EU AI Act: cronograma de aplicação para empresas BR

O cenário global da inteligência artificial mudou definitivamente com a entrada em vigor do EU AI Act (Regulamento de Inteligência Artificial da União Europeia). Frequentemente comparado ao impacto que o GDPR teve na proteção de dados, este novo marco regulatório não se restringe às fronteiras europeias. Para as empresas brasileiras que operam ou pretendem operar no mercado comum europeu, ou que utilizam sistemas de IA desenvolvidos na UE, o relógio já começou a correr.

A regulação utiliza uma abordagem baseada em risco, o que significa que quanto maior o potencial de dano de um sistema de IA à segurança ou aos direitos fundamentais, mais rigorosas serão as regras. Entender o cronograma de aplicação é o primeiro passo para evitar multas que podem chegar a 35 milhões de euros ou 7% do faturamento global anual.

Por que empresas brasileiras devem se preocupar com o EU AI Act?

Embora seja uma lei europeia, o EU AI Act possui aplicação extraterritorial. Isso significa que ele se aplica a fornecedores e implementadores de sistemas de IA que sejam colocados no mercado ou colocados em serviço na União Europeia, independentemente de estarem estabelecidos na UE ou em um país terceiro (como o Brasil). Além disso, se a saída (output) produzida pelo sistema de IA for utilizada na União Europeia, a empresa brasileira pode ser enquadrada na norma.

O efeito espelho e o PL 2338 no Brasil

É importante ressaltar que o Brasil possui o seu próprio projeto de lei em tramitação avançada, o PL 2338/2023. Fortemente inspirado no modelo europeu, o PL 2338 adota princípios semelhantes de governança e gestão de riscos. Portanto, ao se adequar ao EU AI Act, a empresa brasileira não apenas garante sua operação internacional, mas antecipa boa parte das exigências que serão cobradas pela autoridade brasileira em breve.

Cronograma de Aplicação: Datas Críticas para o Compliance

O regulamento entrou oficialmente em vigor em 1º de agosto de 2024. No entanto, sua implementação é escalonada para permitir que as organizações se adaptem à complexidade das exigências.

1ª Fase: Fevereiro de 2025 (Regras para Práticas Proibidas)

Apenas seis meses após a vigência, entram em vigor as proibições de sistemas de IA que representam um "risco inaceitável". Isso inclui:

• Sistemas de pontuação social (social scoring) baseados em comportamento social.
• Sistemas de policiamento preditivo individual.
• Reconhecimento de emoções em locais de trabalho e instituições de ensino.
• Raspagem indiscriminada de imagens faciais da internet ou CFTV para criar bases de dados de reconhecimento facial.

2ª Fase: Agosto de 2025 (IA de Uso Geral e Governança)

Um ano após a entrada em vigor, as obrigações para modelos de IA de Uso Geral (GPAI - General Purpose AI), como grandes modelos de linguagem (LLMs), tornam-se exigíveis. Isso inclui requisitos de transparência e conformidade com leis de direitos autorais para o treinamento dos modelos. Também entra em vigor a obrigação de designar autoridades nacionais e a estrutura de governança nos estados-membros.

3ª Fase: Agosto de 2026 (Sistemas de Alto Risco)

Dois anos após a vigência, a maior parte das regras entra em vigor de forma plena, especialmente para sistemas classificados como de Alto Risco detalhados no Anexo III. Estes incluem sistemas utilizados em:

• Identificação biométrica remota.
• Recrutamento e gestão de trabalhadores.
• Educação e formação profissional.
• Acesso a serviços privados essenciais e serviços públicos.

4ª Fase: Agosto de 2027 (Integração com Outras Legislações)

O prazo final para sistemas de alto risco que já estão sujeitos a outras legislações de harmonização da UE (como segurança de produtos, dispositivos médicos ou brinquedos).

Classificação de Riscos e Impacto Prático

Para planejar a conformidade, a empresa brasileira deve realizar um mapeamento (Inventory) de todos os seus sistemas de IA e classificá-los nestas quatro categorias:

1. Risco Inaceitável

Sistemas que ferem os valores fundamentais da UE. Se a sua empresa usa IA para perfilar funcionários de forma que atente contra a dignidade ou privacidade emocional, esses sistemas devem ser desativados antes de fevereiro de 2025.

2. Alto Risco

Esta é a categoria que exige mais esforço de governança. Se uma fintech brasileira utiliza IA para análise de crédito de cidadãos europeus, ela estará operando sob "Alto Risco". As obrigações incluem:

• Implementação de um Sistema de Gestão de Riscos (RMS).
• Garantia de governança de dados (evitar viés algorítmico).
• Documentação técnica detalhada.
• Supervisão humana obrigatória ("human-in-the-loop").
• Robustez cibernética e precisão.

3. Risco Transparência (Mínimo)

Sistemas que interagem com humanos, como chatbots ou geradores de conteúdo (Deepfakes), devem informar claramente ao usuário que ele está interagindo com uma IA. Para o marketing brasileiro que usa IA para criar personas ou campanhas na Europa, a transparência será o foco.

4. Risco Mínimo ou Nulo

Filtros de spam baseados em IA ou jogos. A regulação não impõe restrições adicionais, embora recomende a adoção de códigos de conduta.

O Papel da ISO/IEC 42001 na Conformidade

Como as empresas brasileiras podem provar conformidade com uma lei europeia? A resposta está nos padrões internacionais. A ISO/IEC 42001:2023 é o primeiro padrão mundial de Sistema de Gestão de Inteligência Artificial (SGIA).

Ela foi desenhada para se alinhar perfeitamente ao EU AI Act. Ao adotar a ISO 42001, uma consultoria brasileira pode ajudar uma empresa a estabelecer processos de auditoria, avaliação de impacto (AIA) e controles de segurança específicos para IA. Para o mercado europeu, ter uma certificação ou operação baseada na ISO 42001 é um diferencial competitivo técnico que facilita as transações comerciais.

Exemplo Prático: RH e Recrutamento

Imagine uma empresa de tecnologia brasileira que exporta serviços de desenvolvimento e utiliza um software próprio de IA para triagem de currículos para suas vagas globais.

1. Classificação: Sob o EU AI Act, o uso de IA para recrutamento é considerado Alto Risco.
2. Impacto: A empresa precisará registrar o sistema, realizar testes de viés para garantir que não está discriminando gênero ou raça (baseado nos padrões europeus), e permitir que um humano tome a decisão final.
3. Cronograma: Se essa ferramenta já é usada na Europa, a conformidade total deve estar pronta até agosto de 2026.

Segurança Cibernética e AI Security (AISEC)

Um pilar crítico do EU AI Act é a exigência de que sistemas de IA de alto risco sejam "resilientes contra tentativas de terceiros não autorizados de alterar sua utilização ou desempenho explorando vulnerabilidades".

Isso significa que o compliance não é apenas jurídico, mas técnico (AI Security). Empresas brasileiras precisarão investir em:

• Defesa contra envenenamento de dados (data poisoning).
• Prevenção de ataques de injeção de prompt.
• Monitoramento de deriva de modelo (model drift).

O profissional de cibersegurança brasileiro agora precisa entender a arquitetura dos modelos de IA, e não apenas a infraestrutura que os sustenta.

Passos Imediatos para Gestores Brasileiros

1. Mapeamento de Inventário: Liste todos os sistemas de IA em uso, dividindo-os entre desenvolvidos internamente e adquiridos de terceiros.
2. Gap Analysis: Avalie quão distantes esses sistemas estão das exigências do EU AI Act e da ISO 42001.
3. Letramento em IA (AI Literacy): O regulamento exige que as pessoas que operam sistemas de IA tenham conhecimento suficiente para entender seu funcionamento e riscos. Treine sua equipe.
4. Revisão Contratual: Se você é fornecedor para a Europa, revise seus contratos. Cláusulas de responsabilidade sobre IA serão padrão a partir de agora.

Conclusão

O EU AI Act não é um obstáculo à inovação, mas um guia para o desenvolvimento de uma IA ética, segura e confiável. Para o mercado brasileiro, ele serve como o padrão-ouro que ditará as regras do comércio internacional de tecnologia nos próximos anos. Negligenciar o cronograma de aplicação pode resultar em prejuízos financeiros e reputacionais irreparáveis.

A adequação exige uma visão multidisciplinar, unindo jurídico, cibersegurança e governança corporativa. Aqueles que começarem a jornada de conformidade hoje, utilizando frameworks como a ISO 42001, estarão em uma posição de clara vantagem competitiva quando o PL 2338 se tornar realidade em solo brasileiro.

Sua empresa está preparada para os novos prazos da regulação global de IA?

Na VGrid, conectamos expertise em cibersegurança aplicada e governança para auxiliar sua organização na transição para o novo paradigma do EU AI Act e da ISO 42001. Realize um diagnóstico de maturidade conosco e garanta que sua IA seja não apenas inovadora, mas segura e em conformidade.

---

VGrid: Excelência em Governança, Segurança e Ética em Inteligência Artificial.