Menos de dois anos após a entrada em vigor do AI Act, a União Europeia (UE) revisou parte relevante de sua arquitetura regulatória. O regulamento (UE) 2026/1744, denominado “Digital Omnibus on AI”, não abandona o modelo baseado em riscos e nem reduz a proteção dos direitos fundamentais. Seu objetivo é pragmático: ajustar prazos, reduzir sobreposições e distribuir com maior clareza as responsabilidades ao longo da cadeia de inteligência artificial.
A alteração mais visível está no calendário. As principais obrigações relativas aos sistemas de alto risco do Anexo III -empregados, por exemplo, em recrutamento, educação, concessão de crédito e acesso a serviços essenciais – passarão a ser exigíveis em 2 de dezembro de 2027. Para sistemas de IA incorporados a produtos regulados, a aplicação foi postergada para 2 de agosto de 2028.
Esses adiamentos não representam recuo regulatório nem justificam a interrupção de programas de conformidade. Ao contrário, reconhecem que normas complexas dependem de padrões técnicos, fiscalização e articulação com regulações setoriais. Quem deixar o tema para a última hora poderá descobrir que o maior obstáculo não será redigir políticas internas, mas obter de fornecedores as informações necessárias para demonstrar conformidade.
Ensinamentos para o Brasil
Esse é um dos principais ensinamentos do Digital Omnibus para o mercado brasileiro. Prestadores de sistemas de alto risco e fornecedores de modelos, ferramentas, serviços ou componentes deverão estabelecer por escrito as informações, capacidades técnicas, acessos e formas de assistência necessários ao cumprimento do AI Act. A conformidade deixa de ser responsabilidade isolada de quem coloca o sistema no mercado e passa a depender de uma rede de obrigações contratuais.
Empresas brasileiras podem integrar essa cadeia mesmo sem oferecer sistemas na UE. Desenvolvedores, provedores de modelos, empresas de infraestrutura, integradores e clientes corporativos precisarão negociar cláusulas sobre documentação técnica, limitações conhecidas, modos de falha, testes, auditoria, segurança e cooperação regulatória. Contratos que tratem a tecnologia como “segredo absoluto”, sem mecanismos de transparência e colaboração, tendem a se mostrar insuficientes.
Lei de IA reduz duplicidades
A revisão europeia também reduz duplicidades ao permitir o aproveitamento de requisitos equivalentes previstos em normas setoriais, avaliações sobre proteção de dados e controles de cibersegurança. Ao mesmo tempo, fortalece o AI Office e proíbe sistemas destinados à geração de conteúdo íntimo ou sexual não consensual e de material de abuso sexual infantil. Simplificação, portanto, não equivale à desregulação.
No Brasil, embora ainda não exista uma lei geral de inteligência artificial em vigor, não é possível falar em vazio jurídico. Sistemas de IA já devem observar a Constituição Federal e suas garantias de dignidade, igualdade, privacidade, devido processo e não discriminação. Conforme a aplicação, também incidem o Código Civil, o Código Penal, o Código de Defesa do Consumidor, a Lei de Direitos Autorais, o Marco Civil da Internet, a LGPD e normas trabalhistas, concorrenciais e setoriais.
A incerteza sobre o texto final do PL 2.338/2023, portanto, não deve servir de motivo para adiar a governança. Decisões automatizadas podem afetar consumidores, empregados, candidatos, pacientes e titulares de dados hoje. Conteúdos gerados por IA podem violar direitos autorais, personalidade, honra e imagem hoje. Tratamentos inadequados de dados pessoais, discriminação algorítmica, publicidade enganosa, falhas de segurança e danos decorrentes de decisões automatizadas já podem gerar responsabilidade civil, administrativa e penal.
Estruturação de governança
Iniciar a governança não exige aguardar todos os detalhes do futuro marco legal. As empresas já podem mapear os sistemas utilizados, identificar finalidades e responsáveis, classificar riscos, avaliar fornecedores, definir critérios de supervisão humana, documentar testes e limitações, estabelecer controles de segurança, organizar respostas a incidentes e revisar contratos. Essas medidas reduzem riscos atuais e criam uma base adaptável às obrigações que vierem a ser aprovadas.
Para o legislador brasileiro, o Digital Omnibus demonstra que regular IA não se resume a classificar riscos e estabelecer multas. É preciso prever transições factíveis, coordenar autoridades, compatibilizar normas setoriais, estimular padrões técnicos e definir quem produzirá cada evidência de conformidade ao longo da cadeia.
Para as empresas, porém, a mensagem é imediata: o processo legislativo pode ser incerto, mas os riscos e deveres jurídicos já existem. A escolha não está entre governar a IA agora ou apenas quando surgir a lei específica, mas entre estruturar essa governança preventivamente ou fazê-lo depois que uma falha, fiscalização ou litígio revelar que a espera se revelou prejudicial.
*Caio C. C. Lima é sócio do VLK Advogados.
