EU AI Act: o cronograma de fiscalização atualizado após o Digital Omnibus

Em que ponto está o cronograma de fiscalização?

O EU AI Act entrou em vigor em 1 de agosto de 2024. A aplicação ocorre em três fases. A primeira, em fevereiro de 2025, proibiu um conjunto definido de práticas de IA: sistemas de pontuação social operados por autoridades públicas, vigilância biométrica em tempo real em espaços públicos (com exceções específicas), IA concebida para explorar vulnerabilidades psicológicas e sistemas que extraem imagens faciais para construir bases de dados de reconhecimento.

A segunda onda chegou em agosto de 2025. Os fornecedores de modelos de IA de uso geral, como o GPT-4 da OpenAI, o Claude da Anthropic e o Gemini do Google, passaram a estar sujeitos a novos requisitos de transparência e conformidade com direitos autorais. Essas obrigações recaem sobre os desenvolvedores dos modelos, e não sobre as empresas que acessam esses modelos por meio de API.

A terceira fase entrou em vigor em 2 de agosto de 2026, dividida em duas partes. As obrigações de transparência do Artigo 50 foram aplicadas conforme o cronograma: qualquer sistema de IA que interaja com pessoas deve divulgar que é uma IA, o conteúdo sintético deve conter rótulos legíveis por máquina e os deepfakes exigem marcação explícita. Os sistemas de IA generativa já comercializados antes dessa data têm até 2 de dezembro de 2026 para adicionar a marcação legível por máquina. O Escritório Europeu de IA obteve seus plenos poderes de aplicação de sanções sobre os fornecedores de IA generativa na mesma data.

As obrigações de IA de alto risco do Anexo III seguiram um caminho diferente. Em julho de 2026, a UE adotou o Digital Omnibus sobre IA (Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026), adiando o prazo de conformidade para sistemas autônomos de alto risco de agosto de 2026 para 2 de dezembro de 2027. A IA de alto risco incorporada em produtos regulamentados pelo Anexo I foi adiada de agosto de 2027 para agosto de 2028. As normas técnicas harmonizadas necessárias para operacionalizar a conformidade não foram finalizadas a tempo.

O seu uso de IA é de alto risco? O que o Anexo III abrange

O Anexo III do EU AI Act lista oito categorias de uso de IA de alto risco. A lista é mais abrangente do que a maioria das organizações espera. Não é necessário criar modelos de aprendizado de máquina para se enquadrar nela. Uma ferramenta de terceiros que automatize ou influencie materialmente uma decisão em qualquer uma dessas categorias já o inclui como implantador.

As oito categorias são:

• Identificação e categorização biométrica de pessoas físicas, incluindo sistemas de identificação remota e ferramentas de reconhecimento de emoções
• Gestão de infraestruturas críticas, incluindo a IA utilizada nas operações de infraestruturas de eletricidade, água, gás, transportes e digitais
• Educação e formação profissional, incluindo IA que determina o acesso a instituições de ensino ou avalia estudantes (correção automática de exames, classificação de admissão)
• Emprego, gestão de trabalhadores e acesso ao trabalho autônomo, incluindo triagem de currículos, classificação de recrutamento, monitoramento de desempenho e decisões de promoção ou demissão apoiadas por IA
• Serviços privados essenciais, incluindo IA utilizada na avaliação de crédito, avaliação de risco de seguros, subscrição de seguros de vida e saúde
• Aplicação da lei, incluindo IA utilizada para avaliação de risco de indivíduos, elaboração de perfis, avaliação de provas e análise criminal
• Gestão de migração, asilo e controle de fronteiras, incluindo a avaliação de risco dos requerentes de visto e a detecção da autenticidade dos documentos
• Administração da justiça e processos democráticos, incluindo IA que auxilia os tribunais na pesquisa ou aplicação da lei

Emprego e serviços essenciais abrangem mais organizações comerciais do que qualquer outra categoria. Se a sua plataforma de RH classifica candidatos a emprego, o seu CRM avalia o risco de crédito dos clientes ou o seu software de gestão de desempenho atribui classificações de produtividade aos trabalhadores, você está operando um sistema de IA de alto risco, conforme o Anexo III.

O que os sistemas de IA de alto risco devem ter implementado até dezembro de 2027

Os sistemas de IA de alto risco devem operar dentro de uma estrutura documentada e auditável. A Lei especifica oito requisitos obrigatórios.

Os fornecedores, ou seja, as organizações que desenvolvem e comercializam os sistemas, têm a responsabilidade principal de incorporar esses requisitos. Os implantadores devem operar dentro das restrições estabelecidas pelos fornecedores e cumprir suas próprias obrigações relativas ao uso e ao monitoramento.

Os oito requisitos técnicos e de governança são:

1. Sistema de gestão de riscos. Um processo contínuo e documentado para identificar e mitigar riscos ao longo do ciclo de vida do sistema de IA. Os fornecedores devem mantê-lo e atualizá-lo à medida que o sistema evolui, e não tratá-lo como um exercício pontual.
2. Governança de dados. Documentação dos dados de treinamento, validação e teste usados para construir o sistema. Os dados devem ser relevantes, representativos e livres de erros que possam produzir resultados discriminatórios.
3. Documentação técnica. Um dossiê técnico detalhado que descreve o projeto, o desenvolvimento e as capacidades do sistema. As autoridades nacionais de supervisão podem solicitar este dossiê a qualquer momento.
4. Registro automático. O sistema deve gerar registros de auditoria que registram cada decisão ou resultado, para que os reguladores e os implantadores possam reconstruir como os resultados específicos foram alcançados.
5. Transparência e informação aos implantadores. Os fornecedores devem fornecer aos implantadores documentação que lhes permita compreender o sistema, utilizá-lo corretamente e cumprir as suas próprias obrigações nos termos da Lei.
6. Supervisão humana. Sistemas de IA de alto risco devem permitir revisão e intervenção humana. Uma pessoa deve poder intervir, corrigir ou interromper o sistema. Decisões totalmente automatizadas sem supervisão humana não estão em conformidade com a maioria das categorias de alto risco.
7. Precisão, robustez e cibersegurança. Os sistemas devem atender aos limites de precisão definidos, resistir às tentativas adversárias de manipular as saídas e proteger os dados que processam.
8. Declaração de conformidade da UE e equivalente à marcação CE. Os fornecedores devem emitir uma declaração formal de que o sistema cumpre os requisitos da Lei e registrá-lo na base de dados de IA da UE antes da implantação.

Suas obrigações como implantador e o que cabe ao seu fornecedor de IA

A Lei estabelece uma distinção clara entre fornecedores e implantadores. Compreender onde essa distinção se situa evita tanto a duplicação de esforços quanto lacunas na sua conformidade.

Os fornecedores são responsáveis por: integrar a gestão de riscos e a governança de dados no sistema, criar e manter a documentação técnica, garantir que o sistema registra as suas decisões, emitir a declaração de conformidade da UE, registrar o sistema na base de dados de IA da UE e dar aos usuários instruções claras de utilização.

Os implantadores são responsáveis por: usar o sistema de acordo com as instruções do fornecedor e os requisitos da Lei, realizar uma avaliação de risco para o seu contexto de implementação específico, implementar as medidas de supervisão humana especificadas pelo fornecedor, informar os funcionários quando a IA monitora ou avalia o seu desempenho, realizar avaliações de impacto sobre os direitos fundamentais quando relevantes e manter registros da utilização do sistema durante pelo menos 10 anos.

Muitas ferramentas de IA não foram desenvolvidas levando em consideração a conformidade com o EU AI Act. Se o seu fornecedor não puder fornecer uma declaração de conformidade válida da UE e documentação técnica completa, pressione-o agora. As organizações que identificarem as lacunas precocemente terão tempo para corrigi-las; aquelas que esperarem até meados de 2027 não terão essa oportunidade.

A estrutura de multas

O EU AI Act utiliza o mesmo modelo de penalidades escalonadas do GDPR: as multas correspondem ao maior valor entre um montante fixo em euros e uma porcentagem do faturamento anual global. Os executivos que autorizam implantações não conformes enfrentam responsabilidade pessoal, além das sanções corporativas.

• Violações proibidas de IA (Artigo 5): até 35 milhões de euros ou 7% do faturamento anual global, o que for maior
• Não conformidade de alto risco em matéria de IA (obrigações do Anexo III não cumpridas): até 15 milhões de euros ou 3% do faturamento anual global, o que for maior
• Informação incorreta às autoridades: até 7,5 milhões de euros ou 1,5% do faturamento anual global, o que for maior

Para uma empresa com um bilhão de euros em receita global, uma falha de conformidade de alto risco acarreta uma multa máxima de 30 milhões de euros. As autoridades nacionais de supervisão em cada Estado-membro da UE aplicam a lei. Os precedentes do GDPR sugerem que as maiores multas serão aplicadas a falhas sistêmicas e casos em que indivíduos foram prejudicados, mas as primeiras decisões de aplicação da lei definirão o tom.

Construindo sua base de conformidade com IA

Com dezembro de 2027 como prazo final do Anexo III, as organizações têm tempo para construir um programa de conformidade adequado. O adiamento do Digital Omnibus não é motivo para postergar o trabalho. Padrões harmonizados estão surgindo e a data de dezembro de 2027 é definitiva. As organizações que começarem agora podem inventariar, classificar, contratar fornecedores e documentar a supervisão sem a pressão de um prazo iminente.

Semana 1: Construa seu inventário de IA

Faça a mesma pergunta a todas as unidades de negócio: que software vocês utilizam para tomar ou recomendar decisões sobre pessoas? Inclua plataformas de RH, ferramentas de recrutamento, sistemas de CRM com pontuação de leads ou de crédito, software de gestão de força de trabalho, ferramentas de detecção de fraudes e sistemas de encaminhamento de atendimento ao cliente. Para cada ferramenta, registre o fornecedor, o caso de uso e a categoria do Anexo III à qual ela pertence.

Semana 2: classifique e priorize

Para cada sistema de IA em seu inventário, determine se ele atende à definição de alto risco do Anexo III. Um chatbot que encaminha consultas de clientes não se qualifica. Um sistema que classifica candidatos a vagas de emprego ou avalia a elegibilidade de clientes para empréstimos, sim. Priorize os sistemas de alto risco para ação imediata. Envolva sua equipe jurídica ou de compliance para confirmar as classificações em caso de dúvida.

Semana 3: contate os fornecedores e revise a documentação

Contate cada fornecedor de um sistema de IA de alto risco e solicite três documentos: a declaração de conformidade da UE, o pacote de documentação técnica para implantadores e a confirmação de que o sistema está registrado no base de dados de IA da UE. Registre por escrito todas as comunicações com o fornecedor. Se um fornecedor não puder fornecer esses documentos, leve a questão internamente e decida se o uso contínuo dessa ferramenta está de acordo com sua tolerância ao risco.

Semana 4: documente a supervisão humana e comece a registrar as decisões

Para cada sistema de IA de alto risco em uso, descreva o processo de supervisão humana: quem revisa os resultados da IA, como podem anular o sistema e como essas decisões de anulação são registradas. Informe por escrito aos funcionários afetados onde qualquer sistema monitora ou avalia seu desempenho. Comece a registrar as decisões assistidas por IA em um formato recuperável. Designe um responsável específico para a conformidade contínua de cada sistema.

Onde concentrar seus esforços agora

O prazo de dezembro de 2027 é definitivo e as obrigações não são opcionais. O adiamento do Digital Omnibus refletiu padrões técnicos inacabados, não uma flexibilização dos requisitos. Conformidade significa operar ferramentas de IA com documentação, supervisão e responsabilidade, não abandoná-las.

A inação acarreta dois riscos distintos. Os órgãos reguladores podem multar sua organização assim que a fiscalização começar. Se uma decisão apoiada por IA prejudicar um indivíduo e você não puder demonstrar as salvaguardas adequadas, você estará sujeito à responsabilidade civil, além das penalidades regulatórias.

Dezembro de 2027 dá à maioria das organizações tempo suficiente para construir um programa maduro. Comece pela base: um inventário de IA classificado de acordo com o Anexo III, documentação de conformidade do fornecedor confirmada, procedimentos de supervisão humana documentados e decisões importantes registradas. Essa base sustenta a boa governança, independentemente de quando as autoridades agirem.

• Faça um inventário completo de IA em todas as áreas do negócio
• Classifique cada uso de IA de acordo com o Anexo III e confirme o escopo com assessoria jurídica ou de conformidade
• Solicite por escrito a documentação de conformidade da UE a todos os fornecedores de sistemas de IA de alto risco
• Documente os procedimentos de supervisão humana para todas as ferramentas de IA de alto risco atualmente em uso
• Notifique os funcionários por escrito quando sistemas de IA avaliarem ou monitorarem o desempenho deles
• Comece a registrar as decisões assistidas por IA com detalhes suficientes para reconstruir a base de cada resultado
• Garanta que todos os chatbots voltados ao cliente informem que são IA e que todo conteúdo gerado por IA esteja rotulado; o Artigo 50 já está em vigor
• Atribua um responsável nomeado para cada sistema de IA de alto risco e agende uma data de revisão para garantir a conformidade contínua

Como a Cyvra auxilia no cumprimento do EU AI Act

A Cyvra trabalha com os implantadores para identificar quais sistemas de IA se enquadram no Anexo III, elaborar a documentação necessária para esses sistemas e estabelecer os processos de supervisão humana exigidos pela regulamentação. Nosso foco são as suas obrigações como usuário de IA, independentemente das obrigações dos seus fornecedores.

• Inventário de sistemas de IA: catalogar todas as ferramentas de IA em uso em toda a sua organização, incluindo recursos de IA incorporados em softwares aprovados pela sua equipe de TI para outros fins
• Classificação do Anexo III: avaliar cada sistema em relação às oito categorias de alto risco e documentar o raciocínio em um formato que os reguladores possam auditar
• Revisão da documentação do fornecedor: confirmar se seus fornecedores de IA forneceram a documentação técnica e as declarações de conformidade necessárias e identificar os casos em que não o fizeram
• Projeto de supervisão humana: construir os processos e controles que as implantações de IA de alto risco devem ter em vigor antes de dezembro de 2027
• Alinhamento com a ISO 42001: mapear seu trabalho de conformidade com o EU AI Act para a norma ISO 42001 de sistema de gestão de IA, produzindo uma estrutura única pronta para auditoria em vez de dois exercícios de conformidade paralelos

Fale com nossa equipe de IA ou equipe de conformidade sobre o que o Artigo 50 exige agora e como se preparar para o prazo do Anexo III de dezembro de 2027.