O AI Act mira alto risco e cobra quem opera IA de fora

A manchete diz que o AI Act europeu entrou em vigor para sistemas de alto risco em 2 de agosto de 2026. A letra miúda diz que uma proposta em tramitação pode adiar boa parte dessas obrigações para o fim de 2027. As duas coisas são verdadeiras ao mesmo tempo, e é exatamente essa contradição que confunde quem opera IA e precisa decidir o que fazer nesta semana. Vale ir ao documento, não à manchete.

O que virou exigível em 2 de agosto

O AI Act não ligou de uma vez. Ele acende em etapas, e 2 de agosto de 2026 é a mais estrutural para a maioria das empresas. A partir dessa data passaram a valer as obrigações para os sistemas de IA de alto risco listados no Anexo III, que incluem os requisitos de fornecedor dos Artigos 9 a 17 e os de operador do Artigo 26. Na prática, isso significa gestão de risco documentada, qualidade de dados, registro de eventos, supervisão humana e informação clara ao usuário.

Junto vieram as regras de transparência do Artigo 50: avisar que a pessoa está interagindo com uma IA, rotular conteúdo sintético e identificar deepfakes. Essa parte alcança muito mais gente do que o Anexo III, porque quase todo produto com IA generativa hoje gera texto, imagem ou áudio que precisa ser sinalizado. Não é preciso operar um sistema de alto risco para ser pego pela transparência.

A reviravolta do Digital Omnibus

Aqui a história fica torta. Enquanto essas regras entravam em vigor, o próprio bloco discutia adiá-las. A proposta apelidada de Digital Omnibus prevê empurrar as obrigações de alto risco dos sistemas autônomos do Anexo III para 2 de dezembro de 2027, e as da IA embarcada em produtos regulados do Anexo I para 2 de agosto de 2028. O argumento é que a indústria e os próprios órgãos de fiscalização não estão prontos.

O detalhe que a manchete costuma perder: enquanto o Digital Omnibus não for formalmente adotado pelo Parlamento Europeu, a data que vale juridicamente continua sendo 2 de agosto de 2026. Ou seja, existe uma obrigação em vigor hoje e uma promessa de adiamento que ainda não se concretizou. Apostar no adiamento é apostar num texto que ainda não passou. Escritórios como Gibson Dunn e Holland & Knight recomendam tratar o prazo atual como real até que o contrário seja lei.

Na prática, isso significa

Para quem coloca IA em produção, a leitura crítica tem três camadas.

A primeira é de alcance. O AI Act é extraterritorial, no mesmo espírito do GDPR. Se a saída do seu sistema é usada por alguém na União Europeia, a regra te alcança, mesmo com a empresa sediada em São Paulo ou Recife. Vender para um cliente europeu, processar dado de um usuário europeu ou ter a sua IA embutida no produto de um parceiro que atende a Europa já basta. A pergunta não é onde você está, é onde o resultado do seu modelo é consumido.

A segunda é de foco. A tentação diante da incerteza é congelar e esperar o adiamento. É a decisão errada, porque o grosso do trabalho de conformidade não depende do prazo. Mapear quais dos seus sistemas tocam as áreas do Anexo III, montar o dossiê de gestão de risco, garantir registro de eventos e supervisão humana, documentar de onde vêm os dados: nada disso é burocracia europeia, é higiene de quem opera IA a sério. Quem trata avaliação e rastreabilidade como parte do produto, e não como enfeite, já está fazendo o que a regra pede. Conversa direto com a ideia de que avaliar é o gargalo real da IA em produção, não um item de checklist.

A terceira é de oportunidade. Regulação clara padroniza. Quando todo mundo precisa provar que a IA é rastreável e supervisionada, quem já tem esse alicerce vende mais rápido, porque tira do caminho a objeção de compliance do cliente grande. A conformidade deixa de ser custo e vira argumento comercial, principalmente para quem quer atender empresa regulada, que é justamente onde a IA em produção paga melhor. É o outro lado da conta que o mercado começou a cobrar quando passou a exigir retorno do capital investido em IA: governança virou parte do retorno.

Existe um risco real de o Digital Omnibus passar e mudar as datas, e você deve acompanhar. Mas planejar a operação em torno de um adiamento que ainda não existe é construir sobre expectativa. O caminho seguro é assumir que a régua já subiu, montar a documentação que ela exige e tratar isso como investimento na maturidade da sua IA. Se o prazo esticar, você ganhou tempo de vantagem. Se não esticar, você não foi pego de calças curtas.

Se a sua empresa usa ou vende IA que pode tocar usuários na Europa e você não sabe onde está exposto, fale com a AI Boutique no WhatsApp. A gente ajuda a mapear risco e montar a rastreabilidade antes do regulador, e do cliente, perguntar.