Lei de IA da UE após o Omnibus: o que vale agora e o que vem depois

Principais pontos

• A Lei de IA da UE (AI Act) se aplica de forma geral desde 2 de agosto de 2026. As obrigações de transparência para chatbots e deepfakes, as regras para modelos de IA de uso geral (GPAI) e os poderes de fiscalização do Escritório de IA (AI Office) já estão em vigor.
• O "Omnibus Digital sobre IA", o Regulamento (UE) 2026/1744, entrou em vigor em 27 de julho de 2026. Ele adiou as regras de alto risco para 2 de dezembro de 2027 em áreas como contratação, educação e crédito, e para 2 de agosto de 2028 no caso de IA embutida em produtos regulados.
• Dois prazos vencem em 2 de dezembro de 2026: a proibição de sistemas de IA que geram imagens íntimas não consentidas ou material de abuso sexual infantil e a data-limite para que sistemas de IA generativa mais antigos marquem seus resultados como gerados por IA.
• As multas máximas não mudaram: até € 35 milhões ou 7% do faturamento anual mundial por práticas proibidas, e até € 15 milhões ou 3% para provedores de GPAI, o que for maior.
• Segundo o PPC Land, em 12 de outubro a Comissão abriu uma consulta, que vai até 9 de novembro, sobre como o Escritório de IA conduzirá os processos de aplicação de multas contra os sistemas de IA que supervisiona diretamente.

Durante dois anos, o AI Act foi algo para o qual as empresas se preparavam. Desde agosto, é algo que elas precisam cumprir, e a Comissão está agora completando as regras processuais que vão definir como investigações e multas funcionarão na prática. Ao mesmo tempo, o Omnibus Digital do meio do ano reescreveu o cronograma, adiando as obrigações mais exigentes e acrescentando novas proibições. O resultado é uma lei que está em parte em vigor, em parte adiada e em parte ainda sendo redigida.

Este explicativo mostra o que vale hoje, o que mudou, quem é afetado e o que isso significa para usuários e empresas dentro e fora da UE.

Contexto: uma lei em etapas

O AI Act entrou em vigor em 1º de agosto de 2024 e foi concebido para ser aplicado em etapas. Um primeiro grupo de práticas proibidas, como certos sistemas de IA manipuladores e a pontuação social, e uma obrigação de letramento em IA passaram a valer em 2 de fevereiro de 2025. As obrigações para provedores de modelos de IA de uso geral, os grandes modelos por trás de chatbots e assistentes de programação, vieram em 2 de agosto de 2025. A data de aplicação geral era 2 de agosto de 2026.

Em novembro de 2025, a Comissão propôs um "Omnibus Digital" para simplificar partes de suas regras digitais, incluindo o AI Act. Os negociadores chegaram a um acordo político em 7 de maio de 2026. A parte sobre IA foi publicada no Jornal Oficial da UE em 24 de julho como Regulamento (UE) 2026/1744 e entrou em vigor em 27 de julho de 2026, segundo a Comissão e o escritório de advocacia Cooley.

O cronograma atual

Fontes: página da Comissão Europeia sobre o AI Act; texto do artigo 113 alterado no AI Act Service Desk; análise da Cooley sobre o Regulamento (UE) 2026/1744.

O que o Omnibus mudou

Regras de alto risco adiadas. As obrigações mais exigentes, que abrangem gestão de riscos, qualidade dos dados, documentação e supervisão humana dos sistemas de alto risco, venceriam em 2 de agosto de 2026 para sistemas independentes. Agora passam a valer em 2 de dezembro de 2027, um atraso de 16 meses. As regras para IA usada como componente de segurança em produtos regulados passaram de agosto de 2027 para agosto de 2028.

Transparência não foi adiada. As obrigações do artigo 50 para sistemas novos continuaram valendo a partir de 2 de agosto de 2026: as pessoas devem ser avisadas quando estão interagindo com um sistema de IA, e deepfakes devem ser rotulados. Provedores de sistemas generativos já no mercado antes dessa data têm um período de carência até 2 de dezembro de 2026 para aplicar marcação legível por máquina em seus resultados.

Novas proibições. O Omnibus acrescentou proibições a sistemas de IA que geram ou manipulam imagens íntimas não consentidas e a sistemas que geram material de abuso sexual infantil. Segundo a Cooley, os provedores são alcançados quando essa é a finalidade pretendida ou um resultado razoavelmente previsível sem salvaguardas adequadas; os implantadores são alcançados quando usam um sistema para produzir esse tipo de material. Não há isenção para sistemas que já estão no mercado.

Carga menor para empresas menores. O alívio que a lei já dava a pequenas e médias empresas foi estendido às "small mid-caps" (pequenas empresas de média capitalização), que podem apresentar documentação técnica simplificada e, quando multadas, ficam sujeitas ao menor, e não ao maior, entre o teto percentual e o teto fixo.

Letramento em IA abrandado. O texto original exigia que provedores e implantadores garantissem que suas equipes tivessem letramento em IA suficiente. A versão alterada reformula isso como uma obrigação da Comissão e dos Estados-membros de apoiar e facilitar esse letramento.

Mais poder para o Escritório de IA. O Escritório de IA da Comissão ganha competência exclusiva de supervisão sobre sistemas de IA construídos sobre um modelo de uso geral quando o sistema e o modelo vêm do mesmo provedor ou grupo, e sobre sistemas de IA integrados a plataformas on-line e mecanismos de busca de grande dimensão designados. As autoridades nacionais continuam à frente em setores sensíveis, como segurança pública e finanças.

Registro mantido. A Comissão havia proposto eliminar a exigência de registrar no banco de dados da UE certos sistemas autoavaliados. Segundo a Cooley, os legisladores rejeitaram a ideia; os provedores ainda precisam se registrar, embora possam usar um procedimento simplificado.

As multas

Fontes: texto dos artigos 99 e 101 do AI Act via artificialintelligenceact.eu; mudanças do Omnibus via artificialintelligenceact.eu.

O poder da Comissão de multar provedores de GPAI com base no artigo 101 ficou suspenso quando as demais disposições sobre penalidades entraram em vigor em 2025; ele parece valer desde 2 de agosto de 2026, de acordo com o artigo 113. O que ainda falta é o procedimento detalhado para os sistemas de IA que o Escritório de IA supervisiona diretamente. Segundo o PPC Land, em 12 de outubro a Comissão publicou uma minuta de regulamento de execução sobre os artigos 75c e 75d, as disposições sobre multas, prazos de prescrição e acesso aos autos que o Omnibus inseriu. A mesma reportagem detalhada afirma que a minuta fixa prazos de prescrição de cinco anos para impor e executar multas, que podem ser reiniciados por certas medidas de investigação até um teto de dez anos, limita o acesso integral aos autos a assessores externos nomeados e exige envios digitais com assinatura eletrônica qualificada. As contribuições podem ser enviadas até 9 de novembro, e a adoção está prevista para o quarto trimestre de 2026.

O que muda para os usuários

• Chatbots precisam dizer que são IA. Quando você interage com um sistema de IA que não é obviamente uma IA, deve ser avisado.
• Deepfakes precisam ser rotulados, e a partir de 2 de dezembro de 2026 os resultados de sistemas generativos mais antigos devem trazer marcação legível por máquina.
• Aplicativos de "nudificação" passam a ser ilegais na UE a partir de 2 de dezembro de 2026.
• Decisões de contratação e crédito: as proteções mais fortes para IA usada em recrutamento, educação ou análise de crédito só passarão a valer em dezembro de 2027.

O que significa para as empresas

Grandes desenvolvedores de IA enfrentam a exposição mais imediata. As obrigações de GPAI já valem há mais de um ano, a Comissão agora pode multar e a supervisão direta do Escritório de IA sobre produtos construídos com os próprios modelos do provedor, como assistentes oferecidos pela mesma empresa, coloca modelo e produto sob um único regulador. As regras processuais agora em consulta vão determinar como esses casos serão conduzidos.

Empresas que usam IA em RH, educação ou concessão de crédito ganharam tempo, mas não uma isenção. Dezembro de 2027 está a cerca de 13 meses, e o trabalho de avaliação de conformidade, documentação e gestão de riscos leva tempo para ser estruturado. Tratar o adiamento como um fôlego, e não como motivo para parar, é o caminho mais seguro.

Provedores de IA generativa têm um prazo firme em seis semanas: 2 de dezembro, para a marcação de resultados em sistemas legados e para as novas proibições. Ferramentas de imagem e vídeo com salvaguardas fracas são as mais expostas pelo critério do "razoavelmente previsível".

Empresas de fora da UE são abrangidas se colocam sistemas de IA no mercado da UE ou se os resultados de sua IA são usados na UE, de modo que provedores americanos e asiáticos enfrentam as mesmas datas. Para empresas menores, a ampliação do alívio às small mid-caps reduz o custo de conformidade e limita as multas ao valor menor.

O que continua incerto: normas harmonizadas, diretrizes da Comissão sobre várias disposições de alto risco e a forma final das regras processuais ainda estão sendo redigidas. Vários prazos para essas orientações vencem em 2027.

Fontes

• European Commission: AI Act policy page and timeline
• European Commission AI Act Service Desk: Article 113 (as amended)
• Cooley: Digital AI Omnibus delays key deadlines, introduces new rules
• artificialintelligenceact.eu: Digital Omnibus on AI
• artificialintelligenceact.eu: Article 99, Penalties
• artificialintelligenceact.eu: Article 101, Fines for GPAI providers
• PPC Land: EU draft lets AI Office restart five-year fining clock