AI Office europeu ganha poder de multar em 15 milhões de euros e começa a fiscalizar fornecedores de GPAI

O AI Office da Comissão Europeia passou a ter, desde 2 de agosto, poder formal para investigar e sancionar fornecedores de modelos de IA de uso geral (GPAI) sob o AI Act. É a virada de ciclo do regulamento: as obrigações substantivas já estavam em vigor desde agosto de 2025, mas o executivo europeu não tinha, até agora, instrumento executório para exigir cumprimento.

O teto de multa vai a 15 milhões de euros ou 3% do faturamento global do grupo, o que for maior. O texto lista três hipóteses que disparam a penalidade: descumprimento das obrigações de GPAI, entrega de informação incorreta ou enganosa ao regulador, e recusa de colaboração com pedidos ou avaliações do AI Office.

"Ao começar a fiscalização, damos um passo importante em direção a uma IA que pessoas e empresas possam entender e confiar", declarou Henna Virkkunen, vice-presidente executiva da Comissão para soberania tecnológica, segurança e democracia. A frase é oficial e sinaliza a intenção declarada, mas a prática do primeiro ano tende a ser diferente: o AI Office já indicou que o instrumento de partida vão ser os "diálogos técnicos de conformidade", conversas prévias com o fornecedor antes de qualquer procedimento sancionador formal.

Quem está exposto

Modelos colocados no mercado a partir de 2 de agosto de 2025 já estavam sujeitos ao regime, o que inclui o Gemini 3, Grok 5, Llama 5, GPT-6 e as gerações mais recentes de Claude e Mistral. Modelos anteriores a essa data têm até 2 de agosto de 2027 para adequação. Para o comprador corporativo, a leitura é que praticamente todo modelo top-tier em produção hoje é passível de fiscalização a partir de agora.

A parte mais imediata das novas obrigações é o Artigo 50, que exige transparência: chatbots precisam se identificar como IA no início da interação, conteúdo gerado ou manipulado por IA (inclusive deepfake) deve carregar marca legível por máquina. Isso mexe com fluxos de atendimento, marketing e automação que muitas empresas rodam em produção sem sinalização explícita.

O ceticismo saudável

Cornelia Kutterer, advogada e ex-Microsoft que hoje pesquisa governança de IA no Instituto Jacques Delors, tem argumentado que o AI Office ainda está subdimensionado para fiscalizar de forma efetiva o portfólio de modelos que caiu no seu colo. O time europeu conta com menos de 100 profissionais dedicados. Do outro lado, associações do setor como a CCIA Europe já pediram fase de transição adicional, alegando que o Code of Practice publicado em julho de 2025 deixou zonas cinzentas em copyright, avaliação sistêmica de risco e transparência de dados de treinamento. Nenhuma das duas críticas invalida a competência executória que a data de 2 de agosto acabou de destravar.

O que muda para quem opera na Europa

Quem embarca modelo GPAI em produto no mercado único europeu precisa ter no arquivo, a partir de agora, três documentos que o AI Office pode pedir sem aviso prévio: sumário do dado de treinamento no formato do template da Comissão, documentação técnica compatível com o Anexo XI do AI Act, e política interna de compliance com o Copyright Directive. Fornecedor que não apresentar não recebe multa automática, mas entra na fila de "diálogo técnico" com o regulador. Reincidência ou má-fé é o que aciona o 15 milhões.

Leitura por mercado

Para o hyperscaler americano, o impacto é operacional mais do que financeiro. OpenAI, Anthropic e Google DeepMind já vinham reestruturando equipes de policy em Bruxelas ao longo de 2025, e o Code of Practice foi assinado por quase todos os grandes fornecedores (Meta foi a exceção mais barulhenta). O risco real está em uma primeira multa exemplar que sirva de precedente, provavelmente em um caso de treinamento sem sumário adequado, e não em uma onda ampla de sanções.

No Japão e no Reino Unido, ambos com abordagens regulatórias mais leves e voltadas para princípios, o padrão europeu não tem efeito direto, mas cria pressão de spillover: multinacional europeia que opera em Tóquio ou Londres tende a estender o mesmo controle interno para outros mercados por padronização de compliance. É o mesmo efeito que o GDPR criou. No Brasil, o marco da LGPD já cobre parte da preocupação de dados, mas a versão brasileira de um regime de fiscalização de modelo de uso geral ainda depende do PL 2338/2023, que tramita no Congresso desde 2023 sem calendário firme. Enquanto isso, a empresa brasileira que exporta serviço para a Europa herda a régua de Bruxelas por contrato, não por lei local.