A partir de agosto de 2026, uma empresa europeia que utilize inteligência artificial não só terá de explicar os benefícios que obtém com ela, como também terá de demonstrar como a controla. O Regulamento (UE) 2024/1689 — a Lei da IA — entrou em vigor, e com ele, o discurso da gestão incorporou três palavras que antes existiam apenas no âmbito jurídico: rastreabilidade, transparência e responsabilização.
Vale a pena esclarecer algo desde já, porque existe muita confusão comercial em torno desta data: o calendário mudou no meio do ano. Quem tenta vender uma sensação de urgência sem explicar a mudança ou não sabe disso ou prefere que você não saiba.
A Lei de IA entrou em vigor em 1º de agosto de 2024, com um cronograma de implementação faseado. As proibições de práticas de risco inaceitáveis e as obrigações de alfabetização em IA passaram a vigorar a partir de 2 de fevereiro de 2025. As obrigações relativas a modelos de IA de propósito geral (GPAI) e à estrutura de governança passaram a vigorar a partir de 2 de agosto de 2025.
O dia 2 de agosto de 2026 marca duas coisas específicas:
Agora, a parte que muda a mensagem. Em 2026, o Sindicato aprovou o pacote conhecido como Ônibus Digital, que adiou as obrigações dos sistemas de alto risco: as utilizações do Anexo III — seleção de pessoal, avaliação de crédito, biometria, educação, serviços essenciais — foram transferidas para dezembro de 2027, e os sistemas do Anexo I, IA incorporada em produtos já regulamentados, para agosto de 2028.
Em outras palavras: se o seu sistema for de alto risco, você tem mais tempo do que lhe dizem. Se o seu sistema interage com pessoas ou gera conteúdo, você tem menos margem de manobra do que imagina.
Data | O que se aplica | Quem é afetado? |
2 de fevereiro de 2025 | Proibições e Alfabetização em IA | Todas as organizações |
2 de agosto de 2025 | Obrigações e governança do GPAI | Fornecedores de modelos de uso geral |
2 de agosto de 2026 | Sanções GPAI e transparência (art. 50) | Quem implementa IA que interage com pessoas ou gera conteúdo? |
2 de dezembro de 2027 | Anexo III Sistemas de Alto Risco | RH, crédito, biometria, educação, serviços essenciais |
2 de agosto de 2028 | Sistemas de alto risco do Anexo I | Inteligência artificial incorporada em produtos já regulamentados |
As penalidades máximas chegam a 35 milhões de euros ou 71% da receita global anual, o que for maior. Foi esse valor que motivou a discussão no conselho.
Eis o verdadeiro problema, e não é de natureza legal. É um problema de estoque.
Para cumprir qualquer obrigação regulatória, é fundamental compreender quais sistemas de IA existem na organização, o que fazem, quais dados utilizam e quem é o responsável por cada um. A maioria das empresas não consegue responder a essa pergunta porque uma parcela significativa do uso de IA nunca passou pelo departamento de TI.
O relatório da IBM sobre o Custo de uma Violação de Dados em 2025 quantificou esse fenômeno: 201% das violações analisadas envolveram IA não autorizada dentro da organização, e esses incidentes adicionaram uma média de US$ 670.000 ao custo médio de uma violação, que naquele ano foi de US$ 4,44 milhões. Ainda mais revelador: 97% das organizações que sofreram um incidente relacionado à IA não possuíam controles de acesso adequados e 63% não tinham nenhuma política de governança de IA.
Isso se relaciona a um fenômeno que analisamos detalhadamente: IA paralela, o risco que advém do cartão corporativo [link interno]. Ferramentas contratadas por um departamento, contendo dados de clientes, sem visibilidade para o CISO ou DPO. Elas não constam em nenhum inventário porque nunca houve um processo de integração.
Sem um inventário, qualquer plano de conformidade é um documento desconectado da realidade operacional.
O erro tático seria tratar o adiamento como uma desculpa para a inação. Os elementos exigidos pela regulamentação não são burocracia: são as próprias práticas que permitem que um sistema de IA opere com segurança. Aqueles que os implementam por obrigação descobrem que, de qualquer forma, precisavam deles.
Inventário de sistemas de IA. Quais modelos e ferramentas são utilizados, em que processo, com que dados, quem é o responsável pelo negócio e em que categoria de risco cada um se enquadra?.
Classificação de risco por caso de uso, não por ferramenta. O mesmo modelo pode ser usado para resumos de reuniões de baixo risco e currículos de triagem de alto risco. A classificação é baseada no uso.
Rastreabilidade das decisões. Um registro do que entrou, do que saiu, qual versão do modelo foi utilizada e quem a validou. Quando um sistema executa ações e não apenas as sugere, o registro de auditoria deixa de ser uma boa prática e se torna o único mecanismo de defesa disponível.
Supervisão humana definida. Não se trata de "existir uma pessoa revisando", mas sim de: quais decisões precisam ser validadas, com quais critérios, dentro de qual prazo e o que acontece se essa pessoa não estiver disponível.
Transparência para com o usuário. Se alguém estiver interagindo com um sistema, deve estar ciente disso. Se o conteúdo foi gerado artificialmente, deve ser sinalizado.
Documentação técnica e de dados. De onde vêm os dados de treinamento ou contexto, quais são as limitações conhecidas do sistema e quais avaliações foram realizadas?.
Para estruturar tudo isso, não é necessário inventar uma estrutura própria. Estrutura de Gestão de Riscos de IA do NIST Oferece o modelo de gestão de risco operacional, com um perfil específico para IA generativa que identifica doze categorias de risco. O padrão ISO/IEC 42001:2023 Ele oferece o que o NIST não oferece: um sistema de gestão certificável, que é o que um cliente corporativo ou auditor solicitará que você demonstre.
É aqui que o debate regulatório deixa de ser jurídico e se torna técnico, que é onde atuamos.
Um sistema que não foi projetado para registrar ações não pode adicionar rastreabilidade como uma camada posterior sem modificar sua arquitetura. Um sistema sem um modelo granular de permissões não pode demonstrar quem acessou o quê. Um sistema vinculado a um único fornecedor de modelo não pode documentar alterações de versão porque não tem controle sobre quando elas ocorrem.
Esses três aspectos — rastreabilidade, permissões e a capacidade de substituir o modelo — são definidos durante a fase de projeto. Adicioná-los posteriormente é dispendioso. Projetá-los desde o início não é.
Essa é a diferença entre segurança por design e medidas de segurança adicionadas posteriormente, e é por isso que, no The Cloud Group, governança e conformidade não são vendidas como complementos: elas estão incluídas em todos os projetos, com ambientes isolados, criptografia em trânsito, controle de acesso granular e logs de auditoria pré-configurados. Nós desenvolvemos isso em Nosso trabalho sobre riscos da IA, alucinações e governança.
Caso seja necessário tomar uma decisão na próxima reunião sobre o que fazer a respeito, esta é a ordem que produz resultados:
O que não é aconselhável é o oposto: elaborar uma política de governança de IA de quarenta páginas antes mesmo de saber quais sistemas a empresa possui. Dá muito trabalho, tranquiliza o conselho por um trimestre e não muda nada na operação.
Durante três anos, a pergunta corporativa sobre IA era "o que podemos fazer com isso?". De agora em diante, ela coexiste com outra: "podemos demonstrar como fazemos isso?".
A segunda questão não impede ninguém. Ela impede aqueles que construíram sem projetos arquitetônicos, alvarás ou registro, e que agora estão descobrindo que a rastreabilidade não pode ser adicionada com um curativo. Para aqueles que projetaram bem, a conformidade é simplesmente documentar algo que já existe.
A partir de 2 de agosto de 2026, entram em vigor os poderes de sanção sobre os fornecedores de modelos de uso geral e as obrigações de transparência do Artigo 50: comunicar quando uma pessoa interage com um sistema de IA, marcar o conteúdo gerado artificialmente e declarar a utilização de reconhecimento de emoções ou categorização biométrica.
Sim. O pacote Digital Omnibus adiou as obrigações relativas a sistemas de alto risco: utilizações do Anexo III (seleção de pessoal, avaliação de crédito, biometria, educação, serviços essenciais) para dezembro de 2027 e utilizações do Anexo I (IA incorporada em produtos já regulamentados) para agosto de 2028. As obrigações de transparência e de acesso público a informações confidenciais não foram adiadas.
As penalidades máximas chegam a 35 milhões de euros ou 71 milhões e 30 mil euros do volume de negócios anual mundial do ano anterior, consoante o que for mais elevado, para as infrações mais graves relacionadas com práticas proibidas.
O inventário avalia quais sistemas de IA existem de fato na organização, em quais processos, com quais dados e quem é o responsável por cada um. O risco é então categorizado por caso de uso, não por ferramenta, e os sistemas que lidam com dados pessoais, decisões sobre pessoas ou dinheiro são auditados primeiro.
A Estrutura de Gestão de Riscos de IA do NIST é uma estrutura voluntária de gestão de riscos com foco específico em IA generativa; ela não é certificável. A norma ISO/IEC 42001:2023 define um sistema de gestão de IA que é certificável e, portanto, é o que um cliente corporativo ou auditor exigirá como comprovação.
Não, se for projetado desde o início. Rastreabilidade, controle de permissões e a capacidade de substituir o modelo são decisões arquiteturais: incorporá-las ao projeto tem um custo marginal, adicioná-las depois que o sistema já está em produção exige refazer as integrações.
Você sabe quais sistemas de IA estão realmente implementados em sua organização? Nossa auditoria de IA diagnostica o modelo, os dados, a rastreabilidade e o custo: o que salvar, o que reescrever e o que interromper. Preço fixo e relatório escrito incluso. Solicitar um diagnóstico → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
