto risco para 2 de dezembro de 2027 (anexo III) e 2 de agosto de 2028 (anexo I).
- Novas proibições sobre imagens íntimas sem consentimento e material de abuso sexual infantil valem a partir de 2 de dezembro de 2026.
- As multas chegam a 35 milhões de euros ou 7% do volume de negócios anual mundial.