O Guia Definitivo para o Panorama Regulatório Global da IA: Quem foi afetado, o que mudou e como se preparar.

Há um ano, a regulamentação da IA era praticamente teórica em todos os lugares. Nos EUA, o Colorado havia aprovado uma lei. legislação abrangente sobre IA que não havia surtido efeito, e Projeto de Lei SB 1047 da Califórnia tinha acabado de ser vetado. Em Bruxelas, o Lei de IA Existia apenas no papel, com a maior parte de suas obrigações ainda a um ano ou mais de entrar em vigor. O Congresso estava apenas falando, não legislando.

Nos últimos doze meses, isso mudou. Três estados americanos criaram a primeira estrutura real de responsabilização para desenvolvedores de IA de ponta. Um quarto estado revogou sua própria lei e recomeçou do zero. A União Europeia renegociou sua principal regulamentação sob pressão da indústria. O governo federal iniciou uma disputa legal direta com os estados sobre quem tem o direito de definir as regras. Nada disso se consolidou em algo estável. A maior parte já se aplica a alguém.

Este guia aborda as mudanças, a quem se aplicam e o que fazer a respeito, dependendo da situação da sua empresa.

Guia rápido: as principais leis em resumo

Quem é realmente afetado?

A regulamentação da IA no último ano se divide em obrigações que recaem sobre um pequeno grupo de empresas e obrigações que recaem sobre praticamente todos que lidam com IA de forma regulamentada.

Um pequeno número de desenvolvedores de modelos de fronteira carregar o fardo mais pesado. Califórnia, Nova York e Illinois definem suas leis de transparência de fronteira em torno de um limite de receita de 1,5 trilhão de dólares e um limite de computação massiva, o que na prática significa de cinco a dez empresas: OpenAI, Anthropic, Google DeepMind, Meta, Microsoft e algumas outras. Se você não estiver construindo modelos fundamentais nessa escala, essas leis específicas não se aplicam diretamente a você, embora moldem o que seu fornecedores de IA são obrigados a divulgar isso a você.

Empregadores e qualquer pessoa que utilize IA em contratações, análise de crédito ou outras decisões importantes. estão claramente abrangidas por um conjunto muito mais amplo de regras: a nova lei ADMT do Colorado, a Lei Local 144 da cidade de Nova York e a categoria de alto risco do Anexo III da Lei de IA da UE, que menciona explicitamente recrutamento, avaliação de crédito e avaliação de desempenho. Esta é a categoria em que a maioria das empresas se enquadra, mesmo que nunca tenham se considerado uma "empresa de IA".“

Qualquer pessoa que envie recursos de IA generativa para a UE Existe uma obrigação, independentemente do tamanho: a de incluir marca d'água e divulgar a proveniência do conteúdo, conforme o Artigo 50 da Lei de Informática. Essa obrigação não se limita a grandes plataformas. Se o seu produto gera texto, imagem, áudio ou vídeo para usuários da UE, ela se aplica a você.

Empresas que criam ou implementam chatbots de acompanhamento, especialmente aqueles acessíveis a menores de idade., enfrentam um conjunto de regras estaduais em constante mudança sobre protocolos de resposta a crises e divulgação de informações, independentemente do tamanho da empresa.

Todos os outros é afetada indiretamente, mas não de forma leve: por meio do risco do fornecedor, já que seus fornecedores de IA agora precisam divulgar mais informações e você precisa ser capaz de avaliar o que eles divulgam; por meio das obrigações de proveniência de dados, caso utilize dados de treinamento de terceiros; e por meio de uma expectativa geral, agora refletida na legislação, de que uma empresa deve ser capaz de explicar o que seus sistemas de IA fazem com os dados.

Os três estados fronteiriços dos EUA: Califórnia, Nova Iorque e Illinois.

Projeto de Lei 53 da Califórnia A Lei de Transparência na IA de Fronteira (Transparency in Frontier AI Act) foi a primeira, assinada em setembro de 2025 e em vigor desde janeiro de 2026. Ela exige que grandes desenvolvedores de IA de fronteira publiquem estruturas de segurança, relatem incidentes críticos e protejam denunciantes, e permite que uma empresa cumpra a lei da Califórnia atendendo a um padrão federal ou estrangeiro comparável, em vez de registrar a lei duas vezes.

Lei RAISE de Nova York, A lei, assinada em dezembro de 2025 e alterada em março de 2026 para se alinhar à abordagem da Califórnia, agora prevê penalidades de até 1 milhão de dólares para uma primeira violação e 3 milhões de dólares para reincidências, em vez dos 10 milhões de dólares/30 milhões de dólares originalmente aprovados pela legislatura.

Lei de Medidas de Segurança de IA de Illinois (AISMA), O acordo, assinado em 6 de julho de 2026 e com vigência a partir de 1º de janeiro de 2027, utiliza o mesmo limite de $500 milhões, mas adiciona um requisito inédito no país: auditorias anuais obrigatórias realizadas por terceiros independentes, todos os anos, enquanto a empresa permanecer abrangida pelo acordo.

Juntos, esses três estados representam aproximadamente 40% do mercado de IA dos EUA. Legisladores dos três estados afirmaram claramente que se trata de uma tentativa deliberada de criar um padrão nacional de fato, enquanto o Congresso permanece à margem.

As leis abrangentes dos EUA que não conseguiram manter sua forma.

Colorado Chegamos primeiro com o projeto de lei SB 205 em 2024, mas ele nunca entrou em vigor. Adiado duas vezes devido à pressão da indústria, foi finalmente revogado e substituído pelo SB 26-189, que restringe o foco da ampla "IA de alto risco" para um regime mais específico de tecnologia de tomada de decisão automatizada, com obrigações a partir de janeiro de 2027.

Texas TRAIGA, A lei, em vigor desde janeiro de 2026, adotou uma abordagem mais restrita desde o início: em vez de avaliações de risco amplas, ela proíbe usos específicos, incluindo CSAM gerado por IA, deepfakes ilegais e sistemas projetados para incentivar a automutilação.

Leis abrangentes e de alto risco sobre IA, inspiradas na abordagem original do Colorado, perderam terreno nos últimos dois anos para regras mais restritas e focadas em danos específicos, bem como para o modelo de desenvolvimento pioneiro descrito acima.

A Lei de IA da UE e o Acordo Omnibus Digital: novo cronograma, mesmas regras.

O Lei de IA da UE Ainda é a estrutura de IA mais abrangente do mundo e continua em vigor. O que mudou este ano foi o cronograma e, em alguns pontos, o conteúdo.

No final de 2025, o cronograma original da Lei estava comprometido. As normas técnicas e as diretrizes harmonizadas necessárias para que as empresas cumprissem as obrigações de alto risco não estavam prontas, e as autoridades nacionais competentes não haviam sido totalmente designadas. A Comissão Europeia publicou o Relatório Omnibus sobre Inteligência Artificial Digital em 19 de novembro de 2025, propondo o adiamento das partes mais exigentes da Lei.

Após duas rodadas de negociações em trílogo, o Parlamento e o Conselho chegaram a um acordo político em 7 de maio de 2026, formalmente adotado até junho. Veja como ficou o cronograma:

• Obrigações de alto risco para sistemas autônomos (Anexo III: recrutamento, avaliação de crédito, aplicação da lei, educação, controle de fronteiras) transferência de 2 de agosto de 2026 para 2 de dezembro de 2027.
• Obrigações de alto risco para IA incorporada em produtos regulamentados (Anexo I: dispositivos médicos, máquinas, veículos) passar para 2 de agosto de 2028.
• Obrigações gerais de transparência nos termos do Artigo 50, incluindo a divulgação aos usuários de que estão interagindo com um sistema de IA, não são afetadas e continuam válidas a partir de 2 de agosto de 2026.
• Marca d'água especificamente (O artigo 50(2)) recebe um período de graça mais curto, prorrogado até 2 de dezembro de 2026, para sistemas já no mercado.
• UM nova proibição, A emenda, adicionada durante a negociação e não na proposta original da Comissão, proíbe sistemas de IA que geram imagens íntimas não consensuais ou CSAM (Consumed Information Management, ou Material de Análise de Conteúdo Sexual), incluindo aplicativos de "incentivo", com vigência a partir de 2 de dezembro de 2026.
• As obrigações do modelo de fundação, nos termos dos artigos 51 a 55, em vigor desde agosto de 2025, não são afetadas por nada disso.

Os escritórios de advocacia que acompanham a negociação são unânimes em um ponto: as obrigações fundamentais permaneceram intactas, e apenas o cronograma foi alterado. A arquitetura baseada em risco, as categorias de alto risco e os requisitos essenciais permanecem os mesmos. As empresas que encaram os dezesseis meses adicionais como uma pausa estão se preparando para uma corrida contra o tempo no final de 2027. As empresas em melhor posição estão aproveitando esse período para inventariar todos os sistemas de IA em uso, classificá-los de acordo com os Anexos III e I e mapear os dados que cada um acessa, de modo que, quando os padrões forem finalizados, o trabalho de conformidade se resuma principalmente à documentação, e não à descoberta de informações.

As notas mais estreitas que se acumulavam rapidamente

Além das principais diretrizes legislativas, um volume muito maior de leis mais específicas remodelou setores particulares do cenário. Chatbots de apoio e saúde mental tornaram-se uma categoria própria, em grande parte em resposta a relatos de danos a menores: Illinois proibiu que IAs não licenciadas fornecessem psicoterapia em agosto de 2025., Lei de Chatbots Complementares da Califórnia Agora são necessários protocolos de resposta a crises, e Nova York tem legislação semelhante em andamento. As regras de proveniência de conteúdo estão acompanhando a mídia generativa em ambos os lados do Atlântico, com a Lei de Transparência de IA da Califórnia (adiada para agosto de 2026) e sua Lei de Transparência de Dados de Treinamento GenAI, que coexistem com os requisitos de divulgação do Artigo 50 da UE. A supervisão da IA no emprego continuou a se expandir em torno da Lei Local 144 da cidade de Nova York e seus requisitos de auditoria de viés para ferramentas de recrutamento.

A rota de colisão federal dos EUA

Enquanto os estados legislavam, o governo federal preparava o terreno para uma disputa sobre a validade de qualquer uma dessas leis. A Ordem Executiva 14365, assinada em 11 de dezembro de 2025, orienta o Departamento de Justiça a criar uma Força-Tarefa de Litígios sobre IA para processar os estados por leis de IA "onerosas", condiciona o financiamento da banda larga ao cumprimento das leis estaduais e cita diretamente a lei do Colorado como alvo. Ela exclui a segurança infantil, a infraestrutura de IA e as compras governamentais de qualquer tentativa de preempção.

Uma ordem executiva não pode, por si só, sobrepor-se à lei estadual. Somente o Congresso ou os tribunais podem fazê-lo, e nenhum dos dois o fez até o momento. O conselho de todas as empresas que acompanham o caso é o mesmo: continue cumprindo as leis estaduais que se aplicam a você agora. Essa disputa levará anos, não meses, para ser resolvida.

Como se preparar, dependendo de onde você estiver sentado.

Se você é um grande desenvolvedor pioneiro (Limites da Califórnia, Nova York ou Illinois): suas obrigações já estão em vigor ou entrarão em vigor ainda este ano. Você precisa de uma estrutura de segurança publicada e atualizada anualmente, uma infraestrutura de notificação de incidentes com prazos rigorosos (72 horas na maioria dos casos), processos de proteção a denunciantes e, começando por Illinois, estar preparado para uma auditoria independente de terceiros todos os anos, e não apenas uma vez. A maioria das empresas subestima este último ponto. Um auditor não quer um documento de política. Ele quer evidências: quais dados treinaram o modelo, a quais dados ele pode acessar na inferência e durante o uso interno, quem tem acesso a quê e um registro que mostre que isso não mudou desde a última auditoria.

Se a sua empresa utiliza IA em processos de contratação, concessão de empréstimos ou outras decisões importantes, considere as seguintes soluções:A lei ADMT do Colorado, a Lei Local 144 de Nova York e a categoria do Anexo III da Lei de IA da UE convergem para o mesmo requisito: saber quais dados alimentam a decisão, documentá-los e ser capaz de produzir uma auditoria de viés ou avaliação de impacto sob demanda. Isso vale tanto para quem criou o modelo quanto para quem o comprou de um fornecedor.

Se você enviar recursos de IA generativa para a UEA infraestrutura de marca d'água e divulgação precisa estar operacional até 2 de dezembro de 2026 para os sistemas já disponíveis no mercado. As equipes de engenharia devem começar a desenvolver isso agora, visto que sete meses é um prazo apertado para rotulagem da interface do usuário, incorporação de metadados e capacidade de detecção.

Se nenhuma das opções acima se aplicar diretamenteA posição de menor risco ainda é a ativa. Faça um inventário dos sistemas de IA que você utiliza, sejam eles desenvolvidos internamente ou adquiridos, e saiba quais dados cada um deles acessa. As regulamentações estaduais e federais estão seguindo rumos diferentes simultaneamente, portanto, a única estratégia duradoura é a preparação em nível de dados que não dependa da legislação específica de qual jurisdição prevalecerá.

4 passos para se antecipar à onda regulatória da IA

Todas as obrigações acima, independentemente da lei ou jurisdição, remetem à mesma questão operacional: quais dados este sistema de IA acessa e é possível comprovar isso? Cada vez mais, essa questão se estende além dos modelos, abrangendo também os agentes construídos sobre eles. Um agente de IA capaz de ler um banco de dados, acionar um fluxo de trabalho ou tomar medidas em nome de um cliente possui a mesma exposição de dados que o modelo subjacente, e a maioria das empresas ainda não consegue determinar quantos desses agentes estão em execução, a quais dados eles têm acesso ou o que estão fazendo com eles. É aqui que a ideia de um plano de controle se torna relevante: uma camada única que governa os próprios dados, juntamente com todos os modelos e agentes que os acessam, em vez de tentar adicionar governança a cada ferramenta posteriormente.

O BigID opera como esse plano de controle, construído em torno do risco contextual: entendendo o que está acontecendo nos dados, nos agentes e em tudo o que há entre eles. Essa combinação de visibilidade e controle significa ter uma visão completa e agir de acordo, remediando o risco antes que ele se torne um incidente ou uma constatação de auditoria. Veja como isso funciona na prática, dividido em quatro fluxos de trabalho.

1. Encontre todos os sistemas e agentes de IA em uso, bem como os dados que cada um deles pode acessar.

As equipes de conformidade não podem classificar ou documentar um sistema que não sabem se está em execução, e IA sombra E a adoção de agentes na maioria das empresas está muito à frente do que consta em qualquer inventário oficial. A BigID descobre ferramentas, modelos e agentes de IA., E compreende automaticamente os dados com os quais interage, portanto, o inventário que cada uma dessas leis pressupõe que você já tenha, de fato, existe.

2. Saiba quais dados treinaram ou alimentaram cada modelo.

Auditores sob a lei de Illinois, organismos notificados da UE sob o Anexo III e comitês internos de risco em todo o mundo farão a mesma pergunta, com palavras diferentes: de onde vieram os dados deste modelo e o que ele pode alcançar agora?. O BigID mapeia automaticamente a linhagem de dados e as relações entre o modelo e os dados., transformando um projeto de pesquisa manual em algo que você pode gerar sob demanda.

3. Classifique os dados sensíveis antes que um sistema ou agente de IA os processe.

As avaliações de viés, a documentação de alto risco e as revisões de risco de uso interno dependem, em primeiro lugar, de saber quais dados são sensíveis. A BigID classifica dados na origem em sistemas estruturados e não estruturados., Assim, a sensibilidade é conhecida antes que um modelo ou agente se aproxime, em vez de ser descoberta após um incidente.

4. Controle e monitore o acesso e, em seguida, preserve as evidências.

As proteções para denunciantes, os prazos para notificação de incidentes e as auditorias anuais pressupõem que você possa demonstrar quem e o quê, incluindo agentes autônomos, poderia acessar um modelo e seus dados a qualquer momento, e não apenas hoje. A BigID monitora o acesso aos dados. e atividade O sistema mantém esse registro continuamente, de modo que o rastro de evidências necessário para uma auditoria já exista, em vez de precisar ser reconstruído sob pressão de prazos.

As teorias regulatórias variam de estado para estado e de continente para continente. A resposta prática, em quase todos os casos, começa no mesmo ponto: conhecer os dados suficientemente bem para demonstrar o raciocínio por trás deles, sempre que um órgão regulador solicitar.

Veja em ação

A maneira mais rápida de entender como isso se aplica ao seu próprio ambiente é compará-lo com seus próprios dados. Faça um tour autoguiado ou Agende uma demonstração ao vivo com a BigID. Um especialista irá explicar como a descoberta, a linhagem, a classificação e a governança de acesso se relacionam com as leis específicas às quais sua empresa está sujeita.

Perguntas frequentes

Isso se aplica a empresas que apenas utilizam IA, sem desenvolver seus próprios modelos? Sim, para a maioria das leis na seção "quem é afetado" acima. As leis de desenvolvimento de fronteira (Califórnia, Nova York, Illinois) aplicam-se de forma restrita aos maiores construtores de modelos. Quase todas as outras leis, como a lei ADMT do Colorado, a Lei Local 144 de Nova York e o Anexo III da Lei de IA da UE, aplicam-se a empresas que utilizam IA em decisões importantes, independentemente de terem ou não construído o modelo subjacente.

O que acontece se os requisitos da UE e dos EUA entrarem em conflito? Até o momento, elas diferem principalmente em escopo e cronograma, e não em conflito direto. O maior risco prático é tratá-las como vias de conformidade separadas quando o trabalho com os dados subjacentes — saber quais dados um sistema de IA acessa e ser capaz de documentá-los — é praticamente idêntico em ambas. Desenvolver essa capacidade uma única vez tende a atender a todas as jurisdições, em vez de exigir um programa separado por região.

Alguma lei estadual sobre IA foi de fato anulada ou revogada? Não. A Ordem Executiva 14365 orienta as agências federais a contestarem certas leis estaduais sobre IA e cria uma força-tarefa jurídica do Departamento de Justiça para esse fim, mas até o momento, nenhum tribunal ou lei federal anulou qualquer lei estadual sobre IA. Analistas jurídicos preveem, de forma geral, que a resolução desse problema levará anos, e não meses.

O atraso na Lei de IA da UE é um sinal de que ela está sendo enfraquecida? O texto do acordo não corrobora essa interpretação. O Acordo Digital Omnibus adiou os prazos de conformidade para sistemas de alto risco porque as normas técnicas e as orientações necessárias para a conformidade não estavam prontas a tempo. As categorias de risco, os requisitos essenciais e as regras do modelo fundamental já em vigor permanecem inalterados.

Qual é a ação de maior valor que uma empresa pode realizar agora, independentemente das leis aplicáveis? Crie um inventário preciso e atualizado de todos os sistemas e agentes de IA em uso e dos dados que cada um deles processa. Este é o pré-requisito para o cumprimento de praticamente todas as leis mencionadas neste guia, e também o elemento que a maioria das empresas não possui.

Glossário: termos que esta descrição pressupõe que você conheça.

Desenvolvedor de fronteira / modelo de fronteiraUma empresa que desenvolveu, ou está desenvolvendo, um modelo básico acima de um limite definido de poder computacional (10^26 FLOPs na estrutura da Califórnia). A categoria "Grande desenvolvedora de fronteira" adiciona um limite de receita, geralmente entre 1.000 e 500 milhões de dólares, e é a que acarreta as obrigações mais pesadas.

ADMT (Tecnologia de Tomada de Decisão Automatizada): Termo usado no Colorado para designar softwares que processam dados pessoais para tomar ou influenciar substancialmente uma decisão importante, como contratação, empréstimo ou concessão de moradia.

HRAIS (Sistema de IA para Alto Risco): O termo da Lei de IA da UE designa um sistema que se enquadra numa categoria de alto risco definida, dividida entre o Anexo III (sistemas autónomos, como ferramentas de recrutamento ou de avaliação de crédito) e o Anexo I (IA integrada em produtos já regulamentados, como dispositivos médicos).

risco catastróficoO limite que a maioria das leis de fronteira dos EUA usa para definir os danos que estão tentando prevenir, geralmente incidentes que poderiam contribuir para a morte ou ferimentos graves de 50 ou mais pessoas, ou causar danos acima de aproximadamente 1 bilhão de dólares.

incidente crítico de segurançaUm evento que um empreendedor pioneiro deve comunicar aos órgãos reguladores dentro de um prazo determinado, geralmente de 72 horas, ou 24 horas se houver risco iminente de morte ou lesão grave.

PreempçãoO princípio jurídico segundo o qual a lei de um nível superior de governo prevalece sobre uma lei conflitante de um nível inferior. Neste contexto, refere-se especificamente à questão em aberto de saber se a ação federal pode sobrepor-se às leis estaduais sobre inteligência artificial. Até o momento, nenhuma decisão nesse sentido foi tomada.

Ônibus DigitalO pacote de alterações da Comissão Europeia à Lei da Inteligência Artificial (e leis digitais relacionadas) visava simplificar a implementação e ajustar os prazos, e não reescrever a estrutura central da lei.

Plano de controle agéticoA camada de governança que proporciona visibilidade e controle sobre agentes de IA autônomos e os dados que eles podem acessar, manipular e movimentar, distinta dos modelos ou aplicativos sobre os quais os agentes são executados.

Autor

Sarah Hospelhorn

Diretor de Marketing

Residente no Brooklyn, Nova Iorque, Sarah concentra-se na estratégia por trás da resolução de problemas em segurança de dados e na narrativa que impulsiona a inovação no mercado. Ela atua na área de tecnologia há mais de 20 anos, com experiência em software empresarial, hardware e criptografia.