O Regulamento (UE) 2024/1689 — o EU AI Act — é a primeira legislação abrangente de inteligência artificial do mundo. A reação natural de uma empresa brasileira é considerar o assunto europeu e seguir em frente. É um erro de leitura que já custou caro no caso do GDPR, e a mecânica aqui é a mesma.
O regulamento tem alcance extraterritorial: não pergunta onde a empresa está, pergunta onde o sistema é colocado no mercado e onde o resultado é usado. Este guia trata de quando ele alcança uma empresa brasileira, do que exige e do que fazer a respeito.
Material informativo, não parecer jurídico. Enquadramento de faixa de risco e de papel — fornecedor, importador, distribuidor ou implantador — depende do caso concreto e deve ser validado com assessoria especializada.
Os três caminhos pelos quais ele chega ao Brasil
- 1. Venda direta. Sua empresa oferece produto ou serviço com IA embarcada para clientes na União Europeia. É o caso mais óbvio e o menos frequente.
- 2. Resultado usado na UE. O sistema roda no Brasil, mas o que ele produz é utilizado dentro da União — análise, classificação, recomendação ou decisão que chega a um destinatário europeu. Esta é a hipótese que pega mais gente de surpresa.
- 3. Efeito cascata contratual. O mais provável de todos. Sua empresa é fornecedora de uma multinacional que precisa se adequar; ela transfere a exigência para a cadeia, e a conformidade chega até você como cláusula contratual e questionário de fornecedor — não como obrigação legal direta.
Vale notar a assimetria: no terceiro caminho, o custo de não se preparar não é multa, é perda de contrato. E ele costuma chegar sem aviso, no meio de uma renovação.
As quatro faixas de risco
A lógica do regulamento é proporcional: obrigação proporcional ao dano potencial, não à sofisticação técnica.
| Faixa | Do que se trata | Obrigação |
|---|---|---|
| Inaceitável | Práticas vedadas, como manipulação que explora vulnerabilidades, pontuação social por autoridades públicas e certas formas de identificação biométrica. | Proibição. É a faixa com as sanções mais altas. |
| Alto risco | Sistemas listados no regulamento — entre eles emprego e seleção, educação, crédito, serviços essenciais, infraestrutura crítica e componentes de segurança de produtos. | O conjunto pesado: gestão de risco, governança de dados, documentação técnica, registro de eventos, transparência, supervisão humana, exatidão e robustez, e avaliação de conformidade. |
| Risco limitado | Sistemas que interagem com pessoas ou geram conteúdo sintético. | Transparência: informar que se trata de IA e identificar conteúdo gerado artificialmente. |
| Risco mínimo | A grande maioria dos usos corporativos comuns. | Sem obrigações específicas — o que não dispensa LGPD nem política interna. |
Há ainda um regime próprio para modelos de IA de finalidade geral (GPAI), com deveres de documentação e transparência para quem os fornece, e deveres adicionais quando o modelo apresenta risco sistêmico. Para a maioria das empresas brasileiras, esse capítulo importa como usuária desses modelos: é do fornecedor que se deve exigir a documentação.
O enquadramento mais comum numa empresa brasileira típica é risco mínimo — com uma exceção que aparece quase sempre: triagem de currículos. Uso de IA em recrutamento e seleção está entre os casos de alto risco. Muita empresa que se considera fora do escopo tem, no RH, o único sistema que a coloca dentro.
O calendário
O regulamento entrou em vigor em agosto de 2024, mas a aplicação é escalonada — e essa é a informação que mais gente erra:
| A partir de | O que passa a valer |
|---|---|
| Fevereiro de 2025 | Práticas proibidas e o dever de literacia em IA — capacitação de quem opera e é afetado pelos sistemas. |
| Agosto de 2025 | Obrigações para modelos de finalidade geral (GPAI) e a estrutura de governança e sanções. |
| Agosto de 2026 | O grosso das obrigações de alto risco listadas no Anexo III, e os deveres de transparência. |
| Agosto de 2027 | Sistemas de alto risco que são componentes de segurança de produtos já regulados por legislação setorial. |
Para quem é alcançado pelo efeito cascata contratual, o calendário relevante não é esse: é o dos clientes europeus, que começam a exigir evidência da cadeia bem antes do próprio prazo deles.
As sanções
- Até € 35 milhões ou 7% do faturamento global anual, o que for maior — para práticas proibidas.
- Até € 15 milhões ou 3% — para descumprimento das demais obrigações, incluindo as de alto risco.
- Até € 7,5 milhões ou 1% — para informação incorreta, incompleta ou enganosa prestada às autoridades.
O percentual de 7% é superior ao teto do GDPR, o que sinaliza a seriedade com que o legislador europeu trata a faixa das práticas proibidas.
O que fazer, sem virar projeto de dois anos
Para a maioria das empresas brasileiras, a preparação proporcional cabe em quatro movimentos:
- 1. Inventariar. Não há como enquadrar por faixa de risco o que não se sabe que existe. É o mesmo pré-requisito de todos os outros frameworks — ver como montar um AI-BOM.
- 2. Enquadrar.Classifique cada sistema pelas quatro faixas e registre a justificativa. Na maioria dos casos o resultado é “risco mínimo” — e ter isso documentado é o que responde ao questionário do cliente.
- 3. Tratar as exceções. Os poucos sistemas que caem em alto risco recebem atenção proporcional: supervisão humana, documentação e registro.
- 4. Capacitar. O dever de literacia em IA é a obrigação mais barata de cumprir e a mais esquecida: treinamento registrado para quem opera e para quem é afetado pelos sistemas.
Quem estrutura isso dentro de um sistema de gestão conforme à ISO/IEC 42001 cobre boa parte do caminho com um artefato só — e é essa a razão prática de a norma ter ganhado tração comercial tão rápido.
E o marco regulatório brasileiro
Há projeto de lei em tramitação no Congresso propondo um marco de IA com abordagem por níveis de risco, de estrutura próxima à europeia. Como texto e estágio mudam ao longo da tramitação, vale confirmar o estado atual antes de qualquer decisão de conformidade.
O ponto prático independe do desfecho: inventário, classificação por risco, supervisão humana e registro de evidência são o denominador comum da LGPD, da ISO/IEC 42001, do EU AI Act e de qualquer marco que venha. Construir isso agora não é apostar em um texto legal específico — é construir a base que todos eles exigem.
Perguntas frequentes
O EU AI Act se aplica a empresas brasileiras?
Pode se aplicar. O regulamento tem alcance extraterritorial: atinge quem coloca sistemas de IA no mercado da União Europeia independentemente de onde esteja estabelecido, e também fornecedores e implantadores fora da UE quando o resultado produzido pelo sistema é utilizado dentro da União. Uma empresa brasileira sem cliente europeu direto ainda pode ser alcançada por contrato, como fornecedora na cadeia de uma empresa europeia.
Quais são as faixas de risco do EU AI Act?
Quatro. Risco inaceitável, com práticas proibidas. Alto risco, com o conjunto mais pesado de obrigações — gestão de risco, governança de dados, documentação técnica, registro, supervisão humana, robustez e conformidade. Risco limitado, com deveres de transparência, como informar que o interlocutor é uma IA ou que o conteúdo foi gerado artificialmente. E risco mínimo, sem obrigações específicas.
Quais são as multas do EU AI Act?
As mais severas alcançam até 35 milhões de euros ou 7% do faturamento anual global, o que for maior, para as práticas proibidas. Para descumprimento de outras obrigações, até 15 milhões de euros ou 3%. Para prestação de informação incorreta ou enganosa às autoridades, até 7,5 milhões de euros ou 1%.
O Brasil terá uma lei parecida?
Há projeto de lei em tramitação no Congresso propondo um marco regulatório de IA com abordagem por níveis de risco, inspirado na estrutura europeia. Como o texto e o estágio de tramitação mudam, o estado atual deve ser confirmado antes de decisões de conformidade. Na prática, empresas que se organizam para o EU AI Act ficam bem posicionadas para o que vier.