Como o AI Act alcança uma empresa brasileira sem operação na Europa

Em resumo. Desde 2 de agosto de 2026 valem as obrigações de transparência do art. 50 do AI Act. As obrigações de alto risco foram adiadas para dezembro de 2027 e agosto de 2028 pelo Regulamento (UE) 2026/1744. Para uma empresa brasileira, o regulamento chega por três vias com pesos muito diferentes: o representante autorizado obrigatório, quando ela vende sistema de alto risco no mercado europeu; o contrato de fornecimento, quando ela é elo de cadeia de um fornecedor europeu; e o alcance direto sobre quem apenas produz saída usada na União, onde a cobrança é bem mais frágil. A via que chega primeiro à maioria das empresas daqui é a segunda, e ela já está sendo assinada.

O que exatamente entrou em vigor em 2 de agosto de 2026?

Entraram em vigor as obrigações de transparência do art. 50 do Regulamento (UE) 2024/1689. São quatro situações, divididas entre quem desenvolve e coloca o sistema no mercado (provider) e quem o utiliza sob sua própria autoridade (deployer).

A primeira: sistemas que interagem diretamente com pessoas, como chatbots e assistentes de voz, precisam informar que a interação é com um sistema de IA, salvo quando isso já for evidente. A segunda: sistemas que geram ou manipulam áudio, imagem, vídeo ou texto sintético precisam marcar a saída em formato legível por máquina e oferecer mecanismo de detecção. A terceira: quem opera reconhecimento de emoção ou categorização biométrica precisa informar as pessoas afetadas. A quarta: quem publica deepfake ou texto gerado por IA sobre assunto de interesse público precisa declarar que o conteúdo foi gerado ou manipulado artificialmente.

A quarta situação traz a exceção mais relevante para quem produz conteúdo, e ela alcança o texto, não o deepfake. A declaração é dispensada quando o texto passou por revisão editorial humana substantiva e há uma pessoa ou entidade assumindo a responsabilidade editorial. As diretrizes da Comissão descrevem revisão humana como exame deliberado do conteúdo por pessoa com conhecimento do assunto, e controle editorial como o controle exercido na prática por uma entidade editorial responsável. A régua, portanto, é a responsabilidade editorial: alguém que examinou o conteúdo e respondeu por ele. Para deepfake não existe dispensa equivalente.

A Comissão Europeia adotou as diretrizes sobre essas obrigações em 20 de julho de 2026. O descumprimento sujeita a multa de até 15 milhões de euros ou 3% do faturamento anual mundial, o que for maior.

O que foi adiado pelo Digital Omnibus e até quando?

Foi adiado o núcleo de alto risco.

O Regulamento (UE) 2026/1744, de 8 de julho de 2026, publicado no Jornal Oficial em 24 de julho e em vigor três dias depois, é a primeira alteração substantiva do AI Act.

Os sistemas autônomos de alto risco do Anexo III, que cobrem biometria, emprego, educação, migração, avaliação de crédito, aplicação da lei e acesso a serviços essenciais, saíram de 2 de agosto de 2026 para 2 de dezembro de 2027. A IA embarcada em produtos já sujeitos à legislação europeia de segurança, como dispositivos médicos e brinquedos, foi para 2 de agosto de 2028.

Máquinas seguiram por outro caminho, e vale registrar porque muda o regime, não só a data. O Omnibus levou o Regulamento de Máquinas do Anexo I, Seção A, para a Seção B, então as obrigações do Capítulo III deixam de se aplicar diretamente a essas máquinas: os requisitos de saúde e segurança específicos de IA passam a chegar por ato delegado que altera o Anexo III do próprio Regulamento de Máquinas.

Três coisas continuaram no calendário original, e é aí que mora o risco de leitura. As obrigações de modelos de propósito geral seguem valendo. O art. 50 seguiu valendo, com uma única transição de quatro meses, até 2 de dezembro de 2026, aplicável apenas à marcação legível por máquina de sistemas generativos que já estavam no mercado antes de 2 de agosto. E o Omnibus criou duas novas práticas proibidas, mirando sistemas destinados a gerar imagem íntima realista e material de abuso sexual infantil, com aplicação a partir de 2 de dezembro de 2026.

O Omnibus também reforçou o AI Office. O escritório passou a ter supervisão exclusiva sobre certos sistemas construídos a partir de modelos de propósito geral e sobre IA integrada às plataformas e mecanismos de busca de grande porte regulados pelo DSA, com poderes de investigação, inspeção, compromissos vinculantes e multa periódica de até 5% do faturamento diário médio enquanto durar a infração. É um desenho de supervisão próximo do que se usa em defesa da concorrência.

O AI Act alcança uma empresa brasileira sem operação na Europa?

Alcança, e por vias diferentes.

A confusão do mercado brasileiro nas últimas semanas veio de tratar todas como se fossem uma só.

O art. 2(1)(c) estende o regulamento a provider e deployer estabelecidos fora da União quando a saída produzida pelo sistema é utilizada dentro dela. Esse é o gancho territorial. O que varia é a capacidade prática de cobrar.

Quem disponibiliza sistema de alto risco no mercado europeu tem, pelo art. 22(1), a obrigação de nomear representante autorizado estabelecido na União antes de colocar o sistema à disposição. O art. 54(1) impõe o mesmo a quem fornece modelo de propósito geral. O art. 22(3) permite que as autoridades enderecem o representante além do provider ou em lugar dele, e o art. 99(4)(b) sujeita o descumprimento do art. 22 a multa de até 15 milhões de euros ou 3%. Existe âncora de execução dentro da União, ela é obrigatória e é constituída antes da venda.

Já para quem apenas opera um sistema cuja saída chega à Europa, sem colocar sistema algum naquele mercado, não há obrigação equivalente de representante. Nesse cenário a cobrança perde tração administrativa e passa a depender de outro instrumento.

Por que o contrato de fornecimento é a via que chega primeiro?

Porque essa via se realiza por assinatura de contrato, sem depender de fiscalização europeia.

O art. 25(4) determina que o fornecedor de sistema de alto risco e o terceiro que lhe fornece sistema, ferramentas, serviços, componentes ou processos especifiquem, por acordo escrito, as informações, capacidades e acesso técnico necessários ao cumprimento das obrigações do regulamento. É um dever normativo de contratar. Quem está obrigado a cumprir o AI Act precisa obter, de cada elo da sua cadeia, aquilo que sustenta a demonstração de conformidade.

O próprio dispositivo abre uma porta de saída que interessa a quem publica código aberto: ele não se aplica a quem disponibiliza ao público ferramentas, serviços, processos ou componentes sob licença livre e de código aberto. A ressalva da ressalva é que modelos de propósito geral continuam cobertos, mesmo distribuídos sob licença aberta.

O efeito prático é conhecido de quem viveu a chegada do GDPR ao Brasil. A obrigação desce a cadeia em forma de cláusula. Uma software house brasileira, um time de dados terceirizado, uma empresa que integra modelo de terceiro em produto de cliente europeu, nenhuma delas será notificada pela Comissão. Todas serão notificadas pelo jurídico do cliente, com uma minuta que pede cooperação em avaliação de conformidade, acesso a documentação técnica, registro de logs e prazo de resposta.

A assimetria de calendário é o que torna isso urgente agora. A obrigação de alto risco só vale em dezembro de 2027, e contratos corporativos de três anos estão sendo assinados neste mês. A cláusula chega antes da norma que a justifica, e chega pelo cliente.

Aceitar foro europeu e cláusula de cooperação sem precificar o custo de conformidade é assumir despesa que ninguém remunerou.

O que a adequação Brasil e União Europeia tem a ver com isso?

Ela explica por que essa conversa apareceu agora e não em 2024.

A Resolução CD/ANPD nº 32, de 26 de janeiro de 2026, reconheceu adequação recíproca entre Brasil e União Europeia em proteção de dados pessoais. O fluxo passou a correr sem cláusulas contratuais padrão e sem normas corporativas globais, cobrindo os Estados-Membros, as instituições e agências europeias e os países da EFTA no Espaço Econômico Europeu. Ficaram de fora as transferências realizadas exclusivamente para segurança pública, defesa nacional, segurança do Estado e investigação criminal. A decisão será reavaliada em quatro anos.

Até janeiro, o item que costumava travar a negociação de um fornecedor brasileiro numa compra europeia era transferência internacional de dado pessoal. Esse item saiu da mesa. O que ocupou o lugar dele no questionário de due diligence foi governança de IA, e aqui está o desconforto: uma empresa que passou cinco anos estruturando programa de LGPD chega com a primeira pergunta resolvida e sem material para a segunda.

Vale registrar que os dois regimes têm fundações distintas. Proteção de dados pessoais tem mecanismo de adequação entre jurisdições. O AI Act não tem equivalente. Não existe, e não está previsto, um instrumento pelo qual o Brasil seja declarado adequado em governança de IA.

Existe norma técnica pronta para demonstrar conformidade?

Ainda não da forma que gera presunção de conformidade.

A EN 18286:2026, que trata de sistema de gestão da qualidade para os fins do AI Act e operacionaliza o art. 17, foi aprovada por voto formal dos organismos nacionais em 12 de julho de 2026, quatro dias depois da adoção do Omnibus. É a primeira norma harmonizada do regulamento a sair.

O detalhe que muda a leitura: nenhuma norma do comitê JTC 21 foi citada no Jornal Oficial da União Europeia até agora, e a citação é justamente o passo que ativa a presunção de conformidade do art. 40. As demais entregas seguem em consulta ou rascunho, entre elas os projetos sobre gestão de risco, registro de logs, cibersegurança, viés e qualidade de dados, com meta de conclusão no último trimestre de 2026 e um mandato que expira em fevereiro de 2027.

Para quem precisa responder a uma cláusula de cooperação hoje, a consequência é direta. Não há atalho de certificado. A ISO/IEC 42001 existe como sistema de gestão de IA já auditável, não substitui a conformidade com o regulamento e serve como estrutura para organizar inventário, papéis, avaliação de risco e evidência.

Por onde começar antes de o PL 2338 ser votado?

Pela sua posição na cadeia, que é o que determina todo o resto.

O PL 2338/2023 foi aprovado no Senado em dezembro de 2024 e segue aguardando parecer do relator na Comissão Especial da Câmara. As previsões de votação foram sendo empurradas ao longo de 2026. Para boa parte das empresas brasileiras, a régua de governança de IA vai chegar pelo contrato de um cliente europeu antes de chegar pela lei brasileira.

Cinco perguntas organizam a resposta e não dependem de nenhuma norma nova:

A quarta pergunta é a que mais aparece sem resposta. Cláusula de cooperação em avaliação de conformidade é obrigação executável, com custo operacional real, e é frequentemente assinada como se fosse texto de praxe.

Nada disso exige esperar o PL 2338. O que a empresa precisa saber é onde ela está na cadeia e o que consegue provar sobre os sistemas que opera.

Para continuar: o inventário de uso de modelo com responsável nomeado é o ponto de partida de qualquer programa de governança de IA, e é também o item que mais falta. Vale o exercício de listar, em uma página, todos os sistemas de IA em produção na sua empresa e quem responde por cada saída. A dificuldade de preencher essa página costuma ser o diagnóstico.

Transparência: esta peça foi pesquisada e estruturada com apoio de IA, com verificação dos dispositivos citados contra o texto dos regulamentos e das resoluções, sob edição e responsabilidade de Gustavo Marques. A capa, gerada por IA, carrega Content Credentials (C2PA) com a procedência da imagem.