EU AI Act: o calendário real e o que isso significa para empresas brasileiras
O AI Act entrou em vigor em agosto/2024 com aplicabilidade faseada. Em fevereiro/2025 práticas proibidas já valem. Em agosto/2026 a maior parte das obrigações entra em vigor. Empresas brasileiras que vendem para a UE ou processam dados de cidadãos europeus precisam decidir o posicionamento agora — não em 2027.
A estrutura de risco do AI Act tem quatro níveis: inaceitável (proibido — scoring social, manipulação subliminar), alto (saúde, crédito, RH, infraestrutura crítica — exige documentação rigorosa, supervisão humana, log de atividade), transparência limitada (chatbots, deepfakes — exige rotulagem) e mínimo (filtros de spam, jogos — sem obrigação).
Para PMEs, o impacto direto vem por dois caminhos: (1) se você opera ou vende para UE com qualquer feature de IA, precisa classificar o risco e documentar; (2) se você é fornecedor B2B de uma empresa europeia, vai receber o questionário de conformidade dela e precisa responder — sem isso, a empresa não te contrata.
Atualização de junho/2026: o Digital Omnibus foi aprovado (Parlamento em 16/06, Conselho em 29/06) e adiou as obrigações de alto risco — Anexo III standalone para dez/2027 e sistemas embarcados em produtos para ago/2028. Mas a aplicabilidade geral de agosto/2026 foi mantida, incluindo as obrigações de transparência do Artigo 50 (rotular interação com IA e deepfakes). E 80% dos controles exigidos se sobrepõem a ISO 27001, GDPR e LGPD — quem instrumentou os primeiros já tem caminho andado.
Se sua empresa toca cliente UE com qualquer IA, a documentação precisa estar pronta antes de agosto/2026 — não depois.