EU AI Act: Da Regulamentação à Evidência Técnica

O que é o EU AI Act?

O EU AI Act, formalmente o Regulamento (UE) 2024/1689, é o quadro jurídico da União Europeia baseado no risco para a inteligência artificial. Entrou em vigor a 1 de agosto de 2024 e, em vez de regular a "IA" como uma coisa só, classifica sistemas e modelos de IA em níveis de risco e atribui obrigações diferentes a cada um.

É um quadro jurídico horizontal da UE que estabelece regras baseadas no risco para a inteligência artificial. O Regulamento aplica-se em várias situações, incluindo a determinados fornecedores e responsáveis pela implantação na UE e a determinados fornecedores de países terceiros cujo resultado de um sistema de IA seja utilizado na União, sujeito às condições específicas estabelecidas no Regulamento, e não como uma regra geral que abranja qualquer organização ligada de alguma forma à IA. As obrigações estão a ser introduzidas de forma faseada ao longo de vários anos, em vez de todas de uma vez, e esse faseamento foi, ele próprio, ajustado desde a primeira adoção do Regulamento, o que é parte da razão pela qual esta página apresenta uma data de revisão, em vez de tratar qualquer resumo único como permanente.

A quem se aplica o EU AI Act?

A aplicabilidade não é uniforme, e um dos erros mais comuns que observo é uma organização assumir que o Regulamento se aplica integralmente ou não se aplica de todo. Na prática, depende de vários fatores a atuar em conjunto.

Papel na cadeia de valor da IA. Um fornecedor desenvolve um sistema ou modelo de IA e coloca-o no mercado ou põe-no em serviço. Um responsável pela implantação utiliza um sistema de IA sob a sua própria autoridade. Os dois têm obrigações diferentes, e uma organização pode ser ambas as coisas para sistemas diferentes.

Finalidade prevista e classificação de risco. O mesmo modelo subjacente pode situar-se em diferentes níveis de risco consoante a utilização que lhe é dada. Um modelo de linguagem de finalidade geral utilizado para redação interna tem um conjunto de obrigações muito diferente do mesmo modelo integrado numa ferramenta de triagem de currículos.

Se o sistema é um modelo de IA de finalidade geral. Os modelos GPAI têm a sua própria via de obrigações, tratada separadamente mais abaixo, que se soma ao papel e à classificação de risco que de outra forma seriam aplicáveis.

Nada disto substitui uma avaliação jurídica casuística de um sistema específico. É o enquadramento de que uma equipa de engenharia ou arquitetura precisa antes de essa avaliação poder sequer ser devidamente delimitada.

Quais são as categorias de risco do EU AI Act?

O Regulamento segue uma abordagem baseada no risco, em vez de regular todos os sistemas de IA da mesma forma. Quatro categorias amplas são frequentemente utilizadas para explicar essa abordagem em termos práticos; constituem um enquadramento explicativo de orientação, não um teste universal de autoclassificação jurídica, e os limites abaixo não devem ser tratados como substituto de uma avaliação jurídica casuística.

O que é um sistema de IA de risco elevado?

O estatuto de risco elevado é atribuído de duas formas. O anexo III enumera domínios de utilização específicos: infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, acesso a serviços privados e públicos essenciais (incluindo avaliação de crédito e seguros), aplicação da lei, migração e controlo de fronteiras, administração da justiça e processos democráticos, e determinadas utilizações de identificação biométrica e categorização. O anexo I abrange a IA utilizada como componente de segurança em produtos já regulados pela legislação da UE em matéria de segurança dos produtos, como máquinas, dispositivos médicos e brinquedos. Enquadrar-se num destes domínios não constitui, por si só, um teste de classificação completo: saber se um sistema específico é efetivamente de risco elevado depende dos critérios jurídicos aplicáveis a esse domínio, e não apenas do setor, e nem todos os sistemas de IA utilizados na saúde, no emprego, na educação, nos serviços financeiros ou nos serviços públicos são automaticamente de risco elevado.

Os fornecedores de sistemas de risco elevado têm o conjunto de obrigações mais pesado: um sistema de gestão de riscos mantido ao longo de todo o ciclo de vida do sistema, governação dos dados de treino, validação e teste, documentação técnica, capacidades automáticas de registo de eventos, instruções claras que permitam a supervisão humana, e exatidão, robustez e cibersegurança demonstradas. Os responsáveis pela implantação de sistemas de risco elevado têm um conjunto mais restrito, centrado em utilizar o sistema de acordo com as suas instruções, assegurar a supervisão humana na prática, e monitorizar o seu funcionamento, com obrigações adicionais como uma avaliação de impacto sobre os direitos fundamentais para determinados responsáveis pela implantação (incluindo organismos públicos e utilizações específicas de serviços financeiros).

Quais são as obrigações GPAI?

O Regulamento define um modelo de IA de finalidade geral (GPAI) no artigo 3; o âmbito exato dessa definição legal deve ser verificado no próprio texto do Regulamento ou em orientações oficiais da Comissão, não neste resumo. Em termos práticos, e apenas como descrição explicativa, não como reprodução desse texto legal, isto abrange geralmente modelos com capacidades amplas, capazes de desempenhar uma vasta gama de tarefas e de ser integrados em sistemas de IA a jusante. Os modelos GPAI têm um conjunto distinto de obrigações para os seus fornecedores nos termos do Regulamento, e podem aplicar-se requisitos adicionais consoante a forma como um modelo GPAI é incorporado ou utilizado num sistema de IA a jusante, pelo que as obrigações de um fornecedor de GPAI e as obrigações de um sistema a jusante não são automaticamente as mesmas.

Espera-se que todos os fornecedores de GPAI mantenham documentação técnica, disponibilizem determinadas informações aos fornecedores que integram o modelo a jusante, e publiquem um resumo suficientemente detalhado do conteúdo utilizado no treino, para apoiar as obrigações relacionadas com direitos de autor.

Presume-se, nos termos do artigo 51, que um modelo GPAI tem risco sistémico quando a capacidade de computação cumulativa utilizada no seu treino excede um limiar definido (expresso em operações de vírgula flutuante), e a Comissão pode também designar um modelo como portador de risco sistémico com base noutros critérios. Os fornecedores desses modelos enfrentam obrigações adicionais: avaliação do modelo, incluindo testes adversariais, avaliação e mitigação do risco sistémico, acompanhamento e comunicação de incidentes graves, e garantia de um nível adequado de proteção de cibersegurança. O Serviço Europeu para a IA (European AI Office), criado no âmbito da Comissão Europeia, detém a autoridade de supervisão principal sobre os modelos GPAI e mantém um Código de Conduta voluntário para fornecedores de GPAI que abrange transparência, direitos de autor e segurança (safety and security); é uma ferramenta voluntária destinada a ajudar os fornecedores a demonstrar conformidade, e não, em si mesma, uma determinação de que um fornecedor específico está em conformidade.

Calendário: o que se aplica e quando

As obrigações do Regulamento são introduzidas de forma faseada, e o faseamento já foi ajustado uma vez desde a adoção. À data da última revisão desta página, o calendário de aplicação é o seguinte:

Em 2026, o "Digital Omnibus on AI" da Comissão Europeia (em vigor desde 27 de julho de 2026) alterou o Regulamento para prolongar o calendário de conformidade de risco elevado e simplificar determinadas obrigações administrativas, mantendo intacta a estrutura central baseada no risco e as salvaguardas do Regulamento. Trate qualquer calendário do AI Act, incluindo este, como estando sujeito a orientações adicionais e a possíveis alterações, e verifique as datas atuais junto da própria página da Comissão Europeia antes de considerar uma data específica como definitiva para um sistema específico.

O que acontece se uma organização não cumprir?

O artigo 99 estabelece três níveis de sanções, aplicáveis desde 2 de agosto de 2025: até €35 milhões ou 7% do volume de negócios anual mundial total por violação das práticas proibidas; até €15 milhões ou 3% por incumprimento das obrigações de risco elevado ou dos deveres de transparência do artigo 50; e até €7,5 milhões ou 1% por fornecer informações incorretas, incompletas ou enganosas às autoridades. Para grandes organizações, aplica-se o valor mais elevado entre os dois; estes valores são máximos legais, não montantes automáticos ou fixos, e a coima efetiva num caso concreto depende dos factos específicos e da apreciação da autoridade responsável pela aplicação. O próprio artigo 99 prevê um tratamento mais favorável para as PME, incluindo startups, aplicando o valor mais baixo entre os dois, e o Digital Omnibus de 2026 alargou um tratamento comparável às pequenas empresas de média capitalização (small mid-cap) para os dois níveis de sanções mais baixos.

Por que razão o EU AI Act importa para os líderes tecnológicos

Ponha de lado por um momento os valores das sanções, porque não são, na verdade, a razão mais útil para prestar atenção a este regulamento.

Na prática, o Regulamento está a codificar um conjunto de práticas de engenharia e governação de que a IA de nível de produção já precisava de qualquer forma: uma avaliação de risco documentada, uma linhagem de dados rastreável, registos suficientes para reconstruir o que um sistema fez e porquê, uma supervisão humana efetivamente exercível e não apenas nominal, e uma monitorização que deteta desvios antes de um cliente ou de um regulador o fazer. As organizações que já operam os seus sistemas de IA desta forma têm um avanço que nada tem a ver com estratégia jurídica. As que não o fazem estão a descobrir, muitas vezes no pior momento possível, que "documentamos isso mais tarde" não se sustenta quando um sistema está a tratar decisões que afetam pessoas reais.

Isto não significa que todas as empresas ou todos os sistemas de IA tenham as mesmas obrigações, e vale a pena resistir a ambos os extremos aqui: tratar o Regulamento como irrelevante porque "não estamos num setor regulado", e tratá-lo como uma ameaça existencial que exige um programa de conformidade de emergência independentemente do que a organização realmente faz com IA. A resposta correta é proporcional ao papel real do sistema e à sua classificação de risco, e é exatamente por isso que a questão da aplicabilidade, acima, vem antes de tudo o resto.

A conformidade em IA é mais do que uma checklist

É aqui que a maioria das conversas sobre conformidade falha. Um documento de política que ninguém consegue associar a um controlo real em funcionamento não é prova de nada, e um controlo que nunca foi testado não é, na prática, diferente de não ter controlo nenhum.

Essa cadeia é também, não por coincidência, a conversa sobre arquitetura que tenho com equipas de engenharia independentemente da regulação: a IA de nível de produção exige comportamento mensurável, controlos de segurança, observabilidade e evidência de governação, e não apenas um documento de política guardado numa drive partilhada. Não vou afirmar que sei exatamente o que um determinado regulador aceitará como evidência suficiente em cada caso, porque essa determinação cabe ao regulador e aos factos específicos. O que posso dizer é que uma organização sem comportamento mensurável e sem um registo de evidências não tem nada para oferecer nessa conversa quando ela chegar.

O que é a garantia de IA? Avaliação técnica de sistemas de IA

A garantia de IA (AI assurance) é a prática técnica de avaliar o que um sistema de IA realmente faz, por oposição ao que uma política diz que deveria fazer. É a camada de engenharia que produz a evidência de que a cadeia de governação acima depende, e vale a pena deixar explícito que a avaliação técnica não é, em si mesma, uma determinação de conformidade legal. É um contributo para essa determinação.

Interpretabilidade mecanicista como fonte de evidência

A interpretabilidade mecanicista é um campo de investigação ativo que procura compreender o que acontece no interior de um modelo, e não apenas aquilo que este produz como resultado, utilizando técnicas como a análise de ativações, a atribuição de características (feature attribution), o activation patching, os sparse autoencoders, e intervenções causais para identificar circuitos candidatos que parecem impulsionar um determinado comportamento.

Vale a pena afirmar claramente o que isto oferece e o que não oferece atualmente. Estes métodos conseguem revelar representações internas mensuráveis e construir evidência para uma hipótese sobre o que está a influenciar o resultado de um modelo. Não fornecem atualmente um conhecimento exato dos "pensamentos" de um modelo, uma reconstrução completa do seu raciocínio, uma explicação causal garantida, ou a identificação de um único neurónio definitivamente responsável por um resultado. A própria terminologia do campo reflete isto: as descobertas são descritas como atribuição, influência causal candidata, e evidência de suporte a uma hipótese, não como prova.

Enquadrada com rigor, a interpretabilidade é uma possível fonte de evidência técnica entre várias, útil em conjunto com a avaliação comportamental e a monitorização, não um substituto para estas nem um mecanismo de conformidade por si só.

Construir um Motor de Conformidade e Evidência para o EU AI Act

A ideia central: ligar a avaliação de IA, a evidência técnica e a avaliação de risco ao mapeamento de controlos regulatórios, de modo a que seja o comportamento real e testado do sistema de uma organização, e não apenas um documento de política, que é mapeado em relação aos requisitos do EU AI Act.

A um nível elevado, o pipeline tem este aspeto:

As capacidades previstas incluem o registo de modelos, testes comportamentais e de segurança automatizados, indicadores de risco baseados em interpretabilidade, recolha de evidências, o mapeamento do comportamento testado para controlos específicos do EU AI Act, um trilho de auditoria, relatórios, e quadros de governação configuráveis, de modo a que o mesmo pipeline de evidência possa, ao longo do tempo, mapear-se a mais do que uma norma regulatória ou interna.

Uma coisa que este motor não fará, por design: determinar a conformidade legal em nome de uma organização. O seu resultado é uma avaliação técnica e um mapa de evidências, a matéria-prima de que uma função de conformidade ou jurídica necessita, não um substituto para o julgamento dessa função.

O que isto significa para os líderes de IA

Para quem é este conteúdo

Este conteúdo é escrito principalmente para as organizações e funções que estão ativamente a construir, implementar ou governar sistemas de IA com exposição à UE:

Nem todas as organizações nestas categorias estão legalmente obrigadas por todas as disposições do Regulamento. As obrigações que realmente se aplicam dependem dos fatores específicos abordados acima.

FAQ

Leitura relacionada

Isto liga-se diretamente a AI Security, Agentic AI Security e Production AI, e às questões de economia e arquitetura abordadas em A Economia da IA Autónoma e O Problema do Cartão do Agente.

Fontes e leitura adicional

Regulamento (UE) 2024/1689 (Lei da Inteligência Artificial), texto oficial, EUR-Lex.
Quadro regulatório do AI Act, Comissão Europeia, Estratégia Digital.
Serviço Europeu para a IA, Comissão Europeia.
O AI Omnibus entra em vigor, Comissão Europeia, julho de 2026.

Este conteúdo fornece orientação técnica e educativa e não constitui aconselhamento jurídico, certificação regulatória ou uma garantia de conformidade. Não estabelece o autor como avaliador certificado pela UE, advogado, ou organismo oficial ou parceiro da UE. A aplicabilidade do EU AI Act a uma organização ou sistema específico deve ser avaliada com aconselhamento jurídico qualificado.