Lei de IA da UE: o que é e por que é importante

Tomadas de Decisão

• A partir de agosto de 2026, os requisitos de transparência da Lei de IA da UE tornaram-se oficialmente aplicáveis. Mas certas categorias de IA de alto risco têm prazos estendidos. 
• Organizações que implementam, fornecem ou importam sistemas de IA para o mercado da UE são responsáveis pela conformidade.   
• A não conformidade pode levar a multas significativas. 

O uso da inteligência artificial se acelerou desde que o Chat-GPT foi lançado para o público no final de 2022. Desde então, as organizações agiram rapidamente para integrar ferramentas e recursos de IA a uma variedade de processos de negócios. 

Em um esforço para melhor administrar a nova tecnologia e o acesso aos dados, o Parlamento e o Conselho Europeu aprovaram a Lei de Inteligência Artificial da União Europeia (Lei de IA da UE) em 2024. Isso marcou a primeira regulamentação abrangente de IA do mundo.

Em agosto de 2026, a Lei de IA da UE tornou-se aplicável, o que significa que as empresas sediadas na Europa ou que fazem negócios na Europa devem cumprir determinadas obrigações ao levar IA ao mercado. Saiba mais sobre o que a Lei de IA da UE envolve, quem ela afeta e por que é importante. 

O que é a Lei de IA da UE?

A Lei de IA da UE cria uma estrutura unificada que rege como os sistemas de IA são desenvolvidos, implementados e usados em toda a UE. De acordo com o Capítulo 1, Artigo 3, a Lei define "sistemas de IA" como uma máquina que assimila informações, determina por conta própria como responder e produz resultados — como previsões, conteúdo ou decisões — que podem moldar o que acontece em ambientes físicos e virtuais.  

Ela proíbe determinadas práticas prejudiciais, ao mesmo tempo que impõe obrigações específicas a sistemas de alto risco e modelos de IA de uso geral. Ela também define requisitos de transparência, estruturas de vigilância e fiscalização do mercado e medidas de apoio para ajudar as organizações, principalmente as startups, a inovar dentro dessas novas regras.

Qual é o objetivo da Lei de IA da UE?

A Lei tem dois objetivos simultâneos: incentivar as organizações a inovar e a desenvolver uma IA confiável, ao mesmo tempo em que protege a saúde, a segurança e o direito à privacidade das pessoas. Ela também posiciona a UE como líder em governança de IA ao impor requisitos de transparência para todos os aplicativos de IA.

O que entrou em vigor em agosto de 2026?

Embora grande parte da Lei de IA da UE estivesse prevista para entrar em vigor em agosto de 2026, o Conselho e o Parlamento Europeu chegaram a um acordo em maio de 2026 para adiar os prazos de certas categorias de sistemas de IA de alto risco.

O que agora é aplicável tem a ver com o Artigo 50, que descreve requisitos de transparência e abrange quatro áreas: 

• Chatbots e agentes de IA: os provedores devem divulgar que os usuários estão interagindo com IA, a menos que isso já seja óbvio
• Conteúdo de IA generativa: Os provedores devem identificar as saídas (texto, imagens, áudio, vídeo) em um formato legível por máquina para que possam ser detectadas como geradas ou manipuladas por IA.
• Reconhecimento de emoções e categorização biométrica: os implementadores devem informar as pessoas quando elas forem expostas a esses sistemas.
• Deepfakes e conteúdo de interesse público gerado por IA: devem ser divulgados como tendo sido gerados artificialmente, a menos que tenham passado por revisão editorial humana, com alguém assumindo responsabilidade editorial.

Quais são os requisitos da Lei de IA da UE?

A Lei de IA da UE proíbe certas práticas de IA e define regras e responsabilidades para a implementação de sistemas de IA de alto risco. 

Práticas proibidas de IA

As práticas proibidas de IA foram banidas seis meses após a entrada em vigor da Lei de IA da UE em agosto de 2024; no entanto, houve um atraso adicional em relação a quando as organizações poderiam ser multadas por violações. Isso então entrou em vigor em agosto de 2025. 

Sistemas de IA de alto risco 

A outra categoria principal diz respeito aos sistemas de IA de alto risco, que entraram em vigor em agosto de 2026. Sistemas de IA de alto risco são aqueles que afetam negativamente a segurança ou os direitos fundamentais e os cidadãos terão o direito de apresentar reclamações sobre esses sistemas. 

Eles são divididos em duas categorias: 

1. Sistemas de IA usados em produtos abrangidos pela legislação de segurança de produtos da UE, incluindo brinquedos, produtos da aviação, carros, dispositivos médicos e elevadores 
2. Sistemas de IA que se enquadram em áreas específicas que terão de ser registradas em um banco de dados da UE, incluindo gerenciamento e operação de infraestrutura crítica, educação e treinamento vocacional e gerenciamento de migração, asilo e controle de fronteiras 

Visão geral das obrigações

Os artigos 8 a 15 definem os requisitos substantivos de conformidade que os sistemas de IA de alto risco devem atender antes de entrar no mercado da UE. São eles: 

• Conformidade: atenda aos requisitos conforme a finalidade pretendida; pode se integrar a certificações existentes.
• Gestão de riscos: identificação e mitigação contínuas de riscos ao longo do ciclo de vida.
• Governança de dados: dados de treinamento de qualidade, representativos e com verificação de viés.
• Documentação técnica: registros de conformidade pré-comercialização (simplificados para PMEs).
• Manutenção de registros: criação automática de logs de eventos para rastreabilidade.
• Transparência: instruções claras para que os responsáveis pela implementação compreendam os resultados.
• Supervisão humana: humanos podem monitorar, substituir ou interromper o sistema.
• Precisão e segurança: desempenho robusto, preciso e resistente a ataques cibernéticos.

Prazos para IA de alto risco prorrogados para 2027 e 2028

Os provedores de sistemas de IA de alto risco precisarão estar em conformidade até as seguintes datas:

2 de dezembro de 2027: Anexo III, que abrange sistemas independentes e baseados no uso, como emprego, pontuação de crédito, aplicação da lei e educação.

2 de agosto de 2028: Anexo I, que abrange IA incorporada a produtos já regulamentados, como dispositivos médicos, máquinas e veículos.

Obrigações para sistemas de IA generativa

As ferramentas de IA generativa, como o Microsoft 365 Copilot e o ChatGPT, não são classificadas como de alto risco, mas exigem conformidade com os requisitos de transparência e com as leis de direitos autorais da UE, que entraram em vigor em agosto de 2026. Isso inclui:

• Divulgar claramente quando o conteúdo é gerado por IA para que os usuários finais estejam cientes
• Projetar o modelo para evitar que ele gere conteúdo ilegal
• Publicação de resumos de dados protegidos por direitos autorais usados para treinamento

Os modelos de IA de uso geral de alto impacto devem passar por avaliações rigorosas, e os incidentes graves devem ser comunicados à Comissão Europeia.

Quem a Lei de IA da UE impacta?

A Lei de IA da UE afeta principalmente três categorias de empresas. A primeira são os fornecedores de sistemas de IA de alto risco na UE, o que significa qualquer organização que esteja desenvolvendo IA. A segunda são os implantadores de sistemas de IA de alto risco na UE, o que significa tanto pessoas quanto organizações que utilizam IA para fins profissionais. E a terceira são os importadores e distribuidores de sistemas de IA de alto risco, o que significa organizações que disponibilizam um sistema de IA no mercado da UE. Em todos os casos, a Lei se aplica a qualquer organização sediada ou que faça negócios na UE.  

Há duas ressalvas notáveis. A Lei isenta as organizações dessas regulamentações enquanto elas testam e refinam um sistema de IA. Em outras palavras, antes de ser lançado no mercado e ficar acessível a outras empresas ou pessoas. E também não se aplica a sistemas e modelos de IA projetados e utilizados para pesquisa científica e desenvolvimento. 

Os artigos 16 a 27 descrevem as obrigações que cada categoria enfrenta. Vamos analisar isso com mais detalhes.

Obrigações do provedor 

Os fornecedores são responsáveis por assegurar a conformidade, obter a marcação CE antes de implantar um sistema de IA, garantir que o sistema seja de qualidade e fornecer documentação técnica. Eles também precisam aderir ao seguinte: 

• Sistema de gestão da qualidade: processos documentados de conformidade, testes e prestação de contas
• Manutenção de documentação: guarde os registros de conformidade por 10 anos.
• Logs gerados automaticamente: guarde os logs do sistema por pelo menos seis meses.
• Ações corretivas: corrija, retire ou recolha sistemas não conformes.
• Cooperação com autoridades: Responder a solicitações e investigações de órgãos reguladores.
• Representantes autorizados: Os provedores de fora da UE devem nomear um representante na UE.

Obrigações do implementador

Os implementadores de sistemas de alto risco têm a responsabilidade de usar a tecnologia de forma responsável e devem cumprir o seguinte: 

• Siga as instruções: use o sistema de acordo com as instruções de uso do provedor.
• Atribuir supervisão: designar pessoal qualificado e treinado, com autoridade para supervisionar o sistema.
• Controle de dados de entrada: garanta que os dados de entrada sejam relevantes e representativos.
• Monitorar a operação: acompanhar o desempenho do sistema, suspender o uso e notificar o provedor e as autoridades caso surja um risco.
• Relate incidentes graves: notifique imediatamente o provedor e, em seguida, as autoridades. 
• Guarde logs: mantenha logs gerados pelo sistema por pelo menos seis meses.
• Informe os trabalhadores: notifique os funcionários e os representantes dos trabalhadores antes de implementar a IA no ambiente de trabalho.
• Registro (órgãos públicos): As autoridades públicas devem registrar o sistema na base de dados da UE antes do uso.
• Ofereça suporte a avaliações de proteção de dados: use informações fornecidas pelo provedor para cumprir as obrigações do GDPR/DPIA.
• Regras especiais para identificação biométrica: obtenha autorização judicial prévia para identificação biométrica remota posterior à aplicação da lei. Documentar e relatar anualmente.
• Informar os indivíduos afetados: informe as pessoas quando um sistema de alto risco for utilizado em decisões que as afetem.
• Coopere com as autoridades: Auxilie os órgãos reguladores em ações de fiscalização relacionadas ao sistema.

Quais são as multas por não conformidade?

Há três níveis de multas por não conformidade. 

1. Práticas proibidas de IA: multas de até € 35.000.000 ou sete por cento do faturamento anual mundial total do exercício financeiro anterior, o que for maior. 

2. Provedores, implantadores, importadores e distribuidores: Multas de até €15.000.000 ou até três por cento do faturamento anual global de empresas.‍

3. Fornecimento de informações incorretas, incompletas ou enganosas às autoridades: multas de até € 7.500.000 ou um por cento do faturamento mundial total. 

Como a Varonis pode ajudar na conformidade com a Lei de IA da UE

A conformidade com estruturas regulatórias complexas é um desafio. Com a introdução da Lei de IA da UE, a necessidade de transparência e segurança de dados se torna ainda maior. 

A Varonis simplifica a gestão de conformidade e fornece visibilidade e controle em tempo real sobre os dados críticos usados pela IA, ajudando você a cumprir a Lei de IA da UE de quatro maneiras cruciais: 

• Protegendo os dados privados e confidenciais ingeridos e produzidos pela IA generativa
• Fornecendo visibilidade total dos prompts e respostas da IA, inclusive indicando quando dados confidenciais são acessados 
• Alertando sobre ameaças e anomalias, incluindo atividades e comportamentos que indiquem uso indevido 
• Protegendo automaticamente os dados, incluindo a revogação de acesso excessivo, a correção de rótulos e de configurações incorretas, para reduzir exposure e risco 

Também capacitamos milhares de empresas a cumprirem normas como HIPAA, GDPR, CCPA, NIST e ITAR.

Acelerando a adoção de IA para equipes de segurança 

A ampla variedade de recursos de segurança da nossa Plataforma de Segurança de Dados pode acelerar a adoção e a implementação da IA em sua organização com total visibilidade e controle sobre as permissões e cargas de trabalho das ferramentas. 

Nota - Este artigo foi traduzido com a ajuda de IA e revisado por um tradutor humano.