O AI Act (Regulamento (UE) 2024/1689) consolida-se como o primeiro marco legal abrangente sobre inteligência artificial e tem por objetivo promover, na Europa, uma IA confiável, capaz de conciliar segurança e direitos fundamentais com investimento e inovação. Sua aplicação, contudo, é gradual, e o regulamento organiza-se em quatro níveis de risco: inaceitável, alto, limitado (ou de transparência) e mínimo, prevendo que as obrigações entrem em vigor em momentos distintos, conforme o grau de risco de cada sistema. A implementação e a fiscalização ficam a cargo da AI Office, que concentra a supervisão dos modelos de propósito geral (GPAI), e das autoridades nacionais, responsáveis pelas demais obrigações.
É essa gradação de risco que comanda a aplicação escalonada da lei: quanto mais alto o risco de um sistema, mais rígidas as obrigações a que se sujeita.
No nível de risco inaceitável, o AI Act proíbe nove práticas tidas como ameaças claras à segurança e aos direitos fundamentais, como a manipulação de vulnerabilidades, a pontuação social, o reconhecimento de emoções no trabalho e em escolas e a identificação biométrica remota em tempo real pela polícia em espaços públicos. A mais recente delas, acrescentada pelo Digital Omnibus on AI e prevista para o fim deste ano, alcança justamente os sistemas que geram conteúdo íntimo sem consentimento ou material de abuso sexual infantil, incluindo os apps de “nudificação”.
Um degrau abaixo estão os sistemas de alto risco, que abrangem áreas sensíveis como infraestrutura crítica, educação, emprego, biometria, serviços essenciais, aplicação da lei, migração e justiça. Não são proibidos, mas ficam sujeitos às obrigações mais rigorosas do regulamento: avaliação e mitigação de riscos, qualidade dos dados, rastreabilidade, documentação técnica, supervisão humana e requisitos de robustez, cibersegurança e precisão.
Nos níveis inferiores, a régua se abranda. O de transparência, o mesmo que rege os deepfakes, impõe deveres de informação, como avisar o usuário de que ele interage com uma IA e assegurar que o conteúdo gerado por inteligência artificial seja identificável, mas dispensa as exigências de conformidade do alto risco. A ele se somam as regras para os modelos de propósito geral (GPAI), que respondem por obrigações próprias de transparência e direitos autorais, reforçadas quando o modelo pode gerar riscos sistêmicos. Por fim, a grande maioria dos sistemas em uso hoje, de filtros de spam a videogames, recai no nível de risco mínimo, para o qual a lei não cria obrigações.
Boa parte desse desenho foi moldada pelo Digital Omnibus on AI (Regulamento (UE) 2026/1744), em vigor desde 27 de julho de 2026: o pacote de simplificação reorganizou o cronograma da lei, estendendo prazos, sobretudo para o alto risco, reforçou os poderes da AI Office sobre os modelos GPAI, ampliou o acesso a ambientes de teste regulatórios (os sandboxes, inclusive um de nível europeu) e incorporou a nova proibição sobre conteúdo íntimo não consensual e CSAM.
A aplicação avança, assim, por camadas. As primeiras proibições vigoram desde fevereiro de 2025 e as regras de GPAI, desde agosto do mesmo ano. As obrigações de transparência do artigo 50 passaram a ser aplicáveis em 2 de agosto de 2026, com uma única exceção: os sistemas de IA generativa colocados no mercado europeu antes dessa data têm até 2 de dezembro de 2026 para cumprir a exigência de marcar seus resultados em formato legível por máquina. Os demais deveres de transparência, como avisar o usuário de que interage com uma IA e identificar deepfakes, valem desde agosto, sem período de transição. A proibição dos apps de “nudificação” passa a valer em 2 de dezembro de 2026. As exigências mais rigorosas, do alto risco, só se tornam aplicáveis a partir de 2 de dezembro de 2027, ou de 2 de agosto de 2028 quando a IA está embarcada em produtos já regulados, como elevadores e brinquedos. Nada disso se limita a empresas europeias: o AI Act aplica-se a quem coloca sistemas de IA no mercado da União Europeia ou cujos resultados são utilizados lá, o que alcança empresas brasileiras que ofereçam seus sistemas a usuários na Europa.