AI Act da União Europeia: o que é, como funciona e o que já está em vigor

Atualizado em setembro de 2026, após o Regulamento (UE) 2026/1744 (Digital Omnibus on AI).

O AI Act da União Europeia é o Regulamento (UE) 2024/1689, a primeira regulação geral de inteligência artificial adotada por um grande bloco econômico. Em vigor desde 1º de agosto de 2024, ele classifica os sistemas de IA por nível de risco e impõe obrigações proporcionais a cada nível, com aplicação escalonada entre 2025 e 2028. Desde 2 de agosto de 2026 valem as obrigações de transparência, e em julho de 2026 o calendário das demais fases foi reorganizado pelo chamado Digital Omnibus. Este artigo explica o que o regulamento é, a quem se aplica, como funcionam as categorias de risco, o que já está em vigor e o que ainda virá, quais são as sanções, quem fiscaliza e como o texto europeu se relaciona com o projeto brasileiro de marco legal da IA.

Em resumo. O AI Act entrou em vigor em 1º de agosto de 2024 e é aplicado em fases: práticas proibidas desde 2 de fevereiro de 2025, modelos de propósito geral desde 2 de agosto de 2025, transparência (artigo 50) desde 2 de agosto de 2026, sistemas de alto risco a partir de 2 de dezembro de 2027 (Regulamento 2026/1744). Aplica-se também a empresas de fora da União quando o sistema é colocado no mercado europeu ou quando seu resultado é utilizado na União (artigo 2º). As multas chegam a 35 milhões de euros ou 7% do faturamento global, com regime proporcional para PMEs. O PL 2.338/2023 brasileiro segue o mesmo modelo, mas ainda não está em vigor.

O que é o AI Act da União Europeia?

O AI Act é o regulamento europeu que estabelece regras harmonizadas para o desenvolvimento, a colocação no mercado, a colocação em serviço e a utilização de sistemas de inteligência artificial na União. A Comissão Europeia apresentou a proposta em abril de 2021; o Parlamento Europeu e o Conselho aprovaram o texto em 13 de junho de 2024, publicado no Jornal Oficial em 12 de julho de 2024 e em vigor desde 1º de agosto do mesmo ano. O texto integral em português está no EUR-Lex, e a síntese oficial, na página da Comissão Europeia sobre o quadro regulamentar da IA.

Trata-se de um regulamento, não de uma diretiva: aplica-se diretamente em todos os Estados-membros, sem depender de lei nacional de transposição, e por isso vigora de modo uniforme em toda a União. A base jurídica é o artigo 114 do Tratado sobre o Funcionamento da União Europeia, que trata do mercado interno, e isso explica a sua arquitetura: o AI Act é uma regulação de produto, no molde da que a União aplica a máquinas, brinquedos ou dispositivos médicos. O sistema de IA é tratado como produto cujo risco define as exigências, com avaliação de conformidade, marcação CE e fiscalização de mercado.

O regulamento define sistema de IA, no artigo 3º, como um sistema baseado em máquina, concebido para funcionar com níveis variáveis de autonomia, que pode apresentar capacidade de adaptação após a implantação e que, a partir dos dados que recebe, infere como gerar resultados — previsões, conteúdos, recomendações ou decisões — capazes de influenciar ambientes físicos ou virtuais. A definição acompanha a da OCDE e é deliberadamente ampla; o que restringe o alcance do regulamento não é a definição, mas a classificação por risco.

A comparação com o GDPR, o regulamento europeu de proteção de dados de 2016, é frequente e tem fundamento: como ele, o AI Act tem alcance extraterritorial e pretende fixar um padrão que outras jurisdições sigam. A LGPD brasileira foi escrita à imagem do GDPR; o PL 2.338/2023, projeto brasileiro de marco legal da IA, adota a classificação por risco do AI Act.

A quem o AI Act se aplica

O AI Act aplica-se aos provedores que colocam sistemas de IA no mercado da União, estejam estabelecidos na União ou em país terceiro; aos implantadores estabelecidos na União; e aos provedores e implantadores de países terceiros cujos sistemas produzam resultados utilizados na União. É o que dispõe o artigo 2º. O considerando 22 ilustra a última hipótese: um operador europeu contrata de um operador de país terceiro um serviço executado por sistema de IA, que trata dados transferidos da União e devolve o resultado ao contratante. O sistema opera fora da Europa, mas está sujeito ao regulamento.

O regulamento distingue papéis, e as obrigações variam conforme o papel. O provedor (provider) desenvolve o sistema, ou o manda desenvolver, e o coloca no mercado ou em serviço sob seu nome ou marca; é sobre ele que recai a maior parte das exigências. O implantador (deployer) utiliza o sistema sob sua autoridade, no exercício de atividade profissional; suas obrigações são, em regra, de uso correto, supervisão e informação. Há ainda importadores, distribuidores e representantes autorizados, com deveres próprios na cadeia de fornecimento. Um implantador que modifique substancialmente um sistema ou lhe dê finalidade nova pode passar a ser tratado como provedor.

Ficam fora do regulamento os usos exclusivamente militares, de defesa e de segurança nacional; a pesquisa e o desenvolvimento antes da colocação no mercado; e o uso pessoal, não profissional. Os sistemas de código aberto têm isenções parciais, mas continuam sujeitos às regras sobre práticas proibidas, alto risco e transparência.

As quatro categorias de risco

O AI Act organiza os sistemas de IA em quatro níveis de risco, e cada nível determina o regime aplicável. A classificação depende da finalidade do sistema, não da tecnologia: um mesmo modelo pode ser de risco mínimo ao resumir documentos e de risco elevado ao classificar candidatos a emprego.

A distribuição dos sistemas entre as categorias é desigual. As práticas proibidas são poucas e específicas; os sistemas de alto risco são uma lista fechada, ampliável pela Comissão; a maior parte dos usos correntes de IA é de risco mínimo e não gera obrigação alguma. Entre esses dois extremos, a categoria que alcança o maior número de organizações é a de risco limitado, porque quase toda empresa que usa IA generativa ou um chatbot está nela.

Calendário de aplicação após o Digital Omnibus

O calendário original previa a aplicação plena em 2 de agosto de 2026. O Regulamento (UE) 2026/1744, conhecido como Digital Omnibus on AI, publicado em 24 de julho de 2026 e em vigor desde 27 de julho, reorganizou as fases: adiou as obrigações de alto risco, manteve as de transparência e concedeu prazo adicional para a marcação técnica de conteúdo gerado.

O adiamento do alto risco decorreu de uma constatação da própria Comissão: as normas harmonizadas em elaboração pelo CEN-CENELEC, as especificações comuns e a capacidade dos organismos notificados não estariam prontas em agosto de 2026. O Omnibus alargou a janela para que essa infraestrutura chegue, sem alterar o conteúdo das obrigações.

Modelos de IA de propósito geral

Os modelos de IA de propósito geral — os grandes modelos de linguagem e de geração de imagem que servem de base a inúmeras aplicações — têm capítulo próprio, aplicável desde 2 de agosto de 2025. Seus provedores devem manter documentação técnica, fornecer informações a quem integra o modelo em sistemas, adotar política de respeito ao direito de autor e publicar um resumo do conteúdo usado no treinamento. Os modelos com risco sistêmico, presumido a partir de determinado poder computacional empregado no treinamento, têm deveres adicionais de avaliação, mitigação de riscos, notificação de incidentes graves e cibersegurança. A supervisão desses modelos cabe diretamente ao AI Office da Comissão Europeia, e um Código de Prática para modelos de propósito geral, publicado em julho de 2025, funciona como via presumida de conformidade para quem a ele adere.

As obrigações de transparência do artigo 50

As obrigações de transparência valem desde 2 de agosto de 2026 e alcançam quatro situações. O sistema que interage diretamente com pessoas deve ser concebido de modo a informá-las de que se trata de IA, salvo quando isso for óbvio. O sistema que gera conteúdo sintético — texto, imagem, áudio, vídeo — deve marcar as saídas em formato legível por máquina, de modo que sejam detectáveis como geradas artificialmente. O implantador de sistema de reconhecimento de emoções ou de categorização biométrica deve informar as pessoas a ele expostas. E o implantador que cria deepfakes, ou que publica texto gerado por IA para informar o público sobre assuntos de interesse público, deve divulgar a origem artificial do conteúdo. A informação deve ser prestada, no mais tardar, na primeira interação ou exposição, de forma clara e distinguível.

As exceções são relevantes: a edição assistiva que não altera substancialmente o conteúdo, as obras artísticas, satíricas e ficcionais (com dever atenuado), e o texto submetido a revisão humana com responsabilidade editorial de pessoa identificada. A Comissão publicou em 10 de junho de 2026 o Código de Práticas sobre marcação e rotulagem de conteúdo gerado por IA, que propõe um selo visual padronizado, localizado por idioma. O tema é examinado em detalhe no artigo sobre a marcação de conteúdo gerado por IA; o guia prático do AI Act Explorer detalha as quatro hipóteses e suas exceções, e o conceito de deepfake no direito brasileiro está no artigo sobre deepfake.

Literacia em IA, sandboxes e códigos de conduta

Três instrumentos do regulamento recebem menos atenção do que merecem. O dever de literacia em IA, do artigo 4º, vale desde fevereiro de 2025 e exige que provedores e implantadores assegurem que as pessoas que operam sistemas de IA em seu nome tenham conhecimento suficiente para fazê-lo, considerando sua formação e o contexto de uso. É uma obrigação de meio, sem sanção própria, mas relevante como evidência de diligência.

As sandboxes regulatórias, do artigo 57, são ambientes controlados em que autoridades nacionais acompanham o desenvolvimento e o teste de sistemas antes da colocação no mercado; cada Estado-membro deve dispor de ao menos uma desde agosto de 2026. Os códigos de conduta, do artigo 95, são o instrumento previsto para que os provedores de sistemas de risco mínimo adotem voluntariamente parte das exigências do alto risco.

Sanções

O artigo 99 prevê três faixas de multa, sempre pelo valor mais alto entre o montante fixo e o percentual do faturamento global anual: até 35 milhões de euros ou 7% para práticas proibidas; até 15 milhões de euros ou 3% para o descumprimento das demais obrigações, inclusive as de transparência e as de alto risco; até 7,5 milhões de euros ou 1% por informação incorreta, incompleta ou enganosa prestada às autoridades. Para pequenas e médias empresas e startups, o regulamento inverte a regra e aplica o menor dos dois valores, e determina que as autoridades considerem a viabilidade econômica da empresa, a gravidade da infração, a cooperação e as medidas corretivas. Os provedores de modelos de propósito geral estão sujeitos a multas próprias, aplicadas pela Comissão, de até 15 milhões de euros ou 3% do faturamento.

Quem fiscaliza

A supervisão é compartilhada entre a União e os Estados-membros. No plano europeu, o AI Office, criado dentro da Comissão, supervisiona os modelos de propósito geral, coordena a aplicação e elabora orientações e códigos de prática; o Comitê de IA reúne representantes dos Estados-membros; um painel científico de peritos independentes e um fórum consultivo completam a estrutura. No plano nacional, cada Estado designa autoridades de fiscalização de mercado e de notificação, com poderes de investigação e sanção. Na Alemanha, a fiscalização de mercado foi atribuída à Bundesnetzagentur, a agência federal de redes, em coordenação com autoridades setoriais; em Portugal, à ANACOM. A empresa de fora da União trata, portanto, com a autoridade do Estado-membro em que seu sistema é usado, e não com Bruxelas.

O AI Act e o Brasil

O PL 2.338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara dos Deputados, adota a mesma arquitetura de classificação por risco, prevê práticas proibidas, sistemas de alto risco e deveres de transparência, e traz, nos artigos 19 e 20, o equivalente à marcação de conteúdo sintético do artigo 50. As diferenças estão no estágio e na estrutura: o AI Act é regulamento em vigor, com calendário e sanções aplicáveis; o projeto brasileiro depende de aprovação, sanção e regulamentação, e ainda discute o desenho institucional. O estado atual da tramitação está no artigo sobre a regulamentação da inteligência artificial no Brasil. Enquanto não há lei geral, a regulação brasileira é setorial: a Resolução CNJ 615/2025 disciplina o uso no Judiciário, e o Tribunal Superior Eleitoral exige a sinalização de conteúdo sintético na propaganda das eleições de 2026.

Para quem opera nos dois mercados, a consequência é uma assimetria: o AI Act alcança a empresa brasileira que coloca sistemas no mercado europeu, que atende clientes na União por meio de IA ou cujos resultados são ali utilizados, ao passo que o marco brasileiro ainda não produz efeitos. Na prática, a exposição ao regulamento europeu deve ser mapeada pela finalidade de cada sistema — a maioria dos usos é de risco mínimo, e a obrigação mais comum é a de transparência — e que a organização do inventário de sistemas de IA se apoia naturalmente no inventário de tratamento de dados já exigido pela LGPD.

Perguntas frequentes sobre o AI Act da União Europeia

O que é o AI Act da União Europeia?

O AI Act é o Regulamento (UE) 2024/1689, a primeira regulação geral de inteligência artificial adotada por um grande bloco econômico. Classifica os sistemas de IA por nível de risco — inaceitável, elevado, limitado e mínimo — e impõe obrigações proporcionais a cada nível. Entrou em vigor em 1º de agosto de 2024 e aplica-se em fases até 2028.

Quais são as categorias de risco do AI Act?

Quatro: risco inaceitável (práticas proibidas), risco elevado (sistemas do Anexo III e componentes de segurança de produtos regulados, sujeitos a avaliação de conformidade), risco limitado (obrigações de transparência do artigo 50) e risco mínimo (sem obrigações novas).

O que já está em vigor no AI Act em 2026?

As práticas proibidas e o dever de literacia em IA (desde 2 de fevereiro de 2025), as obrigações dos modelos de propósito geral (desde 2 de agosto de 2025) e as obrigações de transparência do artigo 50 (desde 2 de agosto de 2026). As obrigações de alto risco foram adiadas pelo Regulamento 2026/1744 para 2 de dezembro de 2027.

O AI Act se aplica a empresas de fora da União Europeia?

Sim. Pelo artigo 2º, aplica-se a quem coloca sistemas de IA no mercado da União, esteja onde estiver, e a provedores e implantadores de países terceiros cujos sistemas produzam resultados utilizados na União.

Quais são as multas do AI Act?

Até 35 milhões de euros ou 7% do faturamento global anual para práticas proibidas; até 15 milhões ou 3% para as demais obrigações; até 7,5 milhões ou 1% por informação incorreta às autoridades. Para PMEs e startups aplica-se o menor dos dois valores.

Qual é a diferença entre o AI Act e o PL 2.338/2023?

O AI Act é regulamento em vigor, com calendário e sanções definidos; o PL 2.338/2023 é projeto aprovado pelo Senado e em tramitação na Câmara. Os dois adotam classificação por risco e deveres de transparência, mas apenas o europeu produz efeitos hoje.

Outros temas de direito digital e regulação da inteligência artificial estão reunidos na página do silo de Blockchain e Inteligência Artificial da Barbieri Advogados.