Garanta a conformidade dos seus sistemas de IA com o AI Act europeu

As práticas proibidas e o letramento em IA valem a partir de 2 de fevereiro de 2025, e as obrigações dos modelos de uso geral, a partir de 2 de agosto de 2025. As obrigações de transparência do artigo 50 — informar que o interlocutor é uma máquina, marcar os conteúdos gerados, sinalizar um deepfake — valem a partir de 2 de agosto de 2026. Já o Digital Omnibus, que entrou em vigor em 27 de julho de 2026, adiou as obrigações dos sistemas de alto risco do anexo III para 2 de dezembro de 2027, e para 2 de agosto de 2028 no caso de IA integrada a um produto já regulamentado.

Muda o calendário, não a carga de trabalho. Um inventário completo, a classificação de cada sistema e a revisão da documentação levam vários meses. E as duas novas datas são definitivas: o Parlamento Europeu e o Conselho rejeitaram a proposta da Comissão de condicionar a aplicação à publicação das normas harmonizadas. As obrigações de transparência, por sua vez, já são exigíveis.

O fornecedor desenvolve um sistema de IA e o coloca no mercado; o responsável pela implantação o utiliza em um contexto profissional sem tê-lo desenvolvido. Uma empresa que constrói um produto sobre a API de um modelo deixa de ser responsável pela implantação e passa a ser fornecedora assim que comercializa um sistema próprio, com seu nome. Essa classificação é fundamental: é ela que determina o alcance das suas obrigações.

O anexo III lista oito áreas: biometria, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, acesso a serviços essenciais — crédito, seguros, benefícios sociais, serviços de emergência —, aplicação da lei, migração e controle de fronteiras, administração da justiça e processos democráticos. Um sistema enquadrado no anexo III pode ser excluído da categoria de alto risco, mas a avaliação deve ser fundamentada e registrada na base de dados europeia.

Para uma organização que identifica de dois a cinco sistemas de alto risco, são necessários de quatro a sete meses, da definição de escopo até a conformidade documentada. O prazo aumenta quando há muitos usos por fora da área de TI ou quando não existe mapeamento. Adaptamos o ritmo aos seus prazos.

Você tem um único interlocutor do lado da Galadrim, que conduz o projeto. O escritório de advocacia parceiro atua na definição dos papéis, nos contratos com seus fornecedores e clientes, na articulação com o GDPR, na propriedade intelectual dos conteúdos produzidos e no regime de responsabilidade, em coordenação com nossas equipes técnicas. Você não precisa coordenar dois prestadores de serviços.

Três tetos, sempre aplicando o maior dos dois valores: 35 milhões de euros ou 7% do faturamento anual mundial para práticas proibidas; 15 milhões de euros ou 3% para outros descumprimentos — inclusive de transparência —; e 7,5 milhões de euros ou 1% para informações incorretas fornecidas às autoridades. PMEs e pequenas empresas de média capitalização (small mid-caps) têm tetos reduzidos.

O AI Act não exige isso em si: quem regula a localização dos dados é o GDPR e, se for o caso, a regulamentação do seu setor. Na prática, a questão surge assim que um modelo externo processa dados pessoais ou sensíveis. Dependendo do caso, anonimizamos os dados antes da chamada, hospedamos na União Europeia ou implementamos um modelo open source auto-hospedado — foi o que fizemos para o Ministério das Forças Armadas da França.