AI Act europeu: quando a lei de IA da União Europeia vale para empresas brasileiras e o que ela exige

Resposta direta

O AI Act, lei de inteligência artificial da União Europeia, vale para empresas brasileiras que colocam sistemas de IA no mercado europeu ou cujos resultados são usados na UE. As multas chegam a 35 milhões de euros ou 7% do faturamento mundial. As proibições valem desde fevereiro de 2025; as regras para sistemas de alto risco foram adiadas para dezembro de 2027 pelo pacote Digital Omnibus.

O AI Act é a primeira lei abrangente de inteligência artificial em vigor no mundo, e seu alcance não para na fronteira europeia. Assim como aconteceu com o GDPR na proteção de dados, empresas brasileiras com clientes, usuários ou operações na Europa entram no escopo.

Em 2026, o calendário mudou. O pacote Digital Omnibus, adotado em 29 de junho e em vigor desde 27 de julho, adiou as obrigações mais pesadas e manteve outras. Entender o que já vale e o que ficou para depois evita tanto a pressa quanto a falsa folga.

O AI Act vale para empresas brasileiras?

O AI Act vale para empresas brasileiras em três situações, previstas no artigo 2: quando colocam um sistema ou modelo de IA no mercado europeu, quando têm unidade na UE que usa IA, e quando o resultado produzido pelo sistema de IA é usado na União, mesmo que a empresa esteja inteiramente no Brasil.

Na prática, entram no escopo uma software house que vende plataforma com IA para clientes europeus, uma indústria com filial em Portugal que usa IA na seleção de pessoal e uma empresa que analisa, daqui, dados de consumidores europeus com IA. Uma empresa que só usa ChatGPT internamente no Brasil, sem efeito na UE, em regra fica fora.

Qual é o calendário do AI Act depois do Digital Omnibus?

Depois do Digital Omnibus, o AI Act tem três blocos de datas: o que já vale desde 2025, o que vale a partir de agosto e dezembro de 2026 e o que foi adiado para 2027 e 2028. A mudança mais relevante é o adiamento de 16 meses das obrigações para sistemas de alto risco do Anexo III, como os usados em emprego e crédito.

O Omnibus também reformulou o dever de letramento em IA do artigo 4: a obrigação de "garantir" competência das equipes virou apoio das autoridades, segundo análise da Cooley. O dever de capacitar não desapareceu, só ficou menos formal. E uma nova proibição entra em dezembro de 2026, contra aplicativos que geram imagens íntimas sem consentimento.

Quais são as multas do AI Act?

As multas do AI Act têm três faixas, definidas no artigo 99: até 35 milhões de euros ou 7% do faturamento mundial anual por prática proibida; até 15 milhões ou 3% por descumprimento das demais obrigações; e até 7,5 milhões ou 1% por informação incorreta às autoridades. Vale o maior valor, exceto para pequenas e médias empresas.

Para pequenas e médias empresas, inclusive startups, aplica-se o menor dos dois valores. A base de cálculo é o faturamento mundial, não só o europeu, o que torna a exposição de um grupo brasileiro proporcional ao tamanho total do negócio.

Como uma empresa brasileira se prepara para o AI Act?

Uma empresa brasileira se prepara para o AI Act verificando primeiro se está no escopo e, depois, classificando seus sistemas de IA pelo nível de risco. A boa notícia é que o trabalho serve também ao PL 2.338/2023, que segue a mesma lógica de risco, e à LGPD.

1. Mapeie a exposição europeia. Clientes, usuários, filiais e dados de pessoas na UE.
2. Inventarie os sistemas de IA envolvidos. Próprios e de terceiros, com finalidade e área.
3. Defina seu papel. Fornecedor, quem desenvolve ou vende o sistema, ou implantador, quem o usa.
4. Classifique por risco. Proibido, alto risco, transparência ou risco mínimo.
5. Revise contratos. Distribua obrigações e responsabilidades com fornecedores e clientes europeus.
6. Documente e capacite. Registros técnicos, supervisão humana e treinamento das equipes envolvidas.

Em plataformas de CLM como o Contrato Revisado, a revisão de contratos internacionais com IA parte de quem é o fornecedor e quem é o implantador, porque é isso que define as obrigações de cada parte. A norma ISO 42001 ajuda a organizar a evidência.

Clóvis Barreto Jr., advogado corporativo internacional e fundador das plataformas Contrato Revisado e Risco Gerenciado, foi Líder Jurídico LATAM por 5 anos na Wipro. Para o cenário brasileiro, veja o que o PL 2.338/2023 muda para as empresas.

Perguntas frequentes sobre o AI Act

O AI Act já está em vigor?

Sim, em partes. O AI Act entrou em vigor em agosto de 2024 com aplicação escalonada. As proibições valem desde fevereiro de 2025, as regras para modelos de uso geral desde agosto de 2025 e as de transparência desde agosto de 2026. As obrigações para sistemas de alto risco foram adiadas pelo Digital Omnibus para dezembro de 2027 e agosto de 2028.

Empresa brasileira sem filial na Europa precisa cumprir o AI Act?

Precisa, se colocar um sistema de IA no mercado europeu ou se o resultado do sistema for usado na União Europeia. É o caso de um software com IA vendido a clientes europeus. Ter ou não filial não é o critério decisivo. Se a IA é usada só no Brasil, sem efeito na UE, a empresa em regra fica fora do escopo.

O AI Act substitui a LGPD ou o PL 2.338/2023 no Brasil?

Não. O AI Act é lei europeia e só se aplica às situações com conexão com a União Europeia. No Brasil continuam valendo a LGPD e as normas setoriais, e o PL 2.338/2023 segue em análise na Câmara dos Deputados. Como os dois textos adotam abordagem por risco, um mesmo inventário de IA serve para os dois.

Usar IA em contratos com clientes europeus traz risco regulatório?

Pode trazer, se a IA influenciar decisões sobre pessoas na UE ou se o contrato não definir quem é fornecedor e quem é implantador do sistema. O risco fica controlado quando o contrato distribui as obrigações do AI Act, prevê registros e supervisão humana e trata do uso de dados pessoais conforme o GDPR.

Folga no prazo não é folga no risco

O AI Act alcança empresas brasileiras pelo efeito do sistema de IA na Europa, não pelo endereço da sede. O Digital Omnibus deu mais prazo para o alto risco, mas proibições, regras de modelos de uso geral e transparência já valem. Mapear a exposição europeia e classificar os sistemas agora resolve também boa parte do que o marco legal brasileiro deve exigir.

Para avaliar se sua empresa está no escopo do AI Act, fale com o Clóvis pelo WhatsApp ou pelo formulário do site.