AI Act: o adiamento dos sistemas de alto risco não é um alívio

No calendário original do AI Act, 2 de agosto de 2026 deveria marcar a entrada em vigor da maior parte das obrigações sobre sistemas de alto risco: gestão de riscos documentada, governança dos dados de treinamento, documentação técnica, controle humano, registro na base de dados europeia. Com sanções que podem chegar a 15 milhões de euros ou 3% do faturamento global.

Depois, o pacote de simplificação Digital Omnibus saiu do acordo político e virou lei: o regulamento (UE) 2026/1744, publicado no Jornal Oficial em 24 de julho e em vigor desde 27 de julho de 2026, adia essas obrigações para 2 de dezembro de 2027 para os sistemas do anexo III, e para agosto de 2028 para os sistemas de alto risco embutidos em produtos regulamentados.

A história regulatória recente já viveu essa cena. A GDPR deixou dois anos entre sua adoção e sua aplicação; parte das organizações usou esse prazo para construir sua estrutura, a outra parte apenas assistiu o tempo passar. Em maio de 2018, as primeiras estavam prontas; as segundas improvisaram sob pressão, e algumas ainda improvisam até hoje.

Um adiamento regulatório nunca é tempo ganho: é tempo alocado. A questão não é "quando será o prazo?" mas sim "o que precisa estar construído até lá?", porque o conteúdo das obrigações não muda: inventário dos sistemas, qualificação dos riscos, governança, documentação, evidências.

O anexo III cobre usos que muitas organizações praticam sem perceber: triagem de candidaturas e decisões de RH, scoring de crédito, acesso à educação, biometria, gestão de infraestruturas críticas, serviços públicos essenciais. E as obrigações não recaem apenas sobre os fornecedores desses sistemas: os implementadores, ou seja, as organizações que os utilizam, têm as suas próprias obrigações, do controle humano ao monitoramento do funcionamento.

Muitas empresas são, portanto, implementadoras de sistemas de alto risco sem saber, por meio de uma ferramenta de RH ou um módulo de scoring comprado pronto. A primeira pergunta não é jurídica, mas factual: quais sistemas, comprados ou desenvolvidos internamente, realmente funcionam na nossa empresa, e para quais usos?

O debate sobre o adiamento não deve ofuscar o essencial: parte do regulamento já está em vigor. As práticas proibidas, da pontuação social a certas identificações biométricas, estão proibidas desde fevereiro de 2025. As obrigações de transparência dos modelos de uso geral valem desde agosto de 2025. E a exigência de literacia em IA das equipes já afeta qualquer empregador que utilize esses sistemas. Quanto à transparência do artigo 50, aplicável a partir de 2 de agosto de 2026, a Comissão Europeia adotou em 20 de julho suas diretrizes finais: sistemas conversacionais que se identificam desde a primeira interação, conteúdos gerados marcados em formato legível por máquina, sem retroatividade para conteúdos anteriores.

Em outras palavras, o adiamento em discussão afeta apenas o bloco de alto risco; a base, essa, já está em vigor. Uma organização que espera "a definição do calendário" para agir já está atrasada na parte consolidada da norma.

A abordagem racional, portanto, não muda nem um pouco: mapear seus usos de IA, incluindo aqueles que entram por meio de ferramentas de mercado; medir a maturidade da sua governança com base em um referencial estruturado; e converter as lacunas em um plano de ação com prazos definidos, alinhado ao calendário que será finalmente adotado. Quem mede hoje vai escolher seu próprio ritmo; quem espera o texto final vai se sujeitar ao ritmo dos outros.

Nosso catálogo conta com 19 referenciais de dados e IA para apoiar essa trajetória, do marco de governança às exigências regulatórias específicas. O calendário ainda pode mudar; sua posição de partida, porém, já pode ser conhecida agora.