O EU AI Act (Regulamento (UE) 2024/1689) é a primeira lei abrangente de inteligência artificial do mundo. Aprovado em 2024 e em aplicação faseada até 2027, classifica sistemas de IA por nível de risco (inaceitável, alto, limitado, mínimo) e impõe obrigações específicas para providers e deployers, com multas de até €35 milhões ou 7% do faturamento global. A VGrid prepara empresas brasileiras com produtos ou serviços de IA expostos ao mercado europeu para conformidade auditável, integrando o EU AI Act à ISO/IEC 42001.
Liderança sênior na entrega · Rafael Lotfi Marrocos Leite
Sim. O Regulamento UE 2024/1689 tem efeito extraterritorial: alcança fornecedores e implantadores estabelecidos fora da União Europeia quando colocam sistemas de IA no mercado europeu ou quando o resultado produzido pelo sistema é utilizado na União Europeia, mecanismo semelhante ao do GDPR.
O EU AI Act classifica sistemas de IA em quatro níveis: risco inaceitável (práticas proibidas, como manipulação subliminar e social scoring), alto risco (com requisitos de gestão de risco, dados, documentação, supervisão humana e robustez), risco limitado (obrigações de transparência) e risco mínimo (sem obrigações específicas).
A ISO/IEC 42001:2023 fornece a estrutura de gestão — políticas, papéis, avaliação de risco, controles e registros — que sustenta boa parte das obrigações do EU AI Act para sistemas de alto risco. Implementar o AIMS não substitui a avaliação de conformidade regulatória, mas organiza a evidência exigida por ela.
Como o GDPR, o AI Act tem efeito extraterritorial, não basta estar fora da UE para escapar.
Atinge empresas brasileiras que (1) oferecem sistemas de IA na UE, ou (2) cujo output do sistema de IA é usado na UE, independente de onde a empresa está.
Até €35 milhões ou 7% do faturamento anual global por uso proibido. Até €15M ou 3% por outras violações. Até €7,5M ou 1,5% por informações incorretas.
Práticas proibidas: 02/02/2025. Códigos de prática para GPAI: 02/05/2025. Obrigações para GPAI: 02/08/2025. Sistemas de alto risco: 02/08/2026 e 02/08/2027.
4 níveis (inaceitável, alto, limitado, mínimo) + categoria especial GPAI. Empresas erram a classificação e sub ou super-investem.
Provider, deployer, importer, distributor, authorized representative, cada papel tem obrigações diferentes. Confundir gera não-conformidade.
Documentação técnica, gestão de risco, governança de dados, registros de logs, transparência, supervisão humana, tudo precisa estar auditável.
Da avaliação de aplicabilidade à evidência auditável, alinhado com ISO/IEC 42001.
Definição se a empresa é provider, deployer (ou ambos), em quais sistemas, e qual a exposição ao mercado europeu.
Classificação formal de cada sistema de IA: inaceitável (proibido), alto risco (Anexo III), risco limitado (transparência) ou mínimo. Inclui GPAI.
Documentação técnica exigida pelo Anexo IV: descrição do sistema, dados, processos, métricas, supervisão humana, monitoramento pós-mercado.
Fundamental Rights Impact Assessment exigido para deployers de sistemas de alto risco em determinados setores (finanças, RH, justiça, saúde, etc.).
Sistema de gestão de risco, governança de dados, transparência, supervisão humana, robustez técnica, cybersecurity, conformidade de logs.
Estrutura de monitoramento pós-mercado, processo de reporting de incidentes graves às autoridades nacionais e ao AI Office.
Comparativo de frameworks
As três referências centrais de Governança de IA — uma norma certificável, um framework voluntário e uma regulação obrigatória — comparadas lado a lado para ajudar conselhos, jurídico, segurança e tecnologia a decidirem por onde começar.
| Dimensão | ISO/IEC 42001:2023 | NIST AI RMF 1.0 | EU AI Act (UE 2024/1689) |
|---|---|---|---|
| Natureza | Norma internacional certificável | Framework voluntário de referência | Regulação obrigatória |
| Origem | ISO/IEC (internacional) | NIST — EUA | União Europeia (Regulamento 2024/1689) |
| Foco principal | Sistema de Gestão de IA (AIMS) | Gestão de risco de IA | Conformidade por classe de risco |
| Estrutura | Cláusulas 4–10 + Anexo A (38 controles) | 4 funções: Govern, Map, Measure, Manage | Risco proibido / alto / limitado / mínimo |
| Certificação | Sim, por organismo acreditado independente | Não há certificação formal | Avaliação de conformidade obrigatória para alto risco |
| Sanções diretas | Não (perda de certificado) | Não há | Até 7% do faturamento global ou €35M |
| Aplica a empresa brasileira | Sim, em qualquer setor | Sim, como referência técnica | Sim, se operação, cliente ou output usado na UE |
| Crosswalk com as outras | Mapeada com NIST AI RMF e parcialmente com EU AI Act | Mapeada com ISO 42001 (GAI Profile) | ISO 42001 é caminho prático de adequação |
| Posicionamento VGrid | Implementação completa + auditoria interna | Aplicação prática + GAI Profile | Adequação preventiva |
Resumo VGrid. Empresas que partem da ISO/IEC 42001 antecipam parte das obrigações do EU AI Act e do PL 2338/2023 (Marco Legal da IA brasileiro).
Verificamos exposição ao mercado europeu, papel da empresa (provider/deployer/etc.) e quais sistemas de IA estão no escopo do AI Act.
Classificação formal de cada sistema: proibido, alto risco (Anexo III), limitado, mínimo ou GPAI. Resultado: matriz de obrigações por sistema.
Avaliação detalhada frente aos requisitos do Capítulo III (sistemas de alto risco) e capítulos relevantes ao papel da empresa.
Implementação dos requisitos: gestão de risco, governança de dados, transparência, supervisão humana, robustez, cybersecurity, logs e documentação técnica.
Estruturação do monitoramento pós-mercado, processo de reporting de incidentes e mecanismo de revisão regulatória contínua (AI Office, secondary legislation).
Quem oferece SaaS, modelos de IA, APIs ou sistemas embarcados que atingem usuários ou empresas na União Europeia.
Operações brasileiras de grupos europeus que são impactadas via grupo controlador.
RH, crédito, saúde, justiça, educação, infraestrutura crítica, setores listados no Anexo III como alto risco.
Empresas que desenvolvem ou disponibilizam GPAI / foundation models, categoria especial com obrigações próprias.
Quem já atua sob BACEN, ANS, CVM, ANPD, provavelmente também atinge clientes europeus e tem dupla exposição.
Empresas em rodadas de investimento ou aquisição com fundos europeus, due diligence cobrará conformidade com AI Act.
Implementamos a ISO 42001 e mapeamos os controles diretamente para os requisitos do AI Act, uma implementação, dupla conformidade.
Cobrimos as duas categorias mais complexas: GPAI (com Códigos de Prática) e sistemas de alto risco (Anexo III + Capítulo III).
Metodologia estruturada para AI Impact Assessment e Fundamental Rights Impact Assessment exigidos pelo AI Act.
Plano alinhado ao cronograma faseado (2025/2026/2027), investimento priorizado pelo prazo regulatório real.
EU AI Act + GDPR + LGPD num único programa, sem duplicação de processos, controles ou documentos.
O EU AI Act tem efeito extraterritorial, afeta empresas brasileiras com clientes europeus. Combine conformidade com o Marco Legal da IA brasileiro e com o NIST AI RMF americano. A norma técnica que viabiliza tudo é a ISO/IEC 42001, implementada via consultoria especializada da VGrid.
Solicite avaliação de aplicabilidade do EU AI Act, dimensione a exposição da sua empresa ao mercado europeu, classifique seus sistemas de IA e estruture o programa de conformidade integrado à ISO/IEC 42001.
Solicite avaliação de aplicabilidade do EU AI Act, dimensione a exposição da sua empresa ao mercado europeu, classifique seus sistemas de IA e estruture o programa de conformidade integrado à ISO/IEC 42001.
Retornamos o contato após análise inicial do contexto.
