Regulação europeia adia prazos para IA de alto risco
O regulamento europeu de intelligência artificial passou pela primeira revisão formal desde sua adoção, em 2024. O Digital Omnibus on AI, publicado como Regulamento (UE) 2026/1744, saiu no Jornal Oficial da União Europeia em 24 de julho de 2026 e entrou em vigor em 27 de julho, três dias após a publicação. A norma redefine o calendário de aplicação do AI Act e adia as obrigações consideradas mais exigentes, dirigidas aos sistemas classificados como de alto risco.
O novo cronograma distribui as obrigações em quatro marcos. Em 2 de agosto de 2026 entram em aplicação as regras de transparência, que incluem o dever de informar quando uma pessoa está interagindo com um sistema de inteligência artificial. Em 2 de dezembro de 2026 passam a valer as obrigações de marcação de conteúdo gerado artificialmente para sistemas já disponíveis no mercado antes de agosto. Em 2 de dezembro de 2027 aplicam-se as obrigações principais dos sistemas autônomos de alto risco listados no Anexo III, categoria que abrange usos em emprego, educação, crédito e acesso a serviços essenciais. Em 2 de agosto de 2028 entram em vigor as regras para sistemas de alto risco embarcados em produtos já cobertos por legislação setorial.
A justificativa registrada no processo legislativo foi de ordem prática. O adiamento reconhece dificuldades de implementação identificadas desde a adoção do marco regulatório europeu de inteligência artificial, entre elas atrasos na designação de autoridades nacionais competentes e de organismos de avaliação de conformidade, além da ausência de normas harmonizadas e de ferramentas de conformidade para sistemas de alto risco. O mesmo regulamento ampliou os poderes de supervisão do AI Office sobre modelos de uso geral e introduziu nova proibição relativa a conteúdo sexual explícito gerado por inteligência artificial sem consentimento.
O adiamento não alcança todas as frentes. As obrigações de transparência seguem com aplicação a partir de 2 de agosto de 2026, sem alteração de prazo, o que mantém em vigor neste primeiro momento os deveres de informação ao usuário sobre a natureza artificial da interação. Também permanecem inalteradas as práticas proibidas, em vigor desde fevereiro de 2025, e as obrigações aplicáveis a modelos de uso geral, vigentes desde agosto de 2025. O regime sancionatório do regulamento prevê multas que variam conforme o tipo de infração e podem alcançar percentuais do faturamento global anual.
Para o mercado brasileiro, o ponto relevante é o alcance extraterritorial da norma. O regulamento europeu se aplica a fornecedores e operadores de sistemas de inteligência artificial independentemente do local de estabelecimento, quando os sistemas são disponibilizados no mercado europeu ou quando seus resultados são utilizados no território da União Europeia. Na prática, empresas brasileiras que exportam soluções tecnológicas, mantêm subsidiárias em países do bloco ou prestam serviços a clientes europeus podem estar no escopo antes mesmo de o Brasil concluir sua própria regulação.
No cenário nacional, o Projeto de Lei 2338/2023, que estabelece o marco legal brasileiro de inteligência artificial, foi aprovado pelo Senado em dezembro de 2024 e aguarda parecer do relator na Comissão Especial da Câmara dos Deputados. Enquanto a tramitação avança, a Autoridade Nacional de Proteção de Dados mantém inteligência artificial e tecnologias emergentes entre seus eixos prioritários de fiscalização para o biênio 2026 e 2027, com base nas competências já previstas na Lei Geral de Proteção de Dados.
Para Rafael Lotfi Marrocos Leite, CEO da VGrid, consultoria com atuação em governança de IA, cibersegurança e conformidade digital, o adiamento tende a ser mal interpretado pelo mercado. "O prazo mudou, a exigência não. O inventário, a documentação e a trilha de auditoria continuam sendo a base de qualquer conformidade em inteligência artificial", afirma. Ele observa que a distância entre a data e o trabalho necessário costuma ser subestimada. "Mapear onde a inteligência artificial já é usada, classificar risco por sistema, definir quem responde por cada decisão automatizada e produzir evidência auditável leva meses. Empresas que tratarem dezembro de 2027 como data de início, e não de chegada, vão repetir o que aconteceu na adequação à LGPD", completa.
Como referência técnica para estruturar esse trabalho, organizações têm recorrido à ISO/IEC 42001, norma internacional publicada em 2023 que define requisitos para sistemas de gestão de inteligência artificial e é a única certificável da família. Estimativas públicas de organismos certificadores indicam mais de 350 organizações certificadas no mundo até abril de 2026. "A norma organiza o programa e produz evidência, e nenhuma certificação substitui a obrigação legal. São camadas diferentes que precisam conversar", diz o executivo. Com o calendário europeu redefinido e o marco brasileiro em tramitação, a discussão sobre prazos tende a ceder espaço à discussão sobre o que cada empresa consegue demonstrar quando as datas chegarem.
