O que é o EU AI Act?

O EU AI Act é um framework regulatório abrangente que rege como sistemas de inteligência artificial são desenvolvidos, colocados no mercado e utilizados dentro da União Europeia. Ele se aplica tanto a provedores quanto a implantadores de IA e estabelece obrigações legais claras com base em como os sistemas de IA impactam indivíduos, a sociedade e direitos fundamentais. O Act promove a inovação enquanto protege saúde, segurança e direitos fundamentais ao definir requisitos de transparência, gerenciamento de risco, supervisão humana, governança de dados e Cibersegurança em todo o ciclo de vida da IA.

O EU AI Act utiliza uma abordagem baseada em risco, o que significa que sistemas de IA são regulamentados de acordo com o nível de risco que representam para indivíduos e a sociedade. Quanto maior o risco potencial, mais rigorosas são as obrigações impostas a provedores e implantadores.

• Práticas proibidas
  Sistemas de IA que representam risco inaceitável são totalmente proibidos. Isso inclui manipulação comportamental cognitiva, pontuação social por autoridades públicas, coleta indiscriminada de imagens faciais e inferência biométrica de atributos sensíveis, como crenças políticas ou orientação sexual.
• Sistemas de IA de alto risco
  Sistemas de IA de alto risco são aqueles usados em áreas sensíveis ou reguladas, como infraestrutura crítica, emprego e RH, avaliações de crédito, educação, saúde, aplicação da lei, controle de fronteiras e administração da justiça. Esses sistemas devem atender a requisitos rigorosos, incluindo processos de gerenciamento de risco, dados de treinamento de alta qualidade, documentação técnica, supervisão humana, salvaguardas de Cibersegurança e marcação CE antes de serem colocados no mercado.
• Modelos de IA de uso geral (GPAI)
  Essa categoria inclui modelos de grande escala, como large language models (LLMs). Os provedores devem cumprir obrigações de transparência, respeitar regras de direitos autorais, documentar práticas de treinamento e implementar medidas para lidar com riscos sistêmicos, particularmente para modelos mais avançados ou amplamente implantados.
• Sistemas de IA de risco limitado
  Esses sistemas estão sujeitos principalmente a obrigações de transparência. Os usuários devem ser informados quando estiverem interagindo com conteúdo gerado por IA, como chatbots ou deepfakes, a menos que se aplique uma exceção.
• Sistemas de IA de risco mínimo ou inexistente
  Aplicações de IA que representam pouco ou nenhum risco, como videogames com IA ou filtros de spam, são em grande parte isentas de regulamentação pelo AI Act.

Violações do AI Act podem resultar em multas de até EUR 35 milhões ou 7 por cento do faturamento anual global, o que for maior.

Desde fevereiro de 2025, provedores e implantadores devem garantir alfabetização suficiente em IA entre os colaboradores. O treinamento é recomendado, mas não obrigatório.

As principais considerações incluem o papel da empresa, compreensão geral de IA, riscos associados e medidas de alfabetização personalizadas com base em conhecimento técnico e contexto.

A implementação do EU AI Act exige que as organizações traduzam obrigações regulatórias em controles operacionais. Auditorias desempenham um papel crítico nesse processo ao ajudar as empresas a entender como os sistemas de IA são usados, onde existem riscos e quais medidas de Compliance são necessárias.

Essas auditorias têm como objetivo:

• Identificar e classificar sistemas de IA de acordo com as categorias de risco do Act
• Determinar se a organização atua como provedora, implantadora ou ambas
• Avaliar como os sistemas de IA processam dados e geram resultados
• Identificar lacunas em transparência, supervisão humana, Cibersegurança e gerenciamento de risco
• Informar planos de remediação, estruturas de governança e controles internos necessários para Compliance

Na prática, essas avaliações formam a base dos programas de governança de IA e permitem que as organizações priorizem esforços de Compliance com base em risco e exposição regulatória.