Em 27 de julho de 2026, entrou em vigor o Regulamento Omnibus da UE sobre IA, a primeira alteração substancial à Lei de IA desde 2024. Este regulamento adia o prazo para a implementação da IA de alto risco, que estava previsto para 2 de agosto de 2026, mas mantém as obrigações de transparência e fiscalização nas datas originais. Sistemas autônomos de alto risco agora têm até 2 de dezembro de 2027. Sistemas de alto risco integrados a produtos têm até 2 de agosto de 2028. As regras de transparência do Artigo 50, os poderes de fiscalização da IA de propósito geral (GPAI) e a autoridade de vigilância de mercado ainda entram em vigor em 2 de agosto de 2026.
Se o seu plano de conformidade foi elaborado com base na data original, a pressão diminuiu. No entanto, o Omnibus foi concebido como uma simplificação, não como uma reversão, e três obrigações permaneceram inalteradas.
A quem isso afeta
- Qualquer organização cujo sistema de IA produza resultados que alcancem usuários, clientes ou cidadãos da UE, independentemente de onde a empresa esteja sediada.
- Os fornecedores, organizações que criam ou colocam sistemas de IA no mercado, e os implementadores, organizações que os utilizam, têm obrigações distintas nos termos da Lei.
- Inteligência Artificial de Propósito Geral (GPAI) As obrigações aplicam-se a qualquer pessoa que forneça um modelo de uso geral e a qualquer pessoa que o incorpore, incluindo modelos prontos para uso integrados em um produto.
- As práticas proibidas aplicam-se universalmente, independentemente do setor ou porte, e estão em vigor desde fevereiro de 2025.
- Anexo III As obrigações de alto risco aplicam-se a casos de uso específicos: emprego e gestão de trabalhadores, avaliação de crédito e acesso a seguros, educação, infraestrutura crítica, aplicação da lei, migração e controle de fronteiras.
- Artigo 50 A transparência aplica-se de forma ampla a qualquer organização que utilize um chatbot, gere conteúdo sintético ou use IA em interações com clientes, independentemente de o sistema subjacente ser considerado de alto risco ou não.
As Duas Datas: A Reinicialização do Ônibus
- Prazo de alto risco, sistemas independentes do Anexo III: agosto de 2026 a 2 de dezembro de 2027
- Sistemas do Anexo I integrados ao produto e com prazo de alto risco: agosto de 2026 a 2 de agosto de 2028
- Requisito de alfabetização em IA: foi flexibilizado, passando de “garantir alfabetização suficiente” para “tomar medidas que apoiem o desenvolvimento da alfabetização”.”
- Obrigações de marca d'água: período transitório de quatro meses adicionado para sistemas já comercializados antes de agosto de 2026.
O que ainda será necessário em 2 de agosto de 2026
- Obrigações de transparência do Artigo 50: divulgação quando alguém interage com um sistema de IA, rotulagem de conteúdo gerado por IA, marcação de deepfakes.
- Autoridades nacionais de fiscalização de mercado ganham poder para investigar e sancionar violações da Lei de Informática.
- Os poderes de fiscalização da Comissão Europeia sobre os fornecedores de GPAI são ativados.
- As obrigações de conformidade com o GPAI, em vigor desde agosto de 2025, passam a estar sujeitas a penalidades reais.
- Em separado, uma nova proibição de imagens íntimas não consensuais e de IA geradora de deepfakes entra em vigor em 2 de dezembro de 2026, por sua própria conta.
O Gabinete de Inteligência Artificial já iniciou um processo de fiscalização sobre mídias sintéticas antes mesmo da chegada da fase de alto risco, o que demonstra que a camada de fiscalização está operando agora, e não esperando até 2027.
Órgãos de padronização ainda estão atrasados em relação ao cronograma.
Esta é a primeira alteração à Lei desde a sua aprovação, e as normas técnicas harmonizadas para conformidade com normas de alto risco ainda estão atrasadas, o que explica, em parte, o atraso inicial. Considerar dezembro de 2027 como data fixa é apostar que nada mais mudará até lá.
Trabalhos de conformidade de alto risco, documentação de governança de dados, gestão de riscos e planejamento de supervisão humana levam anos para serem construídos adequadamente. O tempo adicional só vale a pena se for usado para construir essa base agora, em vez de esperar até que o prazo final esteja próximo novamente.
Nada disso altera o prazo que se aproxima. Qualquer empresa com um chatbot voltado para o cliente, um recurso de geração de conteúdo ou um modelo de terceiros incorporado precisa ter a divulgação e a rotulagem do Artigo 50 funcionando antes de 2 de agosto, independentemente de seus sistemas de alto risco terem sido afetados pelo atraso.
Primeiro o inventário, depois tudo o resto.
- Inventariar todos os sistemas de IA em uso na organização, incluindo ferramentas cuja aquisição nunca foi formalmente aprovada.
- Classifique cada sistema de acordo com as categorias proibidas, de alto risco, GPAI e de obrigação de transparência.
- Confirme se os mecanismos de divulgação e rotulagem do Artigo 50 estão ativos para todos os produtos voltados para o cliente.
- Reajustar o roteiro de alto risco para as novas datas sem interromper o trabalho subjacente de governança de dados.
- Atribua a responsabilidade pelo monitoramento regulatório contínuo, visto que essa estrutura já foi alterada uma vez este ano.
Uma sequência de quatro anos, não uma única data.
- De agora até 2 de agosto de 2026: Finalizar o inventário e a classificação dos sistemas de IA; confirmar se os mecanismos do Artigo 50 estão em funcionamento; documentar o uso do GPAI em toda a plataforma de fornecedores.
- Até o final de 2026: Construir a base de governança de dados para sistemas do Anexo III, documentação de dados de treinamento, linhagem, controles de acesso, no novo cronograma.
- Até 2027: Avaliações de conformidade completas e documentação técnica para sistemas autônomos de alto risco antes de 2 de dezembro de 2027.
- Até 2028: Estender o mesmo trabalho a sistemas de alto risco incorporados ao produto antes de 2 de agosto de 2028.
Como o BigID ajuda
Todas as obrigações neste contexto, atuais ou futuras, baseiam-se na mesma questão: a organização sabe quais dados alimentam seus sistemas de IA, de onde vieram e quem pode acessá-los?.
- Anexo III - Documentação sobre governança de dados: descobre e classifica Os dados de treinamento, validação e teste que sustentam um sistema de IA, de modo que "os dados são representativos e isentos de erros" seja uma constatação documentada, e não uma mera afirmação.
- IA Sombra e inventário do sistema: Expõe os modelos e ferramentas de IA que estão realmente em execução no ambiente, incluindo aqueles que ninguém solicitou, preenchendo a lacuna com a qual a maioria dos exercícios de classificação começa.
- Rastreamento de dados de entrada e saída em fluxos de trabalho de IA: Mapeia como os dados sensíveis e regulamentados se movem. em treinamento, ajustes finos e prompts, e onde os resultados do modelo chegam posteriormente
- Governança de acesso para dados de treinamento e de saída: Mostra quem e o que pode acessar os dados por trás de um modelo, as evidências de controle de acesso exigidas pelos requisitos de supervisão do Anexo III.
- Preparação para o Artigo 50: A mesma camada de descoberta que encontra a IA paralela é a que identifica quais sistemas estão gerando conteúdo em primeiro lugar.
- Auditoria e evidências de conformidade: Transforma o trabalho de inventário, classificação e rastreabilidade em documentação que se mantém válida quando solicitada por uma autoridade de fiscalização de mercado.
Um modelo que outros órgãos reguladores estão observando.
O Lei de IA da UE Supostamente, deveria ser o modelo definitivo para a regulamentação da IA, da seguinte forma: RGPD tornou-se o modelo para a privacidade. A Lei Omnibus complica essa história sem enfraquecê-la. Ela mostra um órgão regulador respondendo à lacuna entre o que legislou e o que os órgãos de padronização e as empresas conseguiram entregar dentro do prazo, mantendo-se firme nos pontos que considera inegociáveis: proibições, transparência e autoridade para fazer cumprir as normas.
O padrão a observar, tanto na UE como em qualquer outro lugar onde se elaborem regras de IA, é o seguinte: as datas vinculadas aos direitos fundamentais e à confiança pública são alteradas primeiro e mantêm-se fixas, enquanto as datas vinculadas à conformidade técnica são alteradas de acordo com o cronograma que a realidade permite. A base da governança de dados é o único investimento que se mantém independentemente de qual prazo individual seja alterado a seguir.
Prepare-se para a próxima fase da conformidade com a IA.
A legislação da UE sobre IA continua a evoluir, mas um requisito permanece constante: as organizações precisam de visibilidade sobre seus sistemas de IA, os dados que utilizam e os riscos que representam. Descubra como a BigID ajuda a inventariar ativos de IA, classificar dados sensíveis e construir uma base sólida para a governança de IA e a conformidade regulatória.
Autor
