Em 2024 a União Europeia publicou o EU AI Act (Regulamento 2024/1689), primeira lei abrangente de IA do mundo. No Brasil, o Marco Legal da IA (PL 2338/2023) avança no Congresso com estrutura semelhante, mas particularidades importantes. Empresas brasileiras que exportam para Europa, atendem multinacionais ou planejam crescer internacionalmente precisam entender as duas, agora.
Este artigo compara, lado a lado, as duas regulações: classificação de risco, obrigações por categoria, modelos de fundação (GPAI), multas, prazos de aplicação e como uma estratégia única de governança pode atender ambos.
Lógica comum: classificação por risco
Tanto o EU AI Act quanto o Marco Legal brasileiro adotam abordagem baseada em risco. Quanto maior o impacto potencial do sistema de IA sobre direitos fundamentais, segurança e democracia, mais rigorosas as obrigações.
Categorias do EU AI Act
- Risco inaceitável: proibido (social scoring estatal, manipulação subliminar, identificação biométrica em tempo real em espaços públicos com exceções)
- Alto risco: permitido com obrigações pesadas (saúde, transporte, RH, educação, justiça, infraestrutura crítica)
- Risco limitado: obrigações de transparência (chatbots, deepfakes, conteúdo gerado por IA)
- Risco mínimo: livre (filtros de spam, NPCs em videogames)
- GPAI (modelos de uso geral): obrigações próprias para fundation models
Categorias do Marco Legal brasileiro (PL 2338)
- Risco excessivo: vedado (similar a 'inaceitável' europeu)
- Alto risco: permitido com obrigações reforçadas, incluindo AIIA (Avaliação de Impacto Algorítmico)
- Demais sistemas: princípios gerais e direitos das pessoas afetadas
A classificação de risco é o primeiro exercício obrigatório de governança. Sem ele, qualquer programa de compliance fica sem base.
Obrigações para sistemas de alto risco
EU AI Act
- Sistema de gestão de risco ao longo do ciclo de vida (art. 9)
- Governança de dados e qualidade (art. 10)
- Documentação técnica detalhada (art. 11)
- Logging e rastreabilidade (art. 12)
- Transparência e instruções para uso (art. 13)
- Supervisão humana significativa (art. 14)
- Acurácia, robustez e cibersegurança (art. 15)
- Sistema de gestão da qualidade (art. 17), onde ISO 42001 é praticamente reconhecida
- Avaliação de conformidade antes da colocação no mercado (art. 43)
- Marcação CE e registro em base europeia (art. 48 e 49)
Marco Legal brasileiro (PL 2338)
- Avaliação de impacto algorítmico (AIIA)
- Documentação técnica e relatórios para autoridade competente
- Medidas de segurança e mitigação de vieses
- Supervisão humana e direito à revisão de decisões
- Transparência sobre uso de IA
- Comunicação à autoridade competente sobre incidentes graves
Há forte convergência entre as duas estruturas, uma empresa que se prepara para uma fica com 70–80% do trabalho feito para a outra. É aí que a ISO/IEC 42001 entra como denominador comum: o AIMS dá a estrutura organizacional que serve aos dois regimes.
GPAI (modelos de uso geral): o ponto sensível
Empresas que usam ou desenvolvem modelos como GPT, Claude, Gemini, Llama precisam entender as regras específicas do AI Act para GPAI: documentação técnica, política de copyright, sumário do conteúdo de treinamento, registro de incidentes. Para modelos com "risco sistêmico" (capacidade computacional acima de threshold), há obrigações adicionais de avaliação adversarial e cibersegurança.
O Marco Legal brasileiro ainda está sendo refinado nesse ponto, mas seguirá direção semelhante.
Multas e sanções
EU AI Act
- Práticas proibidas: até € 35 milhões ou 7% do faturamento mundial (o que for maior)
- Não conformidade com obrigações de alto risco: até € 15 milhões ou 3% do faturamento
- Informação incorreta a autoridades: até € 7,5 milhões ou 1% do faturamento
Marco Legal brasileiro (versão atual em discussão)
- Multas administrativas com valores significativos (similares à LGPD)
- Suspensão parcial ou total da operação do sistema
- Proibição de tratamento de dados
Prazos de aplicação
O EU AI Act tem cronograma escalonado:
- Fevereiro de 2025: práticas proibidas em vigor
- Agosto de 2025: regras para GPAI em vigor
- Agosto de 2026: regras para sistemas de alto risco
- Agosto de 2027: anexo III (lista expandida) plenamente aplicável
O Marco Legal brasileiro ainda está em tramitação. Quando aprovado, terá período de adaptação (provavelmente 18–24 meses), mas empresas reguladas (financeiro, saúde, telecom) já estão sendo cobradas pelos respectivos reguladores setoriais.
Quem precisa se preocupar com qual
Empresa brasileira que vende para clientes na União Europeia
EU AI Act se aplica. Princípio da territorialidade do AI Act é amplo: vale para qualquer fornecedor cujo sistema seja colocado no mercado europeu ou cujos outputs sejam usados na UE.
Empresa brasileira que opera só no Brasil
Por enquanto, princípios gerais + LGPD + regulação setorial. Quando o Marco Legal for aprovado, obrigações específicas de AIIA e governança. Setores regulados (BACEN, CVM, ANS, ANPD) já cobram governança de IA via normas próprias.
Multinacional com operação no Brasil
Geralmente segue o padrão mais alto (AI Act como baseline global), e adapta para particularidades locais. Estrutura ISO 42001 unificada é o caminho.
Estratégia única para atender múltiplas regulações
A boa notícia: não é preciso construir programas separados. Uma empresa com governança de IA madura, baseada em ISO 42001 e NIST AI RMF, com processos sólidos de avaliação de risco e impacto, atende substancialmente ambos os regimes, restando ajustes locais (formatos de relatório, autoridade competente, idioma).
- ISO 42001 → estrutura organizacional do AIMS
- NIST AI RMF → metodologia de risco
- EU AI Act → controles e documentação para mercado europeu
- Marco Legal → AIIA e conformidade local
- OWASP LLM Top 10 / MITRE ATLAS → camada técnica de AI Security
Como começar
O ponto de partida prático é o diagnóstico de aplicabilidade regulatória: para cada sistema de IA da empresa, identificar quais regimes incidem, qual a categoria de risco e quais lacunas existem hoje. Esse exercício revela prioridades reais e evita esforço pulverizado.
A VGrid faz esse diagnóstico integrado e estrutura programa unificado de governança de IA que serve a múltiplas regulações. Solicite uma conversa inicial para entender o que é prioritário no seu caso.
Conteúdo produzido pela equipe da VGrid, consultoria brasileira especializada em monitoramento corporativo, insider risk, DLP, governança operacional e conformidade.