Neste domingo, o AI Act europeu entra em uma nova fase de aplicação. A notícia que circulou nas últimas semanas — “a União Europeia adiou o AI Act” — é verdadeira apenas em parte, e a parte que ficou de fora é justamente a que passa a valer agora.
O que foi adiado, de fato, foi a parte mais pesada do regulamento. Em julho, entrou em vigor o Digital Omnibus on AI, pacote de emendas aprovado pelo Parlamento Europeu em junho e ratificado pelo Conselho no fim do mesmo mês. Ele posterga as obrigações aplicáveis a sistemas de alto risco: os sistemas autônomos listados no Anexo III passam a ser exigíveis apenas em dezembro de 2027, e a IA embarcada em produtos já regulados por legislação setorial, em agosto de 2028. O motivo do adiamento é conhecido de quem acompanha o tema: as normas técnicas harmonizadas que permitiriam demonstrar conformidade não ficaram prontas, e vários Estados-membros não haviam designado as autoridades competentes.
O que não foi adiado, e passa a valer agora, é outra coisa — e é justamente a parte que tende a alcançar mais empresas brasileiras.
O que efetivamente entra em vigor?
As obrigações de transparência do artigo 50 permanecem no calendário original. Significa que sistemas de IA que interagem com pessoas precisam informar que são sistemas de IA. Conteúdo gerado ou manipulado artificialmente precisa ser identificado como tal. Pessoas submetidas a sistemas de reconhecimento de emoções ou de categorização biométrica precisam ser informadas disso. Há uma exceção pontual: a obrigação de marcação em formato legível por máquina não se aplica de imediato a sistemas já colocados no mercado antes desta data, que ganharam prazo até dezembro.
Também entram em vigor os poderes de fiscalização da Comissão Europeia sobre provedores de modelos de propósito geral. Esses provedores já estavam sujeitos a obrigações desde agosto de 2025, mas a Comissão não tinha, até agora, competência para exigir documentação, conduzir avaliações ou aplicar sanções. A partir deste domingo, tem — com multas que podem chegar a 15 milhões de euros ou 3% do faturamento global.
A distinção importa. Quem leu a manchete do adiamento e concluiu que ganhou mais um ano e meio de folga leu apenas metade do que aconteceu.
Por que isso alcança empresas brasileiras?
O AI Act tem alcance extraterritorial explícito. Ele se aplica a quem coloca sistemas de IA no mercado europeu, independentemente de onde esteja estabelecido, e também a fornecedores e operadores situados fora da União quando o resultado produzido pelo sistema é utilizado em território europeu. Uma software house brasileira que licencia um produto com componente de IA para um cliente europeu está no escopo. Uma empresa que oferece serviço com camada de IA a usuários na Europa está no escopo. Uma companhia que integra modelos de terceiros em produto vendido ao mercado europeu está no escopo.
Mas o canal de alcance mais relevante, para a maioria das empresas brasileiras, não é a fiscalização direta. É o contrato.
O contrato como via de transmissão
Empresas europeias sujeitas ao AI Act precisam demonstrar conformidade — e conformidade, em cadeia de fornecimento, não se demonstra apenas com o que se faz internamente. Demonstra-se também com o que se exige dos fornecedores.
O efeito prático já é observável em processos de qualificação de fornecedor e em contratos de licenciamento e prestação de serviço firmados nos últimos meses. Cláusulas que exigem declaração sobre uso de IA no produto ou serviço. Obrigações de informar quando conteúdo entregue foi gerado ou assistido por IA. Compromissos de documentação sobre dados de treinamento e sobre supervisão humana. Direitos de auditoria específicos sobre governança de IA. Garantias de que o fornecedor cumprirá exigências do AI Act aplicáveis à cadeia, mesmo quando ele próprio não seja diretamente destinatário da norma.
Esse movimento não segue o calendário regulatório — segue o calendário comercial. E o adiamento das obrigações de alto risco não o interrompe. Ao contrário: empresas europeias que agora têm até dezembro de 2027 para adequar sistemas de alto risco tendem a usar esse tempo, entre outras coisas, para arrumar a cadeia de fornecimento. Quem fornece para elas vai sentir isso antes de 2027, não depois.
O cenário brasileiro
Enquanto isso, o marco legal brasileiro segue em construção. O PL 2338/2023, aprovado pelo Senado em dezembro de 2024, tramita na Câmara desde março de 2025 sem conclusão. O texto adota estrutura semelhante à europeia — classificação por nível de risco, direitos dos afetados, sistema nacional de governança. Mas enfrenta obstáculos que vão além do mérito: divergências sobre direitos autorais e mineração de dados, disputas setoriais sobre o alcance das obrigações de alto risco, uma questão de iniciativa constitucional relacionada às competências atribuídas à ANPD — endereçada por projeto complementar enviado pelo Executivo — e um calendário legislativo comprimido por ano eleitoral.
Não é possível prever com segurança quando o texto será votado, nem em que forma. O que é possível observar é que, para uma parte relevante das empresas brasileiras que operam com tecnologia, a definição regulatória que importa no curto prazo não virá de Brasília.
O padrão regulatório de fato
É aqui que está o ponto que me parece mais relevante para quem toma decisões hoje.
Uma empresa brasileira que fornece software, integra modelos ou presta serviço a clientes europeus provavelmente já está — ou estará em breve — respondendo a exigências derivadas do AI Act. Não porque a lei brasileira as imponha, mas porque o contrato as impõe. E contrato não espera regulamentação nacional.
Esse mecanismo não é novo. Foi assim com a GDPR: empresas brasileiras adotaram práticas de proteção de dados anos antes da LGPD entrar em vigor, porque clientes e parceiros europeus as exigiam contratualmente. A LGPD, quando chegou, encontrou parte do mercado já parcialmente adequada — não por antecipação regulatória, mas por pressão comercial.
Há uma diferença relevante, contudo. Com a GDPR, a adequação exigida era predominantemente organizacional: políticas, processos, bases legais, contratos de tratamento. Com o AI Act, a exigência tende a alcançar decisões de produto — o que o sistema faz, como foi treinado, que informação ele apresenta ao usuário, que registro mantém, como a supervisão humana está desenhada. Adequar depois costuma ser mais caro do que projetar antes.
O que revisar?
Para empresas brasileiras que fornecem tecnologia ao mercado europeu, ou que integram componentes de IA em produtos com alcance internacional, três frentes merecem revisão agora.
A primeira é de escopo: mapear quais produtos e serviços têm componente de IA, onde estão os usuários e os resultados, e se algum deles se enquadra nas categorias que o AI Act trata — inclusive as obrigações de transparência que passam a valer agora.
A segunda é contratual: revisar os contratos vigentes e o modelo de contrato usado com clientes internacionais. Que obrigações relacionadas a IA já foram assumidas? Elas são cumpríveis com a estrutura atual? Há cláusulas de auditoria, de declaração ou de indenização cujo alcance a empresa ainda não dimensionou?
A terceira é de governança: existe documentação sobre os sistemas de IA utilizados ou fornecidos — origem dos modelos, dados de treinamento quando aplicável, supervisão humana, registros de funcionamento? Essa documentação é a moeda de troca em qualquer processo de qualificação ou auditoria, e ela não se produz retroativamente com facilidade.
Nada disso depende da aprovação do PL 2338. E é essa a leitura que me parece mais útil neste momento: para uma parcela relevante do mercado brasileiro, o AI Act já opera como padrão — não por força de lei aqui, mas por força de contrato lá.
Advogado. Pós-graduado em Direito Empresarial pela FGV São Paulo. Alumni do Data Privacy. Associado ao International Association of Privacy Professionals (IAPP). Membro da Comissão do Novo Advogado do Instituto dos Advogados de São Paulo (IASP).