AI Act destrava o botão de multa em Bruxelas e joga Artigo 50 no colo de qualquer chatbot com usuário europeu

A União Europeia acionou no domingo, 2 de agosto, o pedaço do AI Act que faltava para o regulamento sair do papel. A partir dessa data, o AI Office ganhou o poder de pedir informações, exigir acesso a modelos, ordenar recalls e aplicar multa de até €15 milhões ou 3% do faturamento global anual, o que for maior, contra fornecedores de modelos de propósito geral, os GPAI. Na mesma virada de calendário, entraram em vigor as obrigações de transparência do Artigo 50: qualquer sistema que interage diretamente com pessoas precisa se identificar como IA, e qualquer texto, imagem, áudio ou vídeo gerado sinteticamente precisa carregar marcação legível por máquina.

O conjunto é modesto no papel e ambicioso na prática. O Artigo 50 é curto, mas alcança de chatbot de suporte a gerador de imagem embarcado em CRM. O poder de sanção do AI Office, sob o Artigo 101, é o que finalmente dá dentes a um regulamento cuja parte substantiva sobre GPAI já estava no livro desde 2 de agosto de 2025 sem mecanismo próprio de execução. Henna Virkkunen, vice-presidente executiva da Comissão para Soberania Tecnológica, Segurança e Democracia, já havia dito em julho de 2025, ao publicar o Código de Prática GPAI, que o texto era "um passo importante para tornar os modelos de IA mais avançados na Europa não só inovadores como também seguros e transparentes". A promessa entrou em execução agora.

O que exatamente foi ligado

O Artigo 50 impõe três frentes. Sistemas de conversação precisam informar ao usuário, de forma clara e no momento certo, que ele está falando com uma máquina. Conteúdo sintético precisa ser marcado tecnicamente para permitir detecção automática, com prazo estendido até 2 de dezembro de 2026 para sistemas legados. E deepfakes que envolvam pessoas ou eventos reais têm de vir com aviso visível, salvo exceções artísticas restritas. Já a via GPAI, ativada em paralelo, cobre transparência sobre dados de treinamento, política de compliance com direitos autorais e, para os modelos considerados de risco sistêmico, avaliações de segurança e reporte de incidentes.

A tabela de multas do Artigo 99 tem três degraus. Práticas proibidas do Título II podem custar €35 milhões ou 7% do faturamento global. Violações de alto risco e do Artigo 50 são punidas em até €15 milhões ou 3%. Informação incorreta a autoridades vai a €7,5 milhões ou 1%. Para GPAI, o Artigo 101 fixa o mesmo teto de €15 milhões ou 3%. Um provedor que ignore um pedido de acesso a modelo entra no mesmo grupo de risco de quem descumpre obrigação substantiva.

O que foi adiado

A Comissão empurrou parte do calendário. As obrigações plenas para sistemas de alto risco autônomos listados no Anexo III, entre eles recrutamento, scoring de crédito, educação, aplicação da lei, controle de fronteiras e infraestrutura crítica, ficam para 2 de dezembro de 2027. IA embarcada em produtos já cobertos pela lei de segurança de produto do Anexo I, como dispositivos médicos, máquinas e brinquedos, foi para 2 de agosto de 2028. A leitura curta é que Bruxelas escolheu apertar primeiro onde consegue medir cumprimento sem redesenhar auditorias inteiras: identificação de chatbot, marca d'água e supervisão de foundation model.

Como chega no Brasil e em terceiros

O alcance extraterritorial é a parte que pesa fora da Europa. Qualquer sistema cujo output seja usado por pessoas na União se enquadra, ainda que o provedor esteja em outra jurisdição. Nos Estados Unidos, escritórios de tecnologia como Latham & Watkins e Morrison Foerster passaram julho publicando alertas orientando clientes globais a se preparem: um SaaS americano com clientes europeus precisa marcar conteúdo sintético e disclosar chatbots agora, sob risco de multa calculada sobre receita mundial, não europeia. No Reino Unido, que abandonou o alinhamento automático com o AI Act pós-Brexit, a Financial Conduct Authority já sinalizou que exigirá padrão equivalente de transparência para IA em serviços financeiros, mesmo sem lei-espelho. Na Alemanha, a BaFin está trabalhando um guia próprio de aplicação para bancos e seguradoras. No Brasil, o PL 2338, ainda em tramitação no Senado, importa a estrutura de risco do AI Act quase palavra por palavra, e o consenso entre advogados que acompanham o texto é que a marca d'água europeia vai virar padrão de facto para fornecedores nacionais que exportam software.

A leitura para o CIO é prática. Quem já mapeou onde há chatbot público, gerador de imagem em uso corporativo ou modelo próprio treinado com dado com direito autoral tem trabalho definido. Quem ainda não mapeou está começando a corrida em posição atrasada, e o cronômetro agora conta multa.