Regulamentação
44 análises
Acordo político entre Conselho e Parlamento posterga prazo de agosto de 2026 e abre janela de 19 meses para adequação, mas multas e cláusula de extraterritorialidade permanecem intactas.
Em agosto de 2026, o EU AI Act impõe suas primeiras obrigações vinculantes para sistemas de alto risco. Paralelamente, quatro estados americanos têm leis de IA em vigor que colidem com a estratégia federal da administração Trump. Para as empresas, compliance agora significa gerenciar jurisdições que se contradizem.
A Illinois Biometric Information Privacy Act (BIPA) gerou mais de US$ 2,5 bilhões em acordos desde 2008 e continua produzindo litígios recordes. Em 2025, Texas e Washington expandiram legislações equivalentes. Na Europa, o AI Act classifica sistemas biométricos de identificação remota como alto risco. A proliferação de câmeras com reconhecimento facial e autenticação por voz no ambiente corporativo expõe empresas a risco jurídico crescente.
Desde 2018, o GDPR acumulou €7,1 bilhões em multas, com 60% do total lançado apenas após janeiro de 2023. Em agosto de 2026, o EU AI Act adiciona uma segunda camada: penalidades de até €35 milhões ou 7% do faturamento global. Organizações que processam dados com IA enfrentam exposição regulatória dupla e simultânea.
A China construiu o framework regulatório de IA mais detalhado e em camadas do mundo. Com três regulamentos principais já em vigor e pelo menos dois em preparação, o país exige registro de modelos de fundação, avaliação de segurança prévia ao lançamento e controle de conteúdo gerado por IA. Empresas com operações ou usuários na China precisam mapear conformidade em múltiplas frentes simultaneamente.
As regras da SEC sobre divulgação de incidentes cibernéticos, em vigor desde dezembro de 2023, exigem reporte de incidentes materiais em até quatro dias úteis via Formulário 8-K. Em maio de 2025, associações bancárias americanas peticionaram a SEC para revogar a regra. O resultado prático: o CISO passou a ser interlocutor direto do conselho e da área jurídica em decisões de materialidade.
Em dezembro de 2024, o Senado brasileiro aprovou o PL 2338/2023, que estabelece o marco regulatório de IA no país. Em março de 2025, o texto foi encaminhado à Câmara dos Deputados. A lei adota abordagem baseada em risco, com três categorias: risco excessivo (proibido), alto risco (com requisitos rigorosos) e demais sistemas (obrigações gerais). Para desenvolvedores e operadores, os impactos são imediatos e estruturais.
O Digital Operational Resilience Act entrou em aplicação em 17 de janeiro de 2025, impondo requisitos uniformes de resiliência digital a aproximadamente 22.000 entidades financeiras na União Europeia. Em novembro de 2025, AWS, Microsoft Azure e Google Cloud foram designados provedores críticos de TIC, sujeitos a auditoria direta dos reguladores europeus.