Em 2 de fevereiro de 2025, os primeiros dentes legais da Lei da Inteligência Artificial da União Europeia entraram em vigor. Foi a data em que a proibição da regulamentação sobre práticas de IA inaceitáveis começou a ser aplicada, colocando a pontuação social, a manipulação exploradora, o rascunho de imagens faciais não direcionadas e a identificação biométrica remota mais em tempo real em espaços públicos fora dos limites. Em 2 de agosto de 2025, uma segunda camada se ligou: as obrigações de governação e transparência para modelos de IA de propósito geral, juntamente com um horário fino. O próximo marco é 2 de agosto de 2026, quando a regulamentação completa se aplica, exceto para sistemas de IA que são componentes de segurança em produtos regulados, que chegam até 2
As primeiras ações de conformidade agora anunciadas pelas autoridades europeias e nacionais não são as dramáticas multas públicas que as cláusulas de penalidade do regulamento tornam fácil de imaginar. São pedidos formais de informação, revisões de documentação, prioridades de inspeção pública e controlos de registo. Um fornecedor recebe uma carta datada, uma lista de categorias de documentação técnica e um lembrete de que fornecer informações incorretas ou incompletas carrega sua própria penalidade.
Um regulamento baseado em riscos, não uma proibição de cobertura
A Lei da IA divide os sistemas em quatro categorias: inaceitáveis, de alto risco, limitados e de risco mínimo.A maioria dos sistemas em uso deverá cair nas faixas de risco baixo e mínimo.A orientação da Comissão diz que os sistemas nessas faixas enfrentam obrigações de transparência em vez da máquina de conformidade completa: um chatbot deve revelar que uma máquina está respondendo, e falsificações profundas devem ser rotuladas, mas o provedor não é obrigado a executar uma avaliação de organismo notificado.
O que é considerado de alto risco é específico.O Anexo III lista setores incluindo biométrica, infraestruturas críticas, educação, emprego e gestão de trabalhadores, acesso a serviços essenciais privados e públicos, aplicação da lei, migração e controlo de fronteiras e administração da justiça.O Anexo I capta sistemas de IA usados como componentes de segurança em produtos como dispositivos médicos, máquinas, brinquedos e elevadores.
Penalidades que chamam a atenção
Por colocar um sistema de IA proibido no mercado, a Comissão Europeia e as autoridades nacionais podem prosseguir multas de até 35 milhões de euros ou 7% do volume de negócios anual mundial. Para a maioria das outras violações, incluindo violações de sistemas de alto risco, o limite é de 15 milhões de euros ou 3%.O fornecimento de informações incorretas, incompletas ou enganosas aos reguladores fica em uma terceira faixa de até 7,5 milhões de euros ou 1,5%.Para uma grande empresa, o número baseado no volume de negócios rapidamente anula o montante fixo do euro porque a regulamentação especifica o que for maior.
O Escritório Europeu de IA coordena a aplicação dos modelos de IA de finalidade geral.As autoridades nacionais de vigilância do mercado aplicam as regras de produto dentro dos Estados-Membros.A agência de supervisão espanhola, AESIA, foi criada na Corunha em 2023, antes de o texto final ter sido adotado, e é um dos organismos nacionais que agora recebem poderes de inspeção e aplicação.As ligações institucionais são importantes porque uma empresa pode enfrentar um pedido de informação do Escritório de IA, uma investigação separada de uma autoridade nacional e uma retirada de produto em um Estado-Membro individual a partir do mesmo modelo subjacente.
Quais são os objetivos da primeira onda de execução
Os fornecedores de modelos de IA de finalidade geral devem documentar como seus modelos foram treinados, incluindo um resumo do conteúdo usado para o treinamento e uma política para cumprir com a lei de direitos autorais da UE.Escritório EuropeuA primeira onda de acção concentra-se ali: pedidos de documentação técnica, esclarecimentos sobre a governação de dados e verificações sobre se os prestadores de serviços se inscreveram na base de dados relevante da UE.
Para sistemas de alto risco, a aplicação será mais parecida com a conformidade de produtos tradicionais. Um modelo de alto risco usado na classificação de recrutamento, pontuação de exames ou classificação médica deve levar documentação de gestão de riscos, registos técnicos, medidas de supervisão humana e uma avaliação de conformidade antes de poder carregar uma marcação CE.Texto completo do Regulamento (UE) n.o 2024/1689cada uma dessas etapas, e a ComissãoPágina de Implementação da LeiAcompanhe a cronologia.
O penhasco de agosto de 2026 e a escultura de 2027
A maioria das obrigações de alto risco do Anexo III entram em vigor em 2 de agosto de 2026, razão pela qual os reguladores estão emitindo as primeiras ações de conformidade agora.As organizações que aguardam a data final estão descobrindo que a compilação da documentação necessária para mesmo um sistema de produção não é um exercício de duas semanas.A escultura é mais estreita do que parece: os sistemas de IA já regulamentados como componentes de segurança sob a legislação de produtos existente da UE, como dispositivos médicos e máquinas, recebem um ano adicional, até 2 de agosto de 2027.
A mesma distinção aparece nos debates atuais de controle de exportação. restrições de chips de IA estão forçando as empresas a rastrear quais modelos podem ser treinados onde, um fardo de conformidade paralelo às obrigações de documentação sob a Lei de IA.EUA e China restringem exportação de chips de IAE oControle de gastos de capital atinge grande infraestrutura de IA. o
O que isso significa para equipes que criam ou implementam IA
Um produto liderado por um fornecedor de dispositivos médicos alemão, chamado Dr. M, passou oito semanas mapeando cada modelo de produção contra as regras de classificação da Lei. Três de seus onze modelos estavam dentro do Anexo I como componentes de segurança e nunca tinham passado por uma avaliação notificada. Ela tinha tratado 2 de agosto de 2027 como uma preocupação distante. O inventário mostrou a exposição já tinha começado, porque a documentação e os hábitos de gerenciamento de riscos necessários até 2027 levam mais tempo para construir do que o prazo legal sugere.
A exceção é bastante comum, no entanto, porque os componentes de segurança se escondem dentro dos produtos existentes e porque alguns fornecedores de modelos de propósito geral ainda não têm o hábito de documentação.O que os reguladores estão anunciando não é uma campanha contra a IA em geral; é uma campanha contra o risco não documentado.
O primeiro passo prático é um inventário. Lista cada sistema de IA e modelo de propósito geral que sua organização constrói, compra ou integra. Classifique cada um contra a lista de práticas proibidas e as duas rotas de alto risco. Verifique se o provedor apresentou documentação técnica e, quando necessário, registrou o sistema. Faça isso antes do final do mês, enquanto as autoridades ainda estão enviando cartas em vez de impor multas.
Photo by Guillaume Périgois on Unsplash