EU AI Act 2026: Status, prazos, o que fazer agora

O EU AI Act está em vigor. Três prazos já expiraram, e o deadline crítico de High-Risk foi adiado por lei para 2 de dezembro de 2027. Status atual, obrigações e o que as empresas devem fazer agora.

Segundo Gartner (2025), menos de 10% das organizações sujeitas ao EU AI Act completaram seu inventário de sistemas de IA, o passo fundamental para conformidade. A Comissão Europeia estima que mais de 300.000 empresas na UE implantam sistemas de IA que podem se enquadrar no escopo regulatório.

A primeira lei abrangente de IA do mundo

O EU AI Act está em vigor desde agosto de 2024. É a primeira legislação abrangente do mundo para regular a inteligência artificial e se aplica a toda organização que desenvolva, implante ou forneça sistemas de IA na União Europeia. Em agosto de 2026, estamos no meio da fase de implementação: três prazos já expiraram - proibições, GPAI e, desde 2 de agosto, as obrigações de transparência - e o prazo de alto risco foi adiado para 2 de dezembro de 2027. Quem já se preparou não perdeu nada; quem começa agora, começa com folga em vez de pressa.

Para empresas brasileiras com operações na Europa, o EU AI Act é diretamente relevante. Em Portugal, como Estado-membro da UE, o regulamento aplica-se integralmente (PT: aplicação direta do Regulamento UE). Para o mercado brasileiro, embora não haja equivalente direto, a LGPD (PT: RGPD) já estabelece obrigações para sistemas automatizados de decisão. Este artigo oferece uma visão objetiva do estado atual: o que já vale, o que vem e quando, quais obrigações afetam sua empresa e o que você deve fazer nos próximos 90 dias.

Cronograma: Seis marcos

A implementação escalonada do EU AI Act se estende por quatro anos, de agosto de 2024 a agosto de 2028. Cada marco ativa obrigações diferentes.

Agosto 2024        Fevereiro 2025     Agosto 2025      Agosto 2026        Dezembro 2027      Agosto 2028
|                  |                  |                |                  |                  |
v                  v                  v                v                  v                  v
Entrada em vigor   Práticas de IA     Obrigações       Obrigações de      Sistemas           Sistemas
                   proibidas +        GPAI             transparência      High-Risk          High-Risk
                   competência IA                      (art. 50)          Anexo III          Anexo I
ATIVO              ATIVAS             ATIVAS           ATIVAS             2027               2028

Para empresas, isso significa: quatro etapas já são juridicamente vinculantes, incluindo as obrigações de transparência desde 2 de agosto de 2026. A etapa mais crítica para a maioria, a de alto risco, entra em vigor em 2 de dezembro de 2027. A preparação tipicamente requer de quatro a seis meses - o prazo maior é uma oportunidade de fazer o trabalho direito, não um motivo para adiá-lo.

O que já vale

Práticas de IA proibidas (desde fevereiro 2025)

Desde 2 de fevereiro de 2025, determinadas aplicações de IA estão completamente proibidas na UE. Isso abrange:

• Social Scoring: Sistemas de IA que avaliam pessoas com base em seu comportamento social e derivam desvantagens em contextos não relacionados.
• IA manipulativa: Sistemas que manipulam o comportamento humano por técnicas subliminais, como dark patterns que forçam decisões de compra ou consentimentos.
• Biometria em tempo real em espaços públicos: A identificação biométrica em tempo real é fundamentalmente proibida. Exceções restritas existem para forças de segurança em casos de crimes graves, antiterrorismo e busca de pessoas desaparecidas, cada qual com autorização judicial.
• Reconhecimento de emoções no local de trabalho e instituições educacionais: Sistemas de IA que detectam emoções de trabalhadores ou estudantes são inadmissíveis.
• Predictive Policing baseado em características individuais: Avaliações de risco criminal baseadas exclusivamente em atributos pessoais.

Sanções: Infrações às proibições são punidas com multas de até 35 milhões de euros ou 7 por cento do faturamento anual global, o que for maior.

Para a maioria das empresas, essas proibições não exigem ações imediatas, pois as aplicações descritas raramente ocorrem no contexto empresarial. Mas a verificação é obrigatória: assegure-se de que nenhum de seus sistemas de IA se enquadra nessas categorias.

Competência em IA (art. 4, desde fevereiro 2025)

Em paralelo às proibições, desde fevereiro de 2025 vigora a obrigação do Artigo 4. Sua redação mudou: o Regulamento (UE) 2026/1744 substituiu o dever de assegurar um nível suficiente de competência em IA pelo dever de adotar medidas para promover essa competência entre quem opera, implanta ou utiliza sistemas de IA. É uma obrigação de meios - o texto deixa explícito que provedores e implementadores não são obrigados a garantir um determinado nível para nenhuma pessoa individualmente.

O que isso significa na prática:

• Obrigação de agir: As empresas devem conseguir demonstrar quais medidas de capacitação adotaram - não que cada colaborador atingiu um patamar definido.
• Obrigação de documentação: Conteúdos de treinamento, listas de participantes e intervalos de atualização devem estar documentados. É essa documentação que comprova a medida.
• Adequação ao contexto: As medidas devem corresponder ao papel. Um e-learning genérico não é uma medida séria para os responsáveis que selecionam e respondem pelos sistemas de IA.

A obrigação é frequentemente subestimada por não impor requisitos técnicos elevados. Mas já é exigível. E aplica-se a toda organização que utilize IA, independentemente da classe de risco do sistema.

Obrigações GPAI (desde agosto 2025)

Desde agosto de 2025, estão em vigor as obrigações de transparência e documentação para modelos de IA de Propósito Geral (GPAI). Estas afetam primariamente os provedores de modelos de linguagem, não as organizações que os utilizam. Mas como deployer, como organização que utiliza um modelo GPAI em suas próprias aplicações, você tem obrigações:

• Avisos de uso: Se sua aplicação gera conteúdo que pode ser confundido com conteúdo criado por humanos, você deve sinalizá-lo.
• Transparência perante os usuários: Pessoas que interagem com um sistema de IA devem ser informadas.
• Infraestrutura de governance: Você deve conseguir documentar quais modelos GPAI utiliza, em qual contexto e com quais medidas de proteção.

As obrigações GPAI exigem um inventário limpo: Quais modelos de IA você utiliza? De qual provedor? Em qual aplicação? Com qual classificação de risco? Essas informações formam a base para a conformidade High-Risk que entra em vigor em dezembro de 2027.

Obrigações de transparência (desde agosto de 2026)

Desde 2 de agosto de 2026 valem as obrigações de transparência do Artigo 50 - o bloco de obrigações mais recente a entrar em vigor, e o único que o Digital Omnibus deixou intacto. Três deveres concretos: informar a pessoa de que ela interage com um sistema de IA; informá-la quando um sistema de reconhecimento de emoções ou de categorização biométrica for aplicado a ela; e marcar como artificial o conteúdo de áudio, imagem, vídeo ou texto gerado por IA, em formato legível por máquina.

Para os sistemas que geram conteúdo sintético e já haviam sido colocados no mercado antes de 2 de agosto de 2026, o Regulamento (UE) 2026/1744 concede prazo até 2 de dezembro de 2026 para a marcação. Na mesma data entra em vigor a nova proibição de deepfakes sexualizados não consentidos.

Sistemas High-Risk: o prazo mais crítico (2 de dezembro de 2027)

O deadline High-Risk é o prazo mais crítico do EU AI Act para a maioria das organizações. Ele já não é 2 de agosto de 2026: o Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026, o transferiu para 2 de dezembro de 2027 para os sistemas autônomos do Anexo III e para 2 de agosto de 2028 para os componentes embarcados em produtos regulados do Anexo I. A partir dessas datas, todos os sistemas de IA que se enquadram nos respectivos anexos devem estar plenamente em conformidade. Os requisitos são extensos.

Quais sistemas se enquadram em High Risk?

O Anexo III do EU AI Act define oito áreas em que sistemas de IA são classificados como de alto risco. As mais relevantes para empresas:

• Emprego, gestão de pessoal e acesso ao trabalho autônomo: Sistemas de IA para vagas de emprego, seleção de candidatos, avaliação de desempenho, decisões de promoção e desligamentos.
• Capacidade de crédito e seguros: Avaliação automatizada de crédito, scoring de risco.
• Identificação biométrica: Reconhecimento facial, identificação por voz, inclusive em espaços não públicos.
• Infraestrutura crítica: Sistemas de IA em energia, água, transporte, telecomunicações.
• Educação e formação profissional: Avaliação automatizada de provas, controle de acesso a instituições educacionais.

Requisitos para sistemas High-Risk

Se algum de seus sistemas de IA é classificado como High Risk, você deve atender os seguintes requisitos até o prazo de alto risco - 2 de dezembro de 2027 para o Anexo III, 2 de agosto de 2028 para o Anexo I:

1. Sistema de gestão de riscos: Um sistema documentado para identificar, analisar e mitigar riscos ao longo de todo o ciclo de vida do sistema de IA.
2. Governance de dados: Requisitos sobre qualidade, representatividade e exatidão dos dados de treinamento. Ao utilizar modelos pré-treinados: documentação da procedência dos dados e do ajuste fino.
3. Documentação técnica: Documentação abrangente do sistema antes da implantação: arquitetura, procedimentos de treinamento, métricas de desempenho, procedimentos de teste, limitações.
4. Obrigações de registro: Registro automático de todos os eventos relevantes (logging) para garantir a rastreabilidade das decisões.
5. Transparência: Instruções de uso para deployers que permitam uma utilização adequada.
6. Supervisão humana (Human Oversight): Medidas técnicas que permitam supervisão efetiva por pessoas. O Decision Layer é uma arquitetura que implementa tecnicamente esse requisito.
7. Exatidão, robustez, cibersegurança: O sistema deve entregar de forma confiável o desempenho declarado e estar protegido contra manipulação.
8. Avaliação de conformidade: Para determinadas categorias, é necessária uma avaliação por um organismo notificado (Conformity Assessment Body). Para outras, uma autoavaliação é suficiente.

Sanções: Infrações às obrigações High-Risk são punidas com multas de até 15 milhões de euros ou 3 por cento do faturamento anual global.

Relevância especial para RH

A área de Recursos Humanos é o departamento onde aplicações de IA mais frequentemente se enquadram na categoria High-Risk. Isso se deve ao Anexo III, ponto 4 - Emprego e gestão de pessoal. A classificação cobre:

Screening automatizado de candidaturas: High Risk. Qualquer sistema de IA que pré-selecione, avalie ou filtre candidaturas se enquadra na categoria High-Risk. Independentemente de a decisão final ser tomada por uma pessoa. Já a pré-seleção está regulada.

Avaliações de desempenho assistidas por IA: High Risk. Quando sistemas de IA analisam dados de desempenho e derivam avaliações ou preparam avaliações, é High Risk. Isso se aplica também a sistemas que apenas emitem recomendações.

Predictive Attrition: High Risk. Sistemas de IA que preveem quais colaboradores provavelmente deixarão a organização processam dados pessoais para derivar decisões de emprego. É High Risk.

Otimização automática de escalas: potencialmente High Risk. Se um sistema de IA cria escalas de turno processando preferências individuais, dados de desempenho ou informações de saúde, pode se enquadrar em High Risk. A classificação depende do escopo concreto dos dados.

Para departamentos de RH, isso significa: inventarie todos os sistemas de IA utilizados em contextos de emprego. Revise a classificação. Inicie a preparação de compliance: o tempo até o prazo de alto risco (2 de dezembro de 2027) deve ser usado para alcançar plena conformidade High-Risk com calma. No Brasil, a CLT prevê participação sindical em mudanças tecnológicas (PT: o Código do Trabalho prevê informação e consulta da Comissão de Trabalhadores). Mais informações sobre a interação entre IA e RH em HR & AI Agents.

Digital Omnibus: o adiamento é direito vigente

A Comissão Europeia propôs no final de 2025 um pacote Digital Omnibus que, entre outras coisas, adia os prazos High-Risk do EU AI Act. O motivo declarado do adiamento: as normas harmonizadas e as estruturas nacionais de fiscalização não estavam prontas na data original. O pacote também simplifica obrigações de reporte, eleva limiares para PMEs e reescreve o art. 4, que passou de dever de assegurar competência em IA a dever de adotar medidas para promovê-la.

Status (agosto de 2026): o processo está concluído. O Regulamento (UE) 2026/1744 foi publicado no Jornal Oficial da UE em 24 de julho de 2026 e está em vigor desde 27 de julho de 2026. O prazo de alto risco do Anexo III é 2 de dezembro de 2027; o do Anexo I, 2 de agosto de 2028. As obrigações de transparência não foram adiadas e valem desde 2 de agosto de 2026. O quadro de sanções permanece inalterado: até 35 milhões de euros ou 7% do faturamento anual global para as práticas proibidas.

A recomendação: trate o novo prazo como o que ele é - direito vigente, não expectativa. A classificação de alto risco em si permanece inalterada, e o inventário, a governance de dados e o Human Oversight continuam sendo o mesmo trabalho. O que mudou é que ele pode ser feito com calma até dezembro de 2027, enquanto as obrigações de transparência já precisam estar cumpridas hoje.

Recomendação prática: Inicie um inventário de sistemas de IA

Independentemente de seus sistemas de IA se enquadrarem em High Risk ou não: o primeiro passo é sempre o mesmo. Você precisa de um inventário completo de todos os sistemas de IA na sua organização.

O que deve ser registrado

Para cada sistema de IA, documente:

• Designação e descrição do sistema: O que o sistema faz? Qual processo ele suporta?
• Provedor e modelo: Qual modelo de IA é utilizado? De qual provedor? Cloud API ou self-hosted?
• Papel da sua organização: Você é provider (provedor), deployer (operador) ou ambos?
• Classificação de risco: O sistema se enquadra em alguma das categorias do Anexo III (High Risk)? Nas proibições do Artigo 5? Ou trata-se de um sistema de risco limitado?
• Pessoas afetadas: Quais pessoas são afetadas pelas decisões ou resultados do sistema?
• Processamento de dados: Quais dados o sistema processa? Dados pessoais? Segredos comerciais?
• Medidas de proteção: Quais medidas técnicas e organizacionais estão implementadas? Human Oversight? Audit Trail?

Cronograma

Um inventário de sistemas de IA para uma organização de médio porte é viável em quatro a oito semanas. O esforço depende do número de sistemas, do estado da documentação e da coordenação interna. Comece com os sistemas óbvios, as ferramentas de IA oficialmente adquiridas, e depois expanda para Shadow AI: sistemas de IA que os colaboradores utilizam por conta própria sem que o departamento de TI saiba.

O inventário não é uma tarefa única. Deve ser atualizado continuamente, porque novos sistemas são adicionados, sistemas existentes são modificados e a avaliação regulatória evolui. A infraestrutura de governance deve ser projetada para que o inventário permaneça um documento vivo.

Resumo: O que você deve fazer agora

1. Revise as proibições. Assegure-se de que nenhum de seus sistemas de IA se enquadra nas práticas proibidas desde fevereiro de 2025. A partir de 2 de dezembro de 2026 soma-se a proibição de deepfakes sexualizados não consentidos.
2. Cumpra as obrigações de transparência. Elas valem desde 2 de agosto de 2026: informe a interação com IA, informe o uso de reconhecimento de emoções, marque o conteúdo gerado por IA. É o prazo que já passou.
3. Documente as medidas de competência em IA. O art. 4 exige medidas de promoção, não um nível garantido por pessoa - mas as medidas precisam existir e estar documentadas.
4. Crie um inventário de sistemas de IA. Registre todos os sistemas de IA, seus provedores, contexto de uso e classificação de risco. Prazo: quatro a oito semanas.
5. Identifique os sistemas High-Risk. Revise especialmente a área de RH, decisões de crédito e processos automatizados com impacto direto sobre pessoas.
6. Inicie a conformidade High-Risk. Para sistemas sob o Anexo III: estabeleça sistema de gestão de riscos, governance de dados, documentação técnica e Human Oversight. Deadline: 2 de dezembro de 2027 (Anexo I: 2 de agosto de 2028). O prazo maior é tempo de trabalho, não de espera - a classificação de alto risco permanece e as obrigações continuam sendo exigíveis.

Gosign apoia organizações na conformidade com o EU AI Act, do inventário de sistemas à avaliação de conformidade. Se você quer saber onde sua organização está, fale conosco.

Agendar reunião. 30 minutos para avaliar seu status de compliance.

Bert Gogolin

Diretor Executivo, Gosign

AI Governance Briefing

IA empresarial, regulamentação e infraestrutura - uma vez por mês, diretamente de mim.

Endereço de emailInscrever-se

Sem spam. Cancelável a qualquer momento. Política de privacidade