Lei de IA da AB em vigor: Se o seu aplicativo usa IA, novas obrigações para você

2 de agosto de 2026 a maior parte da Lei de Inteligência Artificial da UE (EU AI Act) entrou em vigor. Se o seu aplicativo ou plataforma web tem um chatbot, gera imagens ou texto, recomenda produtos, faz análise facial, pontua usuários ou chama qualquer modelo de IA em segundo plano — e você tem usuários na União Europeia — as obrigações legais que não existiam em julho agora existem.

Este texto não é um resumo da lei. É um guia prático escrito por engenheiros que desenvolvem essas funcionalidades, voltado para empreendedores, proprietários de produtos e empresas que utilizam IA em software. Ele explica o que está bloqueando você agora, o que foi adiado, como são as multas e o que realmente precisa ser alterado no seu produto.

Este texto tem fins informativos gerais, não constitui aconselhamento jurídico. Consulte um advogado especializado em legislação tecnológica da UE para o seu caso específico.

Minha empresa não está na UE, isso me afeta?

Se você tem usuários na UE, quase certamente sim. O AI Act segue o modelo GDPR/KVKK: se a saída de um sistema de IA é usada na UE, o sistema também se aplica a empresas fora da UE. Um turco, americano ou empresa do Golfo que oferece o serviço na Alemanha está dentro do escopo. Não é o endereço da sua pessoa jurídica que determina, mas a localização dos seus usuários.

O que significa “sistema de IA” — mais amplo do que você imagina

A lei considera como sistema de IA qualquer mecanismo baseado em máquina que, a partir de entradas, gera uma saída — previsão, conteúdo, recomendação ou decisão. Na prática, estão incluídos:

• Chatbots e assistentes de IA (incluindo aqueles baseados em OpenAI, Anthropic, Google ou modelos de código aberto)
• Funcionalidades de geração de imagens, vídeo, áudio ou texto
• Motores de recomendação (“você também pode gostar de…”)
• Análise facial, análise de pele, determinação de tipo corporal
• Pontuação de fraude, pontuação de crédito, pontuação de risco
• Triagem de currículos e classificação de candidatos
• Assistentes de voz e transcrição
• Qualquer característica determinada por um modelo, e não por uma regra escrita por você

Se você envia um prompt a uma API de LLM e mostra o resultado ao usuário, está operando um sistema de IA.

O que está em vigor agora (setembro de 2026)

Desde fevereiro de 2025: práticas proibidas e alfabetização em IA

Alguns usos são totalmente proibidos e as multas mais altas da lei se aplicam a eles. Os que mais interessam a aplicações comerciais são:

• Técnicas manipulativas ou enganosas que distorcem o comportamento do usuário de forma prejudicial
• Exploração de vulnerabilidades de grupos específicos (idade, deficiência, situação econômica)
• Pontuação social de indivíduos
• Reconhecimento de emoções em locais de trabalho e escolas
• Inferência de raça, orientação política, religião ou orientação sexual a partir de dados biométricos
• Coleta indiscriminada de rostos da internet ou de câmeras para criar bases de dados de reconhecimento facial

Além disso, toda empresa que fornece ou usa um sistema de IA deve garantir que seus funcionários tenham alfabetização suficiente em IA. Essa é uma obrigação sua como empregador, não do produto.

Desde agosto de 2025: regras para provedores de modelos de propósito geral

Essas regras atingem as empresas que treinam grandes modelos (OpenAI, Google, Meta, Mistral etc.), não quem desenvolve produtos sobre eles. Se você faz fine‑tuning de um modelo existente para o seu produto, geralmente ainda não é considerado um provedor de GPAI — mas pode passar a ser se avançar o suficiente.

Desde 2 de agosto de 2026: obrigações de transparência (Artigo 50) — o ponto crucial para aplicativos

Quatro regras concretas, todas impactando produtos do dia a dia:

1. O usuário deve ser informado de que está conversando com IA.
Se o seu aplicativo tem chatbot, assistente ou qualquer funcionalidade que interage diretamente com pessoas, deve ficar claro que a outra parte é uma máquina — exceto quando o contexto já deixa isso evidente. Um bot de suporte que se apresenta como “Elif do atendimento ao cliente” sem esclarecer que é IA já está em desacordo.

2. Conteúdo gerado por IA deve ser marcado de forma legível por máquina.
Se o seu produto cria imagens, vídeos, áudios ou textos, a saída precisa carregar um sinal técnico — metadado, marca d’água ou equivalente — indicando que é sintética. Essa obrigação recai sobre o provedor do sistema gerador. Se você desenvolveu a funcionalidade, cabe a você aplicar o sinal; se usa uma API de terceiros, verifique quais marcas são adicionadas e se o seu pipeline as preserva (redimensionamento, re‑codificação e captura de tela costumam remover esses sinais).

3. Reconhecimento de emoções e categorização biométrica devem ser divulgados.
Se o seu aplicativo extrai emoções de rosto, voz ou corpo, ou classifica pessoas em categorias, os indivíduos afetados precisam ser informados. Aplicativos de beleza, saúde, fitness, namoro e varejo que analisam imagens ou áudio devem prestar atenção especial a este ponto.

4. Deepfakes e textos de utilidade pública gerados por IA devem ser rotulados.
Usuários (deployers) que publicam conteúdo gerado por IA que se assemelha a pessoas reais, lugares ou eventos precisam rotulá‑lo como artificial. Textos de IA divulgados para informar o público, que não foram revisados por humanos nem assumiram responsabilidade editorial, também devem ser identificados.

Prazo para produtos existentes: sistemas já no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir a regra de marcação de conteúdo. Sistemas novos devem estar em conformidade desde o primeiro dia.

O que foi adiado — e por que ainda importa

A parte mais pesada da lei — sistemas de IA de alto risco com regime completo (gestão de risco, governança de dados, documentação técnica, supervisão humana, avaliação de conformidade) — foi postergada para o pacote “omnibus digital” de 2025–2026. As datas atuais são:

• 2 de dezembro de 2027: Para as categorias de alto risco listadas no Anexo III — recrutamento e RH, pontuação de crédito, precificação de seguros, pontuação de educação e exames, acesso a serviços essenciais, identificação biométrica, aplicação da lei, migração
• 2 de agosto de 2028: Para IA incorporada em produtos já sujeitos à legislação de segurança de produtos da UE (dispositivos médicos, veículos, máquinas, brinquedos)

Se o seu produto faz alguma dessas coisas, o adiamento não é um perdão, é um fôlego. A documentação exigida por essas obrigações — origem dos dados de treinamento, registro, testes de viés, design de intervenção humana — são coisas que levam meses para serem adicionadas a um sistema posteriormente. Equipes que começam agora gastarão apenas uma fração mínima do que as que iniciarão em meados de 2027 gastarão.

Penalidades

• Para práticas proibidas, até 35 milhões de € ou até 7 % do volume de negócios anual global
• Para a maioria das demais obrigações, incluindo regras de transparência, até 15 milhões de € ou até 3 %
• Por fornecer informações falsas às autoridades, até 7,5 milhões de € ou até 1 %

Para PMEs e startups, aplica‑se o valor mais baixo dos dois. A sanção é aplicada nas autoridades nacionais de cada Estado‑membro; para modelos GPAI, diretamente na Oficina Europeia de Inteligência Artificial.

Fornecedor ou usuário? Por que a distinção importa

A lei impõe tarefas diferentes conforme o seu papel:

• Fornecedor (provider): Você desenvolveu (ou fez desenvolver) o sistema de IA e o lançou sob o seu nome. A maioria das obrigações recai aqui.
• Usuário (deployer): Você utiliza um sistema de IA em um contexto profissional sob sua própria responsabilidade.

Uma empresa que adiciona um chatbot ao seu próprio aplicativo, mesmo que o modelo subjacente venha de terceiros, costuma ser fornecedora desse chatbot. Uma empresa que usa uma ferramenta pronta de triagem de RH é usuária dela. Muitas organizações são ambas as coisas para diferentes funcionalidades. Determinar em que papel você está em cada funcionalidade é o primeiro passo de qualquer avaliação de conformidade.

Lista de verificação prática para desenvolvedores e proprietários de plataformas

Faça este mês

• Faça o inventário de todas as funcionalidades de IA no seu produto. Inclua APIs e SDKs de terceiros — se o modelo de um fornecedor decide algo no seu aplicativo, isso conta.
• Decida para cada funcionalidade: somos fornecedor ou usuário?
• Verifique se cada funcionalidade de chat exibe claramente a mensagem “você está conversando com IA”.
• Compare seu produto com todas as categorias de práticas proibidas. Preste atenção especial a mecanismos de interação voltados a menores e a quaisquer inferências de emoções ou biométricas.
• Garanta que sua equipe tenha recebido treinamento documentado em alfabetização de IA. Um curto workshop interno com registro de participação já basta para começar.

Faça antes de 2 de dezembro de 2026

• Aplique marcação legível por máquina (metadados C2PA, marcas d’água do fornecedor ou equivalente) a todas as funcionalidades que geram imagens, áudio, vídeo ou texto e verifique que a marcação sai corretamente em todo o pipeline de armazenamento e entrega.
• Onde for necessário indicar conteúdo deepfake ou gerado por IA, adicione rótulos visíveis ao usuário.
• Atualize sua política de privacidade e termos de uso para incluir as funcionalidades de IA, seus propósitos e as declarações acima.

Planeje para 2027

• Se alguma funcionalidade se enquadrar nas categorias do Anexo III (recrutamento, crédito, educação, seguros, serviços essenciais, biometria), comece agora a documentação de alto risco: fontes de dados, avaliação do modelo, registro, design de supervisão humana.
• Designe internamente um responsável pela conformidade de IA. A primeira pergunta dos reguladores costuma ser “quem é o responsável?”.

Como isso muda a forma como desenvolvemos recursos de IA

Na UmaySoftware, os requisitos do AI Act agora fazem parte da fase de design de todo projeto que inclui IA, não são um controle final. Na prática:

• Explicação e rotulagem são projetadas na interface já no primeiro wireframe, não são coladas depois.
• O conteúdo gerado é marcado no momento da criação e a marcação é testada ao longo de todo o pipeline de entrega.
• Cada recurso de IA é entregue com um registro de uma página: o que o modelo faz, quais dados ele vê, quem é o fornecedor, quais obrigações legais se aplicam, como um humano pode intervir.
• Se o caso de uso de um cliente se aproximar de uma categoria de alto risco, informamos isso já na fase de descoberta, antes de definir orçamento.

Se você já tem recursos de IA em produção e não tem certeza de onde está, oferecemos revisão de recursos do AI Act: fazemos o inventário dos componentes de IA, classificamos cada um por papel e nível de risco e entregamos uma lista de pendências escrita, dividida entre “corrigir antes de dezembro” e “planejar para 2027”. É uma revisão técnica, não um parecer jurídico — mas o documento que seu advogado vai solicitar é exatamente esse.

Solicite a revisão →

Perguntas frequentes

Meu aplicativo só chama a API da OpenAI / Anthropic / Gemini. Sou eu o responsável ou são eles?
Ambos, de formas diferentes. O fornecedor do modelo assume as obrigações gerais do modelo. Você é responsável pelo sistema de IA que construiu com ele — incluindo regras de transparência, controles de práticas proibidas e obrigações de alto risco aplicáveis ao seu caso de uso.

O motor de recomendação de um e‑commerce está dentro do escopo do AI Act?
Um sistema de IA está sujeito às regras gerais (práticas proibidas, alfabetização de IA). Recomendações padrão não são de alto risco e ninguém as trata como interação de chatbot que dispararia o Artigo 50. Recomendações que exploram vulnerabilidades — por exemplo, direcionar menores com mensagens manipulativas — entram na categoria proibida.

Preciso rotular cada imagem gerada por IA no meu aplicativo?
Marcação legível por máquina é obrigatória para o conteúdo produzido pelo seu sistema — desde o primeiro dia em novos produtos, e a partir de 2 de dezembro de 2026 em produtos existentes. A etiqueta visível é obrigatória em situações específicas para os usuários (implantadores) — deepfakes de pessoas reais ou eventos e textos de interesse público escritos por IA. Para um criador de avatares de IA, a marcação de metadados é obrigatória; a etiqueta visível é uma boa prática.

Somos uma empresa turca sem escritório na UE. Eles realmente podem nos multar?
Se a sua saída for usada na UE, a lei se aplica a você e as autoridades dos Estados‑membros podem agir contra fornecedores fora da UE — inclusive por meio de lojas de aplicativos e distribuidores com sede na UE. Se a sanção chegar a uma pequena empresa é mais uma questão de risco do que jurídica — mas “não nos encontrarem” não é uma estratégia sustentável no GDPR.

Um aplicativo de beleza que analisa pele ou formato do rosto é “categorização biométrica”?
Depende do que está sendo extraído. Detectar o tom de pele para sugerir base geralmente não é categorização de grupos protegidos. Extrair etnia, estado de saúde ou emoções a partir do rosto é outra questão e pode ser restrita ou proibida. Nesse caso, o resultado jurídico depende do design completo da funcionalidade.

E se eu desenvolver um recurso de IA e oferecê‑lo apenas fora da UE?
Então a lei não se aplica a esse recurso — mas a restrição geográfica precisa ser real (acesso à loja, controles de região da conta), não apenas uma cláusula nos termos de uso.