Lei de IA da UE explicada: níveis de risco, prazos e multas

A Lei de IA da União Europeia é um regulamento que classifica os sistemas de inteligência artificial de acordo com o risco que representam e estabelece regras proporcionais a cada nível. Ela entrou em vigor em 1º de agosto de 2024 e está sendo implementada gradualmente ao longo de vários anos. As proibições, o dever de alfabetização em IA e as regras para modelos de IA de propósito geral (GPAI) já são aplicáveis. As regras para sistemas de alto risco foram adiadas para dezembro de 2027 e agosto de 2028 por uma emenda conhecida como Digital Omnibus, adotada em 2026.

Este guia reflete a situação em outubro de 2026. Alguns detalhes cronograma revisado ainda estão sendo esclarecidos. Antes de tomar decisões de conformidade, consulte o texto publicado no Jornal Oficial e as páginas sobre a Lei de IA do próprio Comissão Europeia.

O que é a Lei de IA da UE?

A Lei de IA é um regulamento, e não uma diretiva. Isso significa que ela se aplica diretamente em todos os Estados-membros, sem que os governos nacionais precisem incorporá-la às suas próprias leis. Sua referência oficial é o Regulamento (UE) 2024/1689, publicado em julho de 2024. O serviço de pesquisa do Parlamento Europeu observou que ela foi concebida para levar pelo menos três anos até ser plenamente aplicada.

Ela é amplamente descrita como a primeira estrutura jurídica abrangente e horizontal para a IA, o que significa que atravessa diversos setores em vez de atingir apenas uma indústria. Os sistemas de IA são regulados conforme o risco, enquanto os modelos de propósito geral são regulados conforme suas capacidades. Diretrizes, normas harmonizadas e códigos de conduta voluntários fornecem o detalhamento técnico.

Quais são as categorias de risco da Lei de IA?

O texto da Lei define quatro níveis de risco para os sistemas de IA, além de uma trilha separada para os modelos de propósito geral. O resumo a seguir acompanha a estrutura da Lei. Os limites exatos são definidos no Artigo 5, no Artigo 6, nos Anexos I e III e no Artigo 50.

Risco inaceitável (proibido): inclui a pontuação social e a IA que manipula pessoas ou explora suas vulnerabilidades. A coleta não direcionada de imagens faciais é proibida, assim como o reconhecimento de emoções no trabalho e nas escolas, com exceções. Certas categorizações biométricas, o policiamento preditivo baseado apenas em perfilamento e a identificação biométrica remota em tempo real em espaços públicos pelas forças de segurança (com exceções restritas) também são proibidos.

Alto risco: há dois tipos. O Anexo I abrange a IA que atua como componente de segurança em produtos já regulados pela legislação de produtos da UE, como máquinas, dispositivos médicos ou brinquedos. O Anexo III abrange sistemas autônomos usados em áreas sensíveis, incluindo biometria, infraestrutura crítica, educação, emprego, serviços essenciais e crédito, aplicação da lei, migração e controle de fronteiras, e justiça e processos democráticos.

Os fornecedores de sistemas de alto risco devem implementar gestão de riscos, governança de dados e documentação técnica. Também precisam de registros de operação, supervisão humana e precisão e robustez adequadas. Além disso, são exigidos uma avaliação de conformidade, a marcação CE e o registro em uma base de dados da UE.

Risco limitado (transparência, Artigo 50): as pessoas devem ser informadas quando estiverem interagindo com um chatbot, e os deepfakes devem ser rotulados. O conteúdo gerado por IA também deve trazer uma marcação legível por máquina. Risco mínimo: ferramentas do dia a dia, como filtros de spam ou videogames, não enfrentam novas obrigações.

Modelos de IA de propósito geral: todo fornecedor de GPAI deve manter documentação e ter uma política de direitos autorais. Modelos considerados de "risco sistêmico" enfrentam deveres adicionais. A Lei presume risco sistêmico acima de um limiar de computação de treinamento de 10^25 FLOPs.

Quando a Lei de IA da UE se aplica? O cronograma atual

Pelo cronograma original, as proibições e as obrigações de alfabetização em IA passaram a valer em 2 de fevereiro de 2025. As regras para GPAI, as disposições de governança e as sanções vieram em seguida, em 2 de agosto de 2025. A maior parte das disposições restantes, incluindo as regras de alto risco do Anexo III, estava prevista para 2 de agosto de 2026. As regras de alto risco do Anexo I foram fixadas para 2 de agosto de 2027.

Esse plano mudou. Em 19 de novembro de 2025, a Comissão propôs o "Digital Omnibus sobre IA", em parte como resposta às preocupações com a complexidade regulatória levantadas no relatório Draghi de 2024. Parlamento e Conselho chegaram a um acordo provisório em 7 de maio de 2026. O Parlamento deu aprovação final em 16 de junho, e o Conselho adotou o texto em 29 de junho. Ele foi assinado em 8 de julho e entrou em vigor com a publicação no Jornal Oficial, em 27 de julho de 2026.

Com as datas revisadas, as regras de alto risco autônomas do Anexo III passam a valer a partir de 2 de dezembro de 2027. As regras do Anexo I para IA incorporada a produtos regulados começam agora em agosto de 2028. Segundo a análise da Formalize, as proibições gerais e as regras para GPAI não foram adiadas.

Alguns pontos permanecem em aberto. Entre eles estão a data exata, após o Omnibus, das obrigações de transparência e marcação de água do Artigo 50, se novas proibições foram acrescentadas e o alcance preciso dos alívios para empresas menores. Também há relatos de atrasos nas normas harmonizadas. Confira esses pontos no texto oficial.

A quem a Lei de IA se aplica?

De acordo com o artigo sobre o escopo da Lei, ela abrange os fornecedores que colocam sistemas de IA no mercado da UE, independentemente de onde estejam sediados. Também abrange os implantadores (organizações que usam IA) localizados na UE, além de importadores, distribuidores e fabricantes de produtos. Fornecedores e implantadores fora da UE também são alcançados quando o resultado de seu sistema é usado dentro do bloco.

Esse alcance extraterritorial funciona de forma semelhante à do RGPD. Uma empresa na Turquia, nos Estados Unidos ou em outro lugar que venda IA na UE, ou cujos resultados de IA sejam usados ali, pode estar sujeita à lei. Fornecedores não europeus de sistemas de alto risco e de modelos GPAI devem nomear um representante autorizado na UE.

Alguns usos são excluídos: defesa, militar e segurança nacional; IA usada exclusivamente para pesquisa científica; e uso puramente pessoal, não profissional. A maior parte do software livre e de código aberto também está fora do escopo, com algumas exceções.

Quais são as multas previstas na Lei de IA da UE?

O Artigo 99 estabelece três níveis de multas. Violar as proibições pode custar até €35 milhões ou 7% do faturamento anual mundial, o que for maior. A maioria das outras obrigações dos operadores prevê até €15 milhões ou 3%. Fornecer informações incorretas ou enganosas às autoridades pode gerar multas de até €7,5 milhões ou 1%.

Para PMEs e startups, aplica-se o menor dos dois valores (Artigo 99(6)). Segundo relatos, o Omnibus estende esse tratamento às "small mid-caps". Os Estados-membros definem as regras nacionais detalhadas de penalidades, e o Artigo 99 se aplica desde 2 de agosto de 2025. Os fornecedores de GPAI podem ser multados pela Comissão, em até €15 milhões ou 3%.

As faixas de multa ligadas a obrigações adiadas só passam a valer quando essas obrigações entram em vigor. Alguns artigos mais antigos ainda afirmam que as penalidades para alto risco começam em 2 de agosto de 2026. Isso já não é preciso.

O que as organizações devem fazer agora?

O adiamento não é motivo para parar de se preparar, pois as proibições, a alfabetização em IA e as regras para GPAI já estão em vigor. Um primeiro passo prático é inventariar os sistemas de IA que você desenvolve, compra ou vende e enquadrar cada um em um nível de risco.

Para fornecedores de alto risco, elaborar a documentação, a governança de dados e os processos de supervisão humana leva tempo, de modo que dezembro de 2027 está mais próximo do que parece. Para informações oficiais e detalhadas, consulte o EUR-Lex, as páginas da Comissão sobre a Lei de IA e o Escritório de IA, em vez de resumos de terceiros.