AI Act da UE para empresas: o que muda, quando vale e como se preparar

Para sair do abstrato, três perguntas ajudam:

1. Caso de uso: o que a IA faz, com quais dados e com que influência sobre decisões?
2. Papel da empresa: a empresa é responsável pela implantação ou uso, é provedora de um sistema de IA ou fornece um modelo GPAI?
3. Risco: o caso pode envolver prática proibida, GPAI, IA de alto risco ou um uso menos sensível?

Principais prazos do EU AI Act

Esta visão geral não substitui avaliação jurídica, mas ajuda a organizar o plano de trabalho.

O teste central: caso de uso, papel e risco

1. Qual é o uso real da IA?

Comece pela finalidade, não pelo nome da ferramenta. O simples fato de um produto usar IA diz pouco sobre as obrigações. O que importa é se a aplicação avalia pessoas, influencia acesso a oportunidades ou benefícios, controla processos sensíveis à segurança ou apenas apoia tarefas internas.

Algumas áreas merecem atenção mais cedo. As fontes citam biometria, infraestrutura crítica, educação, emprego e serviços públicos como campos em que questões de alto risco podem aparecer com mais facilidade.

2. Qual é o papel da empresa?

A mesma empresa pode ter papéis diferentes em usos diferentes. Ao comprar uma ferramenta pronta, ela pode ser principalmente responsável pela implantação ou uso. Ao colocar no mercado um produto próprio com recurso de IA, pode assumir obrigações de provedora. Se desenvolver ou disponibilizar um modelo de IA de uso geral, entram as questões específicas de GPAI.

Essa distinção importa porque as obrigações não dependem apenas do risco do sistema, mas também de a empresa fornecer, operar, implantar ou disponibilizar o modelo.

3. Qual categoria de risco parece plausível?

Uma triagem inicial pode seguir quatro passos:

1. Excluir risco de proibição: se o uso cair em uma prática proibida, não é um tema para depois; é um ponto crítico imediato.
2. Verificar relação com GPAI: a empresa fornece um modelo de IA de uso geral ou apenas usa um modelo de terceiro dentro de uma aplicação concreta?
3. Checar possível alto risco: o caso está em uma área sensível ou influencia decisões sobre pessoas?
4. Analisar o regime do produto: a IA está integrada a um produto regulado, para o qual podem existir prazos de transição específicos?

O que colocar de pé agora

Crie um registro de IA

O primeiro passo operacional é inventariar os usos de IA. Não registre apenas grandes projetos estratégicos. Inclua assistentes internos, recursos de IA em softwares contratados, automações, modelos usados por equipes e funcionalidades de produtos próprios.

Um bom registro de IA deve conter, no mínimo:

• nome da ferramenta ou do sistema;
• finalidade e área responsável;
• uso interno ou disponibilização externa;
• tipos de dados usados;
• pessoas ou grupos afetados;
• influência sobre decisões;
• fornecedor, dono interno e equipes responsáveis;
• primeira avaliação sobre prática proibida, relação com GPAI, possível alto risco ou risco menor.

Esse inventário é a base para classificar papéis e categorias de risco de forma rastreável em cada caso de uso.

Priorize usos sensíveis

Nem toda aplicação de IA exige o mesmo nível de atenção. Devem ir para o topo da fila os sistemas que avaliam pessoas, influenciam acesso a oportunidades ou benefícios, ou atuam em áreas sensíveis como biometria, infraestrutura crítica, educação, emprego e serviços públicos.

Na prática, isso costuma colocar no radar ferramentas de RH, pré-seleção de candidatos, avaliação de desempenho, aplicações próximas de segurança e sistemas que preparam decisões sobre pessoas. Ainda assim, saber se um caso específico é de alto risco depende do fluxo real de trabalho e do papel da empresa.

Prepare governança e documentação

Para sistemas de alto risco, as fontes mencionam exigências como gestão de riscos, documentação técnica e avaliação de conformidade. Quais tarefas recaem sobre a sua empresa depende do papel assumido e do sistema em questão. Para sistemas de alto risco do Anexo III, o regime completo de conformidade passa a valer em 2 de agosto de 2026.

Boas providências desde já incluem:

• nomear responsáveis nas áreas de negócio, tecnologia, privacidade, jurídico e compliance;
• criar um processo de aprovação para novas ferramentas de IA;
• solicitar documentação técnica, informações de risco e compromissos contratuais de fornecedores;
• documentar finalidade, dados, riscos, controle humano e mudanças no sistema;
• levar casos de fronteira para análise jurídica antes de escalar o uso.

Não trate letramento em IA como detalhe

Letramento em IA, ou AI literacy, não é relevante apenas para sistemas de alto risco. Uma fonte descreve essa exigência como ampla para provedores e responsáveis pela implantação ou uso, independentemente do nível de risco; mesmo organizações com sistemas de risco mínimo devem observar requisitos de letramento em IA e evitar práticas proibidas.

Na prática, as pessoas que escolhem, configuram ou usam IA precisam conhecer os limites do sistema, entender erros comuns e saber quando uma revisão humana é necessária.

Três situações comuns em empresas

1. A empresa usa um assistente de IA apenas internamente

O ponto decisivo é a finalidade. Usar IA para apoiar redação, resumo de textos ou pesquisa interna tende a exigir uma análise diferente de usar IA em RH, avaliação, acesso a benefícios ou outros processos sensíveis. Mesmo assim, essas ferramentas devem entrar no registro de IA, e regras claras de uso e letramento em IA continuam relevantes.

2. A empresa oferece um software como serviço com recurso de IA

Nesse caso, é preciso avaliar se a empresa atua como provedora de um sistema de IA e se o recurso pode cair em contexto de alto risco. Para sistemas de alto risco, obrigações como gestão de riscos, documentação técnica e avaliação de conformidade ganham especial relevância a partir de 2026.

3. A empresa usa IA em recrutamento, scoring ou atendimento ao cliente

Recrutamento e outros contextos de emprego devem ser examinados cedo, pois emprego aparece nas fontes como uma área em que questões de alto risco podem ser relevantes. Em scoring ou atendimento ao cliente, a resposta depende muito do fluxo: a IA apenas apoia uma pessoa ou prepara, influencia ou automatiza decisões sobre indivíduos? Sem essa descrição concreta, não dá para concluir a classificação com segurança.

Checklist prático para os próximos passos

1. Mapear aplicações de IA: documente ferramentas, modelos, automações e funcionalidades de produto.
2. Triar casos de uso: primeiro exclua práticas proibidas; depois verifique relação com GPAI e possíveis cenários de alto risco.
3. Definir o papel da empresa: para cada aplicação, identifique se a empresa é responsável pelo uso, provedora do sistema ou provedora de modelo GPAI.
4. Priorizar áreas sensíveis: avalie cedo RH, biometria, infraestrutura crítica, educação, serviços públicos e processos que influenciam decisões sobre pessoas.
5. Revisar fornecedores: em IA contratada, confira que documentação, informações de risco, atualizações e compromissos contratuais o fornecedor entrega.
6. Montar governança: estabeleça responsáveis, aprovações, treinamento e documentação.
7. Planejar alto risco: se houver possível sistema do Anexo III, trate 2 de agosto de 2026 como marco central de preparação.

Conclusão

A pergunta mais importante sobre o EU AI Act não é simplesmente se a empresa pode usar IA. A pergunta correta é: qual é o caso de uso, qual papel a empresa assume e qual prazo se aplica?

Para poucos usos internos e de menor risco, o esforço pode ser mais controlado, mas um registro de IA, regras de uso e letramento em IA continuam sendo medidas importantes e, em parte, expressamente relevantes. Se a empresa usa IA em áreas sensíveis, oferece um produto com IA ou fornece modelos GPAI, não convém deixar a análise para a véspera de 2026.