AI Act: GPAI entrega hoje primeira avaliação de risco

O AI Office da Comissão Europeia recebe até esta segunda-feira, 15 de setembro, os primeiros relatórios formais de avaliação de risco sistêmico dos fornecedores de General-Purpose AI (GPAI) cujo treinamento ultrapassa o limiar de 10^25 FLOPs. É o primeiro teste real da máquina de compliance montada pela Comissão desde que a fase de fiscalização entrou em vigor em 2 de agosto.

O escopo dos documentos é técnico e pouco visto no debate público: metodologia de red-teaming, disclosures de consumo energético dos runs de treinamento e o Article 11 technical file, que passa por auditoria em conjunto com 24 autoridades nacionais de vigilância de mercado. Junto vai o resumo padronizado sobre uso de conteúdo protegido por direito autoral no treinamento, num template publicado pela AI Office em julho.

Quem entrega, quem revisa

Anthropic, OpenAI, Google DeepMind, Meta, Mistral, xAI e o time de LLM da Alibaba estão entre os fornecedores obrigados a submeter documentação, por operarem modelos acima do teto de FLOPs. A revisão é feita pelo AI Office em Bruxelas, com apoio das autoridades nacionais e da Scientific Panel prevista no regulamento. As multas por não conformidade chegam a 3% do faturamento global anual da empresa infratora ou €15 milhões, o que for maior. O regime, portanto, morde vendors americanos e chineses na receita global, não apenas na receita europeia.

O que muda para clientes empresariais

Para o CIO do banco global que opera Anthropic ou GPT em produção, a submissão de hoje entra silenciosamente em contratos futuros. O Artigo 25 do AI Act impõe obrigação de due diligence razoável ao deployer, o que significa que o comprador precisa verificar se o fornecedor está em conformidade com o regime GPAI. Em bancos e seguradoras alemãs e francesas, esse controle já figura como cláusula obrigatória em RFPs desde o início do ano, mas o vendor de IA nunca tinha, até hoje, um documento oficial da Comissão para exibir. O relatório submetido hoje passa a ser exatamente esse documento.

Para o consultor global que embarca Claude, Gemini ou GPT em soluções para clientes na Ásia e nas Américas, a leitura é dupla. Onde a jurisdição do comprador é europeia, ele precisa exibir cadeia de responsabilidade que remonte à conformidade do fornecedor de fronteira. Onde a jurisdição é asiática ou americana, o regulamento europeu vira benchmark útil de argumento comercial, ainda que sem força legal. No Japão, o METI referenciou o modelo europeu de FLOPs no seu próprio AI Business Guidelines publicado em maio. Nos Estados Unidos, o NIST AI Risk Management Framework 2.0 dialoga com o mesmo vocabulário, mesmo sem o mesmo tipo de sanção.

No Brasil, o PL 2.338, que criou o Sistema Nacional de Regulação e Governança de IA em regime de análise pelo Senado, adota estrutura parecida com a europeia, mas ainda não define o limiar de compute equivalente. Consultorias que operam contratos multinacionais já usam o modelo europeu como piso de fato em RFPs de bancos locais.

Os pontos cegos do exercício

Há crítica pertinente a fazer. Sarah Chander, do European Center for Not-for-Profit Law, afirmou em conferência da Comissão em julho que o limiar de FLOPs mede input computacional, não risco real: um modelo treinado com dados médicos sensíveis abaixo de 10^25 FLOPs pode gerar mais risco sistêmico do que um LLM generalista treinado com 10^26. A Comissão respondeu que os limiares são revistos anualmente. Do outro lado, Andrea Renda, do Centre for European Policy Studies, defendeu o exercício como o único mecanismo real de auditoria de fronteira que existe hoje no Ocidente. Nenhum dos dois lados espera perfeição na primeira rodada.

Há também um ponto de fricção operacional. Fornecedores de fronteira reclamam que o template padronizado de copyright pede detalhamento por dataset ao nível que a maior parte dos modelos não consegue reconstruir com precisão retroativa. O AI Office aceitou, em guidance informal de agosto, disclosures agregados por categoria e por período de scraping para runs anteriores a 2 de agosto. Para runs posteriores, a exigência é granular. Isso divide a indústria entre quem vai investir em pipeline de proveniência de dados e quem vai apostar em retreinar sob orçamento auditável.

O que se aprende fazendo

O que o AI Office pretende é aprender fazendo. Marc Beaulieu, chefe da unidade de GPAI da Comissão, disse à Politico em agosto que a primeira leva de submissões servirá para calibrar o próprio processo: as perguntas de esclarecimento que surgirem podem virar guidance formal antes do fim do ano. O compliance começa hoje. A jurisprudência sobre o que exatamente ele exige se constrói ao longo dos próximos doze meses.

A Comissão indicou que prefere iniciar por diálogo técnico antes de acionar sanções. Vale acompanhar dois indicadores nos próximos trimestres: a publicação, ou não, dos resumos submetidos e o volume de perguntas de esclarecimento redirecionadas a mais de um fornecedor. Se um mesmo esclarecimento aparecer em cinco pedidos, vira norma de fato.