Depois da NIS-2 e do DORA, alinha-se com o EU AI Act a próxima regulação orientada por prazos que alcança o mercado médio. Desde 2 de agosto de 2026, o Regulamento (UE) 2024/1689 vale em grande parte de forma imediata – e, diferentemente da NIS-2, não há delimitação setorial: quem emprega ou oferece IA está, por princípio, no âmbito de aplicação. Ao mesmo tempo, o chamado Digital-Omnibus empurrou para trás as obrigações politicamente mais delicadas. Isso leva a um mal-entendido difundido: „adiado“ não significa „resolvido“, e o que vale desde agosto de 2026 vale com rigor.
Este artigo classifica o que, desde 2 de agosto de 2026, é de fato aplicável, o que o Omnibus adiou – e o que uma empresa do mercado médio deve fazer agora concretamente.
A situação de prazos, ordenada com sobriedade
O AI Act entrou em vigor em 1º de agosto de 2024 e torna-se aplicável de forma escalonada. As etapas relevantes:
- 2 de fevereiro de 2025: as proibições (art. 5) para práticas de IA inaceitáveis, bem como a obrigação de competência em IA („AI literacy“, art. 4), valem.
- 2 de agosto de 2025: as regras de governança e as obrigações para fornecedores de modelos de IA de finalidade geral (GPAI, art. 51 e seguintes) valem.
- 2 de agosto de 2026: a aplicabilidade geral passa a valer – em particular as obrigações de transparência segundo o art. 50, bem como o regime de sanções e execução.
- 2 de dezembro de 2027: as obrigações para sistemas de alto risco segundo o Anexo III (aplicações autônomas como triagem de candidatos, avaliação de solvência, biometria).
- 2 de agosto de 2028: as obrigações para sistemas de alto risco embutidos em produtos regulados (Anexo I).
As duas últimas datas são o resultado do Digital-Omnibus: as obrigações de alto risco do Anexo III foram adiadas do original 2 de agosto de 2026 para 2 de dezembro de 2027, e as do Anexo I de 2 de agosto de 2027 para 2 de agosto de 2028. Esse adiamento alivia empresas que operam ou desenvolvem sistemas de alto risco – mas não altera nada do que vale imediatamente desde 2 de agosto de 2026.
O que está em vigor com rigor desde 2 de agosto de 2026: transparência segundo o art. 50
As obrigações de transparência do art. 50 não foram adiadas. Elas atingem praticamente toda empresa que emprega IA generativa no contato com clientes ou na produção de conteúdo:
- Divulgação de chatbot (art. 50, n.º 1): quem interage com um sistema de IA deve ser informado sobre isso – reconhecível na própria interação, não escondido nos termos e condições. Um bot de suporte sem indicação clara deixa, com isso, de estar em conformidade.
- Marcação de conteúdos gerados por IA (art. 50, n.º 2): as saídas de sistemas generativos devem ser marcadas de forma legível por máquina como geradas ou editadas artificialmente. Para sistemas já existentes, o regulamento prevê um prazo de transição até 2 de dezembro de 2026; sistemas novos devem prover a marcação imediatamente.
- Marcação de deepfakes e de assuntos de interesse público (art. 50, n.º 4): mídias sintéticas que representam pessoas ou eventos reais devem ser marcadas de forma visível. Textos gerados por IA sobre assuntos de interesse público também – a menos que passem por uma revisão editorial documentada com responsabilidade nomeada.
Essas obrigações soam técnicas, mas na prática são sobretudo uma questão de disciplina de processo: quem sabe onde, na própria casa, a IA generativa produz textos, imagens ou respostas de chat para clientes?
Fornecedor ou operador – a questão do papel decide sobre as obrigações
O AI Act distingue dois papéis básicos, e a diferença tem consequências. Um fornecedor („provider“) desenvolve um sistema de IA ou um modelo GPAI e o coloca no mercado sob o próprio nome. Um operador („deployer“) emprega tal sistema sob a própria responsabilidade – ou seja, a típica empresa do mercado médio que usa na operação uma ferramenta adquirida.
A classificação não é estática: quem modifica substancialmente um modelo adquirido, o ajusta finamente ou o revende sob o próprio nome pode se tornar, ele próprio, fornecedor com as obrigações correspondentes. Para a maioria das empresas do mercado médio vale, de início, o papel de operador – mas é justamente aqui que vale a pena a verificação documentada, em vez de deixar a questão em aberto.
O que custam as infrações
O regime de sanções segundo o art. 99 é executável desde 2 de agosto de 2026 e é escalonado em vários níveis:
- Infrações contra as proibições do art. 5 podem ser punidas com até 35 milhões de euros ou 7% do faturamento anual mundial – conforme o valor que for maior.
- Infrações contra a maioria das demais obrigações materiais, incluindo as obrigações de transparência de GPAI e do art. 50, situam-se em um nível inferior de até 15 milhões de euros ou 3% do faturamento anual mundial.
- Para informações falsas ou incompletas a autoridades vale um terceiro nível de até 7,5 milhões de euros ou 1%.
Para pequenas e médias empresas, o regulamento prevê proporcionalidade – mas as multas permanecem executáveis, e a ordem de grandeza deixa claro que não se trata de uma formalidade.
O que uma empresa do mercado médio deve fazer agora concretamente
A pressão de ação não está na trabalhosa conformidade de alto risco – essa está adiada para 2027 e 2028. Ela está em quatro trabalhos de base, que de qualquer forma são o pré-requisito para qualquer compliance posterior:
1. Elaborar o inventário de IA
Obtenha uma visão completa de onde, na empresa, a IA é empregada – incluindo a „IA sombra“, ou seja, as ferramentas que departamentos individuais usam sem liberação central. Sem esse inventário, nenhuma obrigação pode ser atribuída de forma limpa.
2. Classificação de risco por caso de uso
Atribua cada caso de uso às categorias do regulamento: proibido (art. 5), de alto risco (Anexo III/I), sujeito à transparência (art. 50) ou de risco mínimo. Só essa classificação lhe diz quais obrigações e quais prazos valem para qual sistema.
3. Estabelecer transparência
Implemente as obrigações do art. 50 onde elas já valem hoje: indicações de chatbot, marcação de conteúdos gerados, processos de revisão editorial. Essa é a parte que, desde agosto de 2026, é imediatamente verificável.
4. Ancorar governança e higiene de dados
A competência em IA segundo o art. 4 não é um extra, mas obrigação desde fevereiro de 2025: os seus colaboradores devem entender os sistemas que utilizam. A isso pertencem diretrizes de uso claras, responsabilidades nomeadas e – muitas vezes subestimada – a higiene de dados. Pois muitos riscos de governança surgem não pela regulação, mas pelo escoamento descuidado de dados confidenciais para modelos externos.
Classificação: obrigação com benefício estratégico colateral
Como já com a NIS-2, vale: o AI Act não exige, em essência, malabarismos exóticos, mas um trato consciente e documentado com uma tecnologia que de qualquer forma já está há muito na casa. O inventário, a classificação e a higiene de dados que o regulamento impõe são, ao mesmo tempo, a base para sequer usar IA de forma controlada e econômica. Um fichário cheio de assinaturas de ferramentas sem governança não é nem conforme às regras nem produtivo.
Como a sector7 apoia
Como casa de gestão própria de Solingen, acompanhamos empresas da NRW pelo inventário de IA, pela classificação de risco e pela construção de uma governança robusta – nossa consultoria de prontidão e governança de IA combina esse trabalho com a consultoria de compliance sobre AI Act, NIS-2, DORA e ISO 27001 de uma só fonte. Para o ponto mais delicado – o escoamento de dados para modelos de terceiros – oferecemos, com IA Soberana, ambientes privados e protegidos de LLM e RAG em nosso próprio parque de servidores alemão: os seus dados não deixam o ambiente controlado, o que facilita estruturalmente a higiene de dados e as obrigações de transparência.
Para uma classificação honesta pertence também o que não fazemos: não treinamos modelos foundation próprios, não vendemos uma „força de trabalho digital“ autônoma e não praticamos preços abaixo dos hyperscalers. Nossa operação de Managed AI Ops com SLA fixo está em construção. O que entregamos hoje é consultoria, governança e a operação segura de IA privada em infraestrutura própria – certificados para Juniper, Cisco, HPE, F5, Fortinet e Palo Alto Networks.
Este artigo é uma classificação técnica e não substitui aconselhamento jurídico no caso concreto.