IA de alto risco na União Europeia: o que provedores precisam preparar antes de 2027

O ponto central é o calendário: as obrigações completas da União Europeia para sistemas de IA de alto risco foram adiadas — não estão valendo para a maior parte desses sistemas neste momento.

Os sistemas autônomos classificados como de alto risco no Anexo III deverão cumprir as exigências a partir de 2 de dezembro de 2027. Já sistemas de IA de alto risco que integrem determinados produtos regulados terão prazo posterior, em 2 de agosto de 2028. 18

Para empresas que pretendem colocar esses sistemas no mercado da União Europeia, o desafio prático é criar, antes do lançamento, uma estrutura capaz de comprovar segurança, rastreabilidade e responsabilização.

O que a UE considera IA de alto risco?

A categoria abrange, em linhas gerais, dois grupos:

• sistemas de IA usados como componente de segurança de produtos abrangidos por leis específicas da UE, quando esses produtos dependem de avaliação de conformidade por uma terceira parte;
• sistemas usados em áreas previstas no Anexo III, sujeitos às condições e exceções estabelecidas na lei. 15

A classificação é decisiva porque o status de alto risco aciona obrigações muito mais extensas ao longo de todo o ciclo de vida do sistema do que as aplicáveis a ferramentas de IA comuns.

O que os provedores precisam preparar

Antes de colocar um sistema de alto risco no mercado europeu, o provedor terá de adotar controles incorporados ao desenvolvimento e à operação do produto — não apenas reunir documentos depois de uma cobrança do regulador.

Gestão de riscos e governança de dados

Os provedores deverão estabelecer medidas para avaliar e mitigar riscos. Também precisarão usar conjuntos de dados com qualidade suficiente para reduzir o risco de resultados discriminatórios. O regime para IA de alto risco enfatiza dados de treinamento, validação e teste que sejam relevantes, representativos e adequadamente governados. 115

Documentação e rastreabilidade

Os sistemas deverão manter registros de atividade que permitam rastrear seus resultados, além de documentação técnica detalhada sobre o sistema e sua finalidade pretendida. Esse conjunto de evidências permite que as autoridades verifiquem a conformidade com as regras. 1

Supervisão humana e resiliência operacional

A legislação europeia também exige medidas adequadas de supervisão humana, alto nível de precisão, robustez e segurança cibernética. O provedor deverá entregar ao responsável pelo uso do sistema informações claras e suficientes para que ele seja utilizado conforme o previsto e com conhecimento de suas limitações. 1

Avaliação de conformidade, registro e monitoramento

Antes da colocação no mercado, os provedores precisarão concluir a avaliação de conformidade aplicável. Quando exigido, deverão registrar o sistema, acompanhar seu desempenho após o lançamento e comunicar incidentes graves. Na prática, a conformidade deixa de ser uma aprovação única e passa a ser uma função contínua de operação. 115

Checklist de preparação para 2027 e 2028

Empresas que se preparam para os novos prazos devem conseguir responder a estas perguntas:

1. O sistema é realmente de alto risco? Compare o caso de uso com as categorias dos Anexos I e III.
2. Quem responde pela conformidade? Defina responsáveis por segurança do produto, requisitos legais, documentação e resposta a incidentes.
3. Os riscos podem ser comprovados e mitigados? Mantenha um processo repetível de gestão de riscos, com testes e registros de decisões.
4. Os controles sobre dados são defensáveis? Documente relevância, representatividade, verificações de qualidade e limitações conhecidas dos dados.
5. O sistema pode ser auditado? Preserve logs, arquivos técnicos e instruções de uso que expliquem a finalidade e as restrições da ferramenta.
6. A supervisão humana funciona na prática? Estabeleça quando pessoas podem intervir, substituir uma saída do sistema ou interromper seu uso.
7. O monitoramento pós-mercado está pronto? Prepare fluxos para acompanhar desempenho, aplicar medidas corretivas e reportar incidentes.

Multas possíveis no EU AI Act

O EU AI Act prevê penalidades combinando valores fixos em euros e percentuais do faturamento anual mundial. A faixa mais severa, para práticas de IA proibidas, pode chegar a € 35 milhões ou 7% do faturamento anual mundial. Outras situações de não conformidade podem resultar em multas de até € 15 milhões ou 3% do faturamento anual mundial. 3

A dimensão dessas penalidades indica que um programa de conformidade para IA de alto risco não pode se limitar à área jurídica. Times de produto, segurança, ciência de dados, compras, compliance e operação precisam produzir evidências de que as salvaguardas funcionam de fato.

Por que o adiamento não é motivo para esperar

As novas datas dão mais tempo de preparação, mas não reduzem a extensão das exigências. Uma empresa que deixar o trabalho para o fim de 2027 ainda poderá ter de montar sistemas de documentação, rever práticas de desenvolvimento de modelos, implementar registros de atividade, testar a supervisão humana e estruturar rotinas de monitoramento e notificação pós-mercado.

A estratégia mais útil é tratar o EU AI Act como um padrão de governança de produto: identificar cedo os casos de uso de alto risco, reunir evidências durante o desenvolvimento e tornar segurança, rastreabilidade e controle humano partes do processo de lançamento desde o início. 115