AI Act: o que já vale desde fevereiro de 2025 e o que vence em 2026 para quem revende GPT, Gemini ou Claude

Quem compra ou revende modelos de IA de uso geral (a categoria técnica que inclui o GPT da OpenAI, o Gemini do Google e o Claude da Anthropic) para cliente com operação na União Europeia não pode mais tratar o AI Act como lei futura. Segundo a página oficial de políticas regulatórias da Comissão Europeia (Regulatory framework for AI), o Regulamento (UE) 2024/1689 entrou em vigor em 1º de agosto de 2024 e já tem partes inteiras em aplicação. Isso muda o que o conselho deve exigir do fornecedor hoje, não daqui a um ano.

O calendário real, sem arredondar

A Comissão publica a aplicação da lei em blocos, e cada bloco já passou ou está prestes a passar.

Ou seja: quem assina contrato agora, em novembro de 2026, já está sob três camadas de obrigação em vigor e precisa se preparar para a quarta, que chega em dezembro.

Oito proibições já valem, a nona chega em dezembro

Desde fevereiro de 2025 estão banidas práticas como manipulação ou exploração de vulnerabilidades por IA, pontuação social, previsão de risco de crime individual, raspagem indiscriminada de internet ou CFTV para montar banco de reconhecimento facial, reconhecimento de emoção em trabalho e escola, categorização biométrica para inferir características protegidas e identificação biométrica remota em tempo real por autoridades em espaços públicos. A nona prática, que bane ferramentas que geram conteúdo sexual não consentido ou material de abuso infantil, foi incluída pelo chamado AI Omnibus e só entra em vigor em dezembro de 2026.

Nenhuma dessas proibições é específica de GPT, Gemini ou Claude, mas qualquer sistema construído sobre esses modelos que caia numa dessas categorias está banido na UE independentemente de quem o revende.

O que muda para quem revende modelo de IA de uso geral

Desde 2 de agosto de 2025 valem as obrigações da lei para o que a Comissão chama de modelos de IA de uso geral (GPAI, na sigla em inglês), a categoria que enquadra o motor por trás de ChatGPT, Gemini e Claude. Em julho de 2025 a Comissão publicou três instrumentos de apoio: as diretrizes sobre o escopo dessas obrigações, o Código de Prática voluntário para modelos de uso geral e o modelo de resumo público do conteúdo de treinamento, que obriga o fornecedor a listar as fontes de dados usadas para treinar o modelo.

Na prática, isso significa que, antes de fechar contrato, o comprador brasileiro deveria pedir ao fornecedor (seja a OpenAI, o Google, a Anthropic ou um revendedor local):

1. O resumo público do conteúdo de treinamento do modelo, conforme o modelo da Comissão.
2. A confirmação de adesão ao Código de Prática sobre modelos de uso geral (é voluntário, mas sinaliza conformidade documentada).
3. A documentação técnica exigida para modelos que podem carregar risco sistêmico, isto é, modelos muito capazes ou muito usados.
4. A política de direitos autorais sobre os dados de treinamento, item explicitamente citado nas regras de transparência da lei.

Um fornecedor que não consegue entregar nenhum desses quatro itens está operando fora do que a própria Comissão Europeia descreve como obrigação em vigor desde agosto de 2025.

A transparência que entrou em vigor neste agosto

Desde 2 de agosto de 2026, junto com a aplicação geral da lei, valem as regras de transparência. Elas obrigam que sistemas como chatbots informem a pessoa de que ela está falando com uma máquina, e que conteúdo gerado por IA seja identificável, com rotulagem visível obrigatória para deepfakes e para texto publicado com a intenção de informar o público sobre assuntos de interesse público. A Comissão também publicou, em 20 de julho de 2026, diretrizes específicas sobre essas obrigações de transparência, e um Código de Prática voluntário sobre marcação e rotulagem de conteúdo gerado por IA.

Para quem revende chatbot baseado em GPT, Gemini ou Claude para atendimento ao cliente de empresa com operação na UE, a pergunta direta ao fornecedor é se a interface já expõe o aviso de que o usuário fala com IA, e se o conteúdo gerado para publicação (texto, imagem, áudio) carrega algum marcador técnico que permita identificá-lo como sintético.

O que ainda não pegou, e por que isso não é desculpa

As regras de alto risco, que afetam sistemas usados em recrutamento, crédito, educação e migração, foram adiadas pelo AI Omnibus: a aplicação em áreas sensíveis como biometria, emprego e educação passou para 2 de dezembro de 2027, e a aplicação para sistemas embutidos em produtos físicos (elevadores, brinquedos) foi para 2 de agosto de 2028. O Omnibus foi adotado em 19 de novembro de 2025, teve acordo político em 7 de maio de 2026 e entrou em vigor em 27 de julho de 2026.

O adiamento do alto risco não suspende nada do que já está valendo para modelos de uso geral e para as proibições. Empresa que usa isso como argumento para não revisar contrato está confundindo prazo de uma categoria com prazo de outra.

Quem fiscaliza a partir de agora

Desde 2 de agosto de 2026, o AI Office da Comissão Europeia e as autoridades de cada país membro são responsáveis por implementar, supervisionar e fiscalizar a lei. O AI Office tem poder específico de fiscalização sobre modelos de IA de uso geral: pode pedir documentação técnica, avaliar o modelo diretamente, exigir medidas corretivas do fornecedor e aplicar penalidades em caso de descumprimento, segundo a própria página da Comissão. Em julho de 2026 a Comissão lançou também um plano de ação sobre cibersegurança e IA, com previsão de reforçar a avaliação de modelos antes de eles entrarem no mercado europeu a partir de 2027.

O que perguntar ao fornecedor antes de assinar

Para o conselho ou o gestor que vai aprovar um contrato de revenda ou uso de GPT, Gemini ou Claude para cliente com operação na UE, a lista mínima de perguntas é:

• O fornecedor publica o resumo de conteúdo de treinamento exigido desde agosto de 2025?
• Existe documentação técnica disponível para o modelo específico contratado, não um documento genérico de marketing?
• A interface final (chatbot, gerador de conteúdo) já cumpre a obrigação de informar o usuário de que está falando com IA, em vigor desde agosto de 2026?
• Conteúdo gerado para publicação carrega algum mecanismo de rotulagem como sintético?
• Quem no contrato assume a responsabilidade se a autoridade europeia pedir documentação ou auditoria: o fornecedor do modelo ou o revendedor brasileiro?

Essa última pergunta é a que mais contratos brasileiros deixam em branco, e é justamente a que o AI Office vai cobrar primeiro de quem coloca o sistema no mercado europeu.

O que decidir na próxima reunião

O conselho tem três decisões concretas para esta semana: pedir ao fornecedor atual o resumo de treinamento e a documentação técnica do modelo de uso geral contratado; verificar se a interface entregue ao cliente final já expõe o aviso de interação com IA, obrigatório desde agosto; e incluir no próximo contrato uma cláusula explícita de responsabilidade por fiscalização do AI Office, para não descobrir depois de assinado quem responde pela autuação.

Fonte: Comissão Europeia — Regulatory framework for AI (página oficial de políticas)