---
title: "EU AI Act depois do Digital Omnibus: o calendário real e o plano de 90 dias - OkamiOps Insights"
description: "Em 2 de agosto de 2026 o EU AI Act passou a valer de forma geral e a fiscalização começou. O Digital Omnibus, em vigor desde 27 de julho de 2026, adiou"
url: https://okamiops.com/pt/insights/eu-ai-act-timeline/
lang: pt-BR
alternates:
  en: https://okamiops.com/insights/eu-ai-act-timeline/
  pt-BR: https://okamiops.com/pt/insights/eu-ai-act-timeline/
  de: https://okamiops.com/de/insights/eu-ai-act-timeline/
  x-default: https://okamiops.com/insights/eu-ai-act-timeline/
lastmod: 2026-09-10
---

# EU AI Act depois do Digital Omnibus: o calendário real e o plano de 90 dias

COMPLIANCE · MAR · 2026 · 7 min

Em 2 de agosto de 2026 o EU AI Act passou a valer de forma geral e a fiscalização começou. O Digital Omnibus, em vigor desde 27 de julho de 2026, adiou as regras de alto risco para 2 de dezembro de 2027 — e manteve todo o resto. Se a sua empresa vende para a UE ou processa dados de residentes europeus, o prazo confortável já passou.

- **Categoria**: Compliance
- **Data**: MAR · 2026
- **Leitura**: 7 min
- **Fontes**: 8

## O calendário depois do Digital Omnibus

A lei entrou em vigor em 1 de agosto de 2024 e nunca teve data única. As proibições do Artigo 5 e o dever de alfabetização em IA do Artigo 4 valem desde 2 de fevereiro de 2025. As regras para modelos de uso geral (GPAI) e a designação das autoridades nacionais, desde 2 de agosto de 2025. Em 2 de agosto de 2026 chegou a aplicabilidade geral, com as obrigações de transparência do Artigo 50 e o início da fiscalização.

O Digital Omnibus foi proposto pela Comissão em 19 de novembro de 2025, aprovado pelo Parlamento em 16 de junho de 2026 por 423 votos a favor, 57 contra e 174 abstenções, adotado pelo Conselho em 29 de junho e assinado em 8 de julho. Está em vigor desde 27 de julho de 2026. Ele fez uma mudança grande e uma pequena.

A grande: os sistemas de alto risco do Anexo III — RH, crédito, biometria, educação, serviços essenciais — saíram de 2 de agosto de 2026 para 2 de dezembro de 2027. Os embarcados em produtos regulados do Anexo I saíram de agosto de 2027 para 2 de agosto de 2028. E agora são datas fixas, não mais condicionadas à publicação das normas técnicas harmonizadas.

A pequena: quem já tinha sistema gerador de conteúdo sintético no mercado antes de agosto de 2026 ganhou até 2 de dezembro de 2026 para marcar as saídas. Na mesma data entram duas proibições novas: geração de imagens íntimas não consentidas e de material de abuso sexual infantil.

O que não mudou é justamente o que mais pega PME: transparência, proibições e alfabetização em IA. Ler "adiado" e concluir "não é comigo até 2027" é o erro caro deste ano.

## Quem está no escopo, mesmo sem escritório na Europa

O Artigo 2 não pergunta onde você está. Pergunta onde o sistema chega. Ele alcança quem coloca um sistema de IA no mercado da UE, independentemente de estar estabelecido na União ou em país terceiro; quem o utiliza estando na UE; importadores, distribuidores e representantes autorizados; e — este é o ponto para o Brasil — fornecedores e utilizadores sediados fora da União quando o resultado produzido pelo sistema é usado na União.

Traduzindo: uma empresa em Curitiba que roda triagem de currículos para a subsidiária alemã de um cliente está no escopo. Um SaaS brasileiro cujo modelo de scoring alimenta a decisão de crédito de um cliente em Hamburgo está no escopo. Não é preciso ter CNPJ europeu nem servidor na Irlanda.

O papel importa mais que o tamanho. Fornecedor é quem desenvolve e coloca no mercado sob nome ou marca próprios. Utilizador é quem opera o sistema sob sua autoridade. A maioria das PMEs é utilizadora — e utilizador de sistema de alto risco tem deveres reais: usar conforme as instruções do fornecedor, designar supervisão humana competente, guardar os logs e informar os trabalhadores afetados antes de colocar o sistema em uso.

## Onde a sua empresa cai nas quatro faixas de risco

Inaceitável, proibido desde fevereiro de 2025: pontuação social, manipulação subliminar, raspagem indiscriminada de imagens faciais e reconhecimento de emoções no ambiente de trabalho. Esta última é a que mais surpreende: ferramentas de "análise de sentimento do time" em call center ou em reuniões gravadas caem aqui.

Alto risco, aplicável em 2 de dezembro de 2027: triagem e filtragem de candidaturas, anúncios de vaga direcionados, avaliação de candidatos, decisões sobre promoção e rescisão. Também avaliação de solvabilidade e credit score de pessoas físicas, com exceção expressa dos sistemas usados para detectar fraude financeira. E identificação biométrica remota, categorização biométrica e reconhecimento de emoções fora do trabalho.

Transparência limitada, aplicável desde agosto de 2026: chatbot de atendimento, gerador de texto, imagem, áudio ou vídeo, deepfake. Não exige auditoria nem certificação. Exige aviso.

Risco mínimo: filtro de spam, recomendação de produto, autocompletar, previsão de estoque. Nenhuma obrigação específica. Isso cobre a maior parte do que uma PME de fato usa — e é exatamente por isso que o inventário vem antes do orçamento.

**As quatro faixas de risco, com exemplo de PME** (Art. 5, Anexo III e Art. 50 · EU AI Act)

|  | Exemplo | Obrigação |
| --- | --- | --- |
| Inaceitável · proibido desde fev/2025 | Reconhecimento de emoções no trabalho | Proibido, sem exceção |
| Alto risco · aplicável em dez/2027 | Triagem de currículos, scoring de crédito | Documentação, supervisão humana, logs (Anexo III) |
| Transparência limitada · desde ago/2026 | Chatbot de atendimento, gerador de conteúdo, deepfake | Aviso ao usuário (Art. 50); sem auditoria |
| Risco mínimo | Filtro de spam, recomendação de produto, autocompletar | Nenhuma obrigação específica |

## O que "obrigação de transparência" exige na prática

Artigo 50(1): se o sistema interage diretamente com pessoas, elas precisam saber que estão falando com uma IA, salvo quando isso for óbvio para alguém razoavelmente informado. Na prática, uma frase na abertura da conversa e um rótulo permanente no widget. Não é uma cláusula enterrada nos termos de uso.

Artigo 50(2): saídas sintéticas — áudio, imagem, vídeo e texto — precisam ser marcadas em formato legível por máquina e detectáveis como geradas artificialmente. Isso é trabalho de engenharia, não de design: metadados de proveniência ou marca d'água técnica, com solução robusta e interoperável. Um selo visual no canto da imagem não cumpre o artigo.

Artigo 50(3) e 50(4): quem opera reconhecimento de emoções ou categorização biométrica informa as pessoas expostas. Quem publica deepfake declara que o conteúdo é artificial. Texto gerado por IA publicado sobre assunto de interesse público também exige divulgação, salvo se passou por revisão editorial humana com responsável identificado.

**As quatro obrigações de transparência do Artigo 50**

- **art-50-1** — Art. 50(1) — avisar que é uma IA em interação direta (chatbot) (alto)
- **art-50-2** — Art. 50(2) — marcar saída sintética (áudio, imagem, vídeo, texto) de forma legível por máquina (alto)
- **art-50-3** — Art. 50(3) — informar quem é exposto a reconhecimento de emoções ou categorização biométrica (médio)
- **art-50-4** — Art. 50(4) — declarar deepfake e texto de IA sobre assunto de interesse público (médio)

A informação tem de ser clara e chegar no primeiro contato. Descumprir aqui custa até 15 milhões de euros ou 3% do faturamento global anual, o que for maior. Prática proibida custa até 35 milhões ou 7%. Informação incorreta às autoridades, até 7,5 milhões ou 1%. Para PMEs e startups o teto é o menor dos dois valores, não o maior — é a única concessão de porte que a lei faz nas multas.

**As multas do Artigo 99**

- **€35M ou 7%** — Prática proibida (Art. 5)
- **€15M ou 3%** — Descumprir transparência (Art. 50)
- **€7,5M ou 1%** — Informação incorreta às autoridades
- **PME/startup** — paga o teto menor dos dois valores, não o maior

## 90 dias, cinco entregas

Dias 1 a 15, inventário. Uma planilha com toda IA em uso: ferramenta, fornecedor, quem usa, que decisão apoia, que dados entram, se a saída chega a alguém na União. Inclua o que TI não comprou — a extensão de navegador do time comercial e o assistente dentro do CRM contam.

Dias 16 a 30, classificação. Cada linha recebe uma faixa de risco e a justificativa em duas frases. Quase tudo cai em mínimo ou transparência limitada. O que cair em alto risco é a sua lista de trabalho real, e costuma ter três ou quatro itens, não trinta.

Dias 31 a 55, documentação. Para cada item de alto risco: finalidade, dados de treino e de teste, métricas de desempenho, limitações conhecidas, ponto de supervisão humana e plano de gestão de risco. PMEs podem usar o formulário simplificado de documentação técnica previsto para o Anexo IV. Não é preciso reproduzir o formato de uma multinacional.

Dias 56 a 75, contratos. Nos acordos com fornecedores de IA, exija: classificação de risco declarada por escrito, instruções de uso, prazo de notificação de incidente grave, direito de auditoria documental e compromisso de marcação de conteúdo sintético. É essa cláusula que você cola no questionário de conformidade do cliente europeu — e é ela que destrava a venda.

Dias 76 a 90, logs. Registre entradas, saídas, versão do modelo e quem aprovou a decisão, com período de retenção definido. Log é a prova que transforma política em conformidade. É também o item que falta em quase toda PME que já escreveu a política.

**90 dias, cinco entregas**

1. **Dias 1–15 · Inventário** — Planilha com toda IA em uso: ferramenta, fornecedor, quem usa, que decisão apoia, que dados entram, se a saída chega à União.
2. **Dias 16–30 · Classificação** — Cada linha recebe uma faixa de risco e justificativa em duas frases. O que cair em alto risco costuma ter três ou quatro itens, não trinta.
3. **Dias 31–55 · Documentação** — Para cada item de alto risco: finalidade, dados, métricas, limitações, supervisão humana e plano de risco — formulário simplificado do Anexo IV.
4. **Dias 56–75 · Contratos** — Exija do fornecedor: classificação de risco por escrito, instruções de uso, prazo de incidente, direito de auditoria, marcação de conteúdo sintético.
5. **Dias 76–90 · Logs** — Registre entradas, saídas, versão do modelo e quem aprovou a decisão, com retenção definida.

## Onde não gastar — e o que o Brasil vai fazer

Não contrate certificação de alto risco para um chatbot de FAQ. Não monte comitê de ética com reunião mensal antes de ter o inventário pronto. Não pague auditoria externa até dezembro de 2027 se nada seu é Anexo III. E não espere a norma harmonizada perfeita para começar: os prazos agora são fixos e não dependem mais dela.

Use o que a lei reserva a quem é pequeno. O Artigo 62 garante acesso prioritário e gratuito aos sandboxes regulatórios, taxas de avaliação de conformidade reduzidas em proporção ao porte, e canais dedicados junto às autoridades nacionais para tirar dúvidas. Os Estados-Membros têm até 2 de agosto de 2027 para ter ao menos um sandbox operacional.

No Brasil, o PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e segue na comissão especial da Câmara, aguardando parecer do relator; a votação foi empurrada para depois das eleições de outubro de 2026. O texto copia a lógica europeia de faixas de risco e prevê multa de até R$ 50 milhões por infração. Quem se organiza para a UE agora chega pronto ao marco brasileiro. O contrário não funciona.

E boa parte do trabalho já está paga. Inventário de sistemas, base legal, registro de operações de tratamento e log de acesso são exigências que LGPD e GDPR já fazem há anos. O AI Act acrescenta duas coisas: classificar por risco e marcar a saída. Quem tem o primeiro conjunto em pé começa a corrida com metade do percurso andado.

**Aplicabilidade do EU AI Act**

- **AGO · 2024** — Entrada em vigor (1 ago)
- **FEV · 2025** — Proibições do Art. 5 e alfabetização em IA
- **AGO · 2025** — GPAI, autoridades nacionais e regime de multas
- **AGO · 2026** — Aplicabilidade geral: transparência (Art. 50) e fiscalização
- **SET · 2026** — Hoje
- **DEZ · 2026** — Marcação de conteúdo sintético legado e novas proibições
- **DEZ · 2027** — Alto risco do Anexo III (adiado pelo Digital Omnibus)
- **AGO · 2028** — Alto risco embarcado em produtos (Anexo I)

> **O que fazer amanhã**: Faça o inventário de IA nesta semana e classifique cada item por faixa de risco: transparência já é fiscalizável e o que for Anexo III tem até 2 de dezembro de 2027 para documentação, cláusula de fornecedor e log.

## Fontes desta análise

- **01**: [EUR-Lex · Regulation (EU) 2024/1689 (Artificial Intelligence Act)](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202401689)
- **02**: [European Commission · AI Act implementation timeline](https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act)
- **03**: [European Parliament · Legislative Train: Digital Omnibus on AI](https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai)
- **04**: [European Commission · General-Purpose AI Code of Practice](https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai)
- **05**: [EU AI Act · Article 50: Transparency obligations](https://artificialintelligenceact.eu/article/50/)
- **06**: [EU AI Act · Article 99: Penalties](https://artificialintelligenceact.eu/article/99/)
- **07**: [EU AI Act · Article 62: Measures for providers and deployers, in particular SMEs](https://artificialintelligenceact.eu/article/62/)
- **08**: [Câmara dos Deputados · PL 2338/2023 tramitação](https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262)

## Continue lendo

- **CONSULTORIA · AGO · 2026**: [Quanto custa implementar IA em 2026: as três faixas, com as contas abertas](https://okamiops.com/pt/insights/quanto-custa-implementar-ia-2026/) (6 min)
- **GATEWAY · JUL · 2026**: [Output de LLM varia 106× entre fornecedores. Sua PME paga o teto.](https://okamiops.com/pt/insights/llm-cost-spread-2026/) (6 min)
- **APPSEC · ABR · 2026**: [OWASP LLM Top 10 (2025): cinco riscos que já viraram incidente — e como cobrir cada um](https://okamiops.com/pt/insights/owasp-llm-top-10-2025/) (8 min)

## Sem opinião solta. Cada número tem fonte, cada artigo termina com o que fazer.

Escrevemos o que aprendemos resolvendo o problema em cliente. Se o seu caso parece com algum destes, a conversa começa por aqui.