A Lei Que Chega Pelo Seu Chatbot

Durante mais de dois anos, regular inteligência artificial foi um exercício de paper. Textos longos, princípios abstratos, cronogramas distantes. Empresas liam os headlines sobre o AI Act europeu com a sensação confortável de quem assiste a uma tempestade em outro continente. O 2 de agosto de 2026 mudou isso. Não por reviravolta, mas porque a data que estava no calendário desde 2024 finalmente chegou: as autoridades nacionais dos 27 países da União Europeia ganharam poder para investigar, auditar e multar operadores de IA. A tempestade não está em outro continente. Ela está no seu chatbot.

O que aconteceu em 2 de agosto

O Regulamento (UE) 2024/1689, conhecido como AI Act, foi publicado no Diário Oficial da União Europeia em 12 de julho de 2024 e entrou formalmente em vigor no dia 1 de agosto daquele ano ^[1]. Mas entrar em vigor não significa poder ser aplicado. O artigo 113 do regulamento estabeleceu um calendário escalonado: as proibições a práticas de IA mais graves (vigilância social, pontuação de risco, manipulação subliminar) passaram a valer em 2 de fevereiro de 2025. O restante, incluindo os poderes de fiscalização e as multas, só ganhou aplicabilidade em 2 de agosto de 2026 ^[1][3]. E foi exatamente isso que aconteceu. Como o escritório Simmons and Simmons antecipou em análise técnica, os poderes de investigação das autoridades nacionais competentes e do AI Office europeu passam a valer nessa data. Antes dela, não havia sanção a aplicar, por mais que a lei já existisse no papel ^[3]. A partir de agora, existe. O detalhe que a maioria das empresas perdeu: o AI Act tem alcance extraterritorial. Se você coloca um sistema de IA no mercado europeu, ou se o output do seu sistema afeta pessoas na UE, você está no escopo. Não importa onde a empresa foi constituída.

A escala de multas que agora pode ser aplicada

O artigo 99 do AI Act define três níveis de penalidade, e eles superam até mesmo os do GDPR, que até então era o teto regulatório europeu para empresas de tecnologia ^[2][5]: Note o detalhe decisivo: o limite é 'o que for maior'. Uma empresa com faturamento global baixo paga o valor fixo. Uma empresa com faturamento alto paga a porcentagem. Para uma multinacional com 10 bilhões de euros de receita, 7% significa 700 milhões. Não existe teto superior. A multa escala junto com o tamanho do alvo ^[2][5].

Estrutura de multas do AI Act (Artigo 99):

• Práticas de IA proibidas (Artigo 5): até 35 milhões de euros OU 7% do faturamento global anual do exercício anterior, prevalecendo o valor maior [2].
• Sistemas de alto risco e descumprimento de obrigações de transparência, documentação e supervisão humana: até 15 milhões de euros OU 3% do faturamento global [2][4].
• Fornecimento de informação incorreta, incompleta ou enganosa a autoridades ou organismos notificadores: até 7,5 milhões de euros OU 1% do faturamento global [2].

O AI Act não inventou a ideia de regular IA. Ele criou uma classificação por risco que qualquer empresa consegue entender: se o seu sistema de IA afeta direitos fundamentais de uma pessoa (crédito, emprego, saúde, liberdade), você está na faixa de alto risco e precisa documentar, explicar e permitir revisão humana. Se está na faixa proibida, precisa parar. A regra é simples. A execução é o que custa caro.

- Gabriel Krüger, Arquiteto de Operações com IA

E o Brasil?

O PL 2338/2023, conhecido como Marco Legal da Inteligência Artificial, foi aprovado por unanimidade no Plenário do Senado Federal em 10 de dezembro de 2024 ^[6][7]. Remetido à Câmara dos Deputados em 17 de março de 2025, tramita desde então em Comissão Especial presidida pela deputada Luisa Canziani (PSD-PR) e relatada pelo deputado Aguinaldo Ribeiro (PP-PB) ^[7]. Em junho de 2026, a ficha oficial registra a fase 'Aguardando Parecer do(a) Relator(a)'. A votação foi sucessivamente adiada, com o impasse central sobre direito autoral de obras usadas no treinamento de modelos ^[7]. O relator anunciou intenção de apresentar parecer em junho de 2026, mas até o fechamento desta edição não havia registro oficial de substitutivo aprovado ^[7]. O texto aprovado no Senado segue o mesmo modelo do AI Act europeu: classificação de sistemas de IA por nível de risco (excessivo proibido, alto regulado, baixo livre), direitos das pessoas afetadas por decisões automatizadas (informação, contestação, revisão humana) e sanções ^[6][7]. As multas previstas chegam a R$ 50 milhões por infração ou 2% do faturamento da empresa no Brasil, o que for menor, dobrando em caso de reincidência ^[6][8].

Por que você não pode esperar a lei passar

Existe uma armadilha cognitiva comum: 'no Brasil a lei ainda nem existe, então não preciso fazer nada'. O problema é que a LGPD, em vigor desde 2020, já trata do tema pelo artigo 20, que disciplina decisões automatizadas com impacto sobre titulares de dados ^[7][9]. Em 2026, o Superior Tribunal de Justiça já rejeitou uso de IA generativa como prova judicial por falta de verificação de autenticidade, e tribunais começam a exigir governança explícita de ferramentas de IA ^[7]. Ou seja: mesmo sem o Marco Legal sancionado, o ambiente jurídico brasileiro já cobra responsabilidade sobre o uso de IA. A diferença é que hoje isso se resolve caso a caso, via jurisprudência e via LGPD. Quando o PL 2338 virar lei, virá um sistema estruturado com multas automáticas e autoridade designada.

O que fazer esta semana:

• Inventário de IA: liste TODOS os pontos onde sua empresa usa inteligência artificial hoje. Chatbot de atendimento, triagem de currículos, análise de crédito, geração de conteúdo, automação de e-mail. Não tem achismo aqui, tem mapeamento.
• Classificação por risco: para cada item do inventário, pergunte: isso afeta direitos de uma pessoa (crédito, emprego, saúde, dados pessoais)? Se sim, você está na faixa de alto risco e precisa de documentação, transparência e revisão humana.
• Documentação: para cada sistema de alto risco, crie um registro: o que faz, quais dados usa, como foi treinado, quem é responsável, como uma pessoa pode contestar uma decisão automatizada.
• Transparência: se você usa chatbot, avise que é IA. Se uma decisão importante foi automatizada, informe o afetado. Isso já é exigência da LGPD e será exigência do PL 2338.
• Revisão humana: garanta que toda decisão automatizada com impacto relevante tenha um caminho de revisão por ser humano. Não é burocracia, é proteção legal.

Há um padrão recorrente em regulação de tecnologia: as empresas que se antecipam tratam a conformidade como custo operacional controlável, distribuído ao longo do tempo. As que esperam até o último minuto tratam como passivo jurídico, concentrado e explosivo. O GDPR mostrou isso em 2018. Empresas que se organizaram com dois anos de antecedência absorveram o impacto. Empresas que esperaram o regulamento entrar em vigor gastaram depois em multas, advogados e retrabalho o que teriam gasto em dez anos de conformidade preventiva ^[5]. O AI Act vai repetir o padrão, mas em escala maior, porque as multas são maiores (7% contra 4% do GDPR) e o escopo é mais abrangente (não protege só dados, protege todo o ciclo de uso de IA) ^[5]. E o PL 2338 brasileiro, quando passar, vai importar essa mesma estrutura para o mercado nacional.