EU AI Act · Regulamento (UE) 2024/1689
O EU AI Act (Regulamento (UE) 2024/1689) é a primeira lei abrangente de inteligência artificial do mundo. Aprovado em 2024, entrou em vigor em 01/08/2024 e tem aplicação faseada até 02/08/2028, já considerando a alteração publicada em 2026 (JO L 2026/1744). Classifica sistemas de IA por nível de risco (inaceitável, alto, limitado, mínimo), cria regime próprio para modelos de propósito geral e distribui obrigações conforme o papel de cada organização. A VGrid conduz avaliação de aplicabilidade, papel e uso para empresas brasileiras expostas ao mercado europeu, organizando evidências junto à ISO/IEC 42001.
Liderança sênior na entrega · Rafael Lotfi Marrocos Leite
Como o GDPR, o AI Act tem efeito extraterritorial, não basta estar fora da UE para escapar.
Pode alcançar empresas brasileiras que colocam sistemas de IA no mercado europeu ou cujo resultado do sistema é usado na UE. O enquadramento depende do papel, do uso e do sistema avaliado.
Até €35 milhões ou 7% do faturamento anual global por uso proibido. Até €15M ou 3% por outras violações. Até €7,5M ou 1,5% por informações incorretas.
Proibições e disposições gerais: 02/02/2025. Obrigações para GPAI e governança: 02/08/2025. Maioria das regras e início da fiscalização: 02/08/2026. Alto risco do Anexo III: 02/12/2027. Alto risco em produtos regulados (Anexo I): 02/08/2028.
4 níveis (inaceitável, alto, limitado, mínimo) + categoria especial GPAI. Empresas erram a classificação e sub ou super-investem.
Provider, deployer, importer, distributor, authorized representative, cada papel tem obrigações diferentes. Confundir gera não-conformidade.
Documentação técnica, gestão de risco, governança de dados, registros de logs, transparência, supervisão humana, tudo precisa estar auditável.
Da avaliação de aplicabilidade à evidência auditável, alinhado com ISO/IEC 42001.
Definição se a empresa é provider, deployer (ou ambos), em quais sistemas, e qual a exposição ao mercado europeu.
Classificação formal de cada sistema de IA: inaceitável (proibido), alto risco (Anexo III), risco limitado (transparência) ou mínimo. Inclui GPAI.
Documentação técnica exigida pelo Anexo IV: descrição do sistema, dados, processos, métricas, supervisão humana, monitoramento pós-mercado.
Fundamental Rights Impact Assessment exigido para deployers de sistemas de alto risco em determinados setores (finanças, RH, justiça, saúde, etc.).
Sistema de gestão de risco, governança de dados, transparência, supervisão humana, robustez técnica, cybersecurity, conformidade de logs.
Estrutura de monitoramento pós-mercado, processo de reporting de incidentes graves às autoridades nacionais e ao AI Office.
Comparativo de frameworks
As três referências centrais de Governança de IA — uma norma internacional certificável, um framework voluntário de gestão de risco e um regulamento com aplicabilidade específica — comparadas lado a lado para ajudar conselhos, jurídico, segurança e tecnologia a decidirem por onde começar.
| Dimensão | ISO/IEC 42001:2023 | NIST AI RMF 1.0 | EU AI Act (UE 2024/1689) |
|---|---|---|---|
| Natureza | Norma internacional certificável | Framework voluntário, sem força normativa | Regulamento da União Europeia, aplicável conforme escopo legal |
| Origem | ISO/IEC (internacional) | NIST — EUA | União Europeia (Regulamento 2024/1689) |
| Foco principal | Sistema de Gestão de IA (AIMS) | Gestão de risco de IA | Conformidade por classe de risco |
| Estrutura | Cláusulas 4–10 + Anexo A (38 controles) | 4 funções: Govern, Map, Measure, Manage | Risco proibido / alto / limitado / mínimo |
| Certificação | Sim, emitida por organismo de certificação acreditado | Não existe certificação NIST | Avaliação de conformidade exigida para sistemas de alto risco, conforme o caso |
| Sanções diretas | Não (perda de certificado) | Não há | Até 7% do faturamento global ou €35M |
| Aplica a empresa brasileira | Adoção voluntária, em qualquer setor | Sim, como referência técnica | Depende de avaliação: mercado europeu ou resultado usado na UE |
| Crosswalk com as outras | Há crosswalks com o NIST AI RMF e mapeamentos parciais com o EU AI Act | Crosswalks publicados com a ISO/IEC 42001; mapeamento não equivale a atendimento | A ISO/IEC 42001 apoia a evidência, sem gerar conformidade automática |
| Posicionamento VGrid | Implementação completa + auditoria interna | Aplicação prática + GAI Profile | Adequação preventiva |
Resumo VGrid, revisão de 09/09/2026. Partir da ISO/IEC 42001 organiza parte das evidências úteis ao EU AI Act e ao PL 2338/2023, sem gerar conformidade automática nem equivalência entre os instrumentos. Fontes primárias: ISO/IEC 42001, NIST AI RMF e cronograma oficial do EU AI Act.
Verificamos exposição ao mercado europeu, papel da empresa (provider/deployer/etc.) e quais sistemas de IA estão no escopo do AI Act.
Classificação formal de cada sistema: proibido, alto risco (Anexo III), limitado, mínimo ou GPAI. Resultado: matriz de obrigações por sistema.
Avaliação detalhada frente aos requisitos do Capítulo III (sistemas de alto risco) e capítulos relevantes ao papel da empresa.
Implementação dos requisitos: gestão de risco, governança de dados, transparência, supervisão humana, robustez, cybersecurity, logs e documentação técnica.
Estruturação do monitoramento pós-mercado, processo de reporte de incidentes e acompanhamento das alterações regulatórias e atos derivados publicados oficialmente.
Quem oferece SaaS, modelos de IA, APIs ou sistemas embarcados que atingem usuários ou empresas na União Europeia.
Operações brasileiras de grupos europeus que são impactadas via grupo controlador.
RH, crédito, saúde, justiça, educação, infraestrutura crítica, setores listados no Anexo III como alto risco.
Empresas que desenvolvem ou disponibilizam GPAI / foundation models, categoria especial com obrigações próprias.
Quem já atua sob BACEN, ANS, CVM, ANPD, provavelmente também atinge clientes europeus e tem dupla exposição.
Ter investidor ou cliente europeu não determina, por si só, a aplicabilidade do regulamento, mas processos de due diligence costumam pedir evidência de avaliação e governança de IA.
Implementamos a ISO/IEC 42001 e mapeamos os controles frente aos requisitos do regulamento, reaproveitando evidências. O sistema de gestão não gera conformidade legal automática.
Tratamos as duas categorias mais complexas: modelos de propósito geral, onde o Código de Prática é instrumento voluntário de demonstração, e sistemas de alto risco (Anexo III e Capítulo III).
Metodologia estruturada para AI Impact Assessment e Fundamental Rights Impact Assessment exigidos pelo AI Act.
Plano alinhado ao cronograma oficial vigente (2025 a 2028), com priorização pelos prazos aplicáveis a cada sistema avaliado.
EU AI Act + GDPR + LGPD num único programa, sem duplicação de processos, controles ou documentos.
Sim. O Regulamento UE 2024/1689 tem efeito extraterritorial: alcança fornecedores e implantadores estabelecidos fora da União Europeia quando colocam sistemas de IA no mercado europeu ou quando o resultado produzido pelo sistema é utilizado na União Europeia, mecanismo semelhante ao do GDPR.
O EU AI Act classifica sistemas de IA em quatro níveis: risco inaceitável (práticas proibidas, como manipulação subliminar e social scoring), alto risco (com requisitos de gestão de risco, dados, documentação, supervisão humana e robustez), risco limitado (obrigações de transparência) e risco mínimo (sem obrigações específicas).
A ISO/IEC 42001:2023 fornece a estrutura de gestão — políticas, papéis, avaliação de risco, controles e registros — que sustenta boa parte das obrigações do EU AI Act para sistemas de alto risco. Implementar o AIMS não substitui a avaliação de conformidade regulatória, mas organiza a evidência exigida por ela.
O EU AI Act pode alcançar empresas brasileiras conforme papel, uso e exposição ao mercado europeu. Combine a avaliação com o Marco Legal da IA brasileiro e com o NIST AI RMF americano. A norma técnica que viabiliza tudo é a ISO/IEC 42001, implementada via consultoria especializada da VGrid.
Solicite avaliação de aplicabilidade do EU AI Act, dimensione a exposição da sua empresa ao mercado europeu, classifique seus sistemas de IA e estruture o programa de conformidade integrado à ISO/IEC 42001.