A regulação da IA, explicada para quem não é advogado

Regular a inteligência artificial é, no fundo, um exercício simples: em vez de perguntar "que tecnologia é esta?", os legisladores perguntam "quanto dano ela pode causar se der errado?". Quanto mais dano possível, mais regras. Essa virada, de regular a máquina para regular o risco, é a ideia que a Europa transformou em lei em 2024 e que hoje marca o ritmo do resto do mundo. Todo o resto são detalhes dessa mesma pergunta.

Durante anos a conversa sobre regras para a IA foi puro fumaça de conferência: princípios bonitos, declarações de boa vontade, nenhuma consequência. Isso acabou. Em 2024 surgiu o primeiro texto legal amplo e com dentes, e de repente empresas do mundo inteiro tiveram que se perguntar algo bem concreto: isto que estou construindo me obriga a cumprir com alguém? Aqui vai o mapa, sem latim jurídico.

01 · a ideiaRegular por risco, não por tecnologia

A abordagem que venceu a disputa se chama regulação baseada em risco. Em vez de escrever uma regra para "os chatbots" e outra para "os modelos de imagem" (tecnologias que mudam a cada seis meses e deixariam a lei obsoleta ao nascer), classifica-se cada uso da IA segundo o dano que poderia causar às pessoas. Um filtro de spam e um sistema que decide quem recebe um crédito são a mesma "tecnologia" a grosso modo, mas não jogam na mesma liga de consequências.

A Europa formalizou essa ideia em quatro níveis. Pense neles como um semáforo com um degrau a mais: o que é proibido, o que é vigiado de perto, o que só precisa ser transparente, e o que fica livre.

A pergunta já não é o que a máquina faz, e sim a quem ela pode fazer dano se falhar.

Esse desenho tem uma virtude política: quase ninguém discute que um sistema que dê nota social aos cidadãos deva ser proibido, nem que um filtro de spam deva ser deixado em paz. A briga, como veremos, está no degrau intermediário.

02 · o textoO que a lei europeia diz de verdade

A norma se chama Regulamento (UE) 2024/1689, mais conhecido como AI Act ou Lei de IA. Foi publicado no Jornal Oficial da União Europeia em 12 de julho de 2024 e entrou em vigor em 1 de agosto daquele ano [1]. Não se aplica tudo de uma vez: chega por etapas ao longo de vários anos, e esse calendário escalonado é justamente o que convém acompanhar.

A primeira coisa a entrar em vigor foram as proibições. Desde 2 de fevereiro de 2025 ficam vetados na União Europeia certos usos considerados incompatíveis com os direitos fundamentais [1]: a pontuação social ao estilo de um ranking de cidadãos, a manipulação subliminar para alterar condutas, ou a raspagem massiva e indiscriminada de rostos da internet para montar bases de reconhecimento facial. São os usos do pico vermelho da pirâmide.

O coração da lei, porém, é o alto risco. Aí caem sistemas que decidem sobre coisas sérias: acesso à educação, contratação de pessoal, avaliação de crédito, dispositivos médicos, gestão de infraestruturas. Não são proibidos, mas para vendê-los ou operá-los é preciso cumprir obrigações concretas: documentação técnica, dados de treinamento revisáveis, supervisão humana real, registro de eventos e avaliação de conformidade antes de chegar ao mercado.

Para o cidadão comum, o nível que mais se percebe é o risco limitado: a obrigação de transparência. Se você fala com um chatbot, devem lhe dizer. Se uma imagem ou um vídeo foram gerados por IA, devem marcá-lo. A ideia é simples e velha como o jornalismo: você tem direito a saber se o que vê é real ou fabricado.

03 · o resto do mundoOs que vão mais devagar (e por quê)

A Europa legislou com um regulamento vinculante. O resto do mundo, por ora, prefere um caminho distinto: marcos voluntários e regras por setores, não uma lei única. Não é necessariamente preguiça; é uma aposta política diferente sobre como não sufocar a inovação enquanto se aprende com o terreno.

Nos Estados Unidos, em vez de uma lei federal ampla, o instrumento mais citado é o AI Risk Management Framework do NIST, publicado em janeiro de 2023. É um guia técnico, voluntário, para que as organizações identifiquem e gerenciem riscos de seus sistemas de IA [2]. Não obriga ninguém por si só, mas virou um padrão de fato que muitos contratos e seguradoras já exigem.

Antes de todos eles, em 2019, a OCDE aprovou os Princípios sobre IA, o primeiro conjunto de padrões intergovernamentais do tema, adotados por dezenas de países e atualizados em 2024 [3]. Não são lei, mas são o vocabulário comum (transparência, robustez, prestação de contas, supervisão humana) do qual bebem quase todas as regulações nacionais que vieram depois.

O mapa, então, não é "a Europa regula e os demais não". É "a Europa escolheu regras vinculantes e a maioria escolheu, por ora, guias voluntários e leis setoriais". Duas velocidades, mesma direção: que a IA de alto impacto preste contas.

04 · para vocêO que você deve acompanhar, seja usuário ou empresa

Vamos ao concreto, que é onde esta conversa deixa de ser notícia e começa a importar para você.

Se você é usuário, tem dois direitos que já pode exercer onde a lei europeia se aplica, e que convém exigir em todo lugar: saber quando fala com uma máquina e não com uma pessoa, e saber quando um conteúdo foi gerado por IA. Se um sistema toma uma decisão importante sobre você (uma recusa de crédito, um descarte numa seleção), você tem base para pedir uma explicação e uma revisão humana. Nem sempre vão dá-la com um sorriso, mas o marco existe.

Se você tem uma empresa, a pergunta operacional é uma só: em que degrau da pirâmide cai o que eu uso ou construo? Um e-mail comercial redigido por IA é risco mínimo e não obriga você a nada novo. Um sistema que filtra currículos ou que decide preços para clientes específicos pode escalar rápido. Antes de temer multas, faça o inventário: quais sistemas de IA você usa, sobre o que decidem, e a quem afetam se erram.

Você não precisa de um advogado para dar o primeiro passo: precisa de uma lista honesta do que a IA decide na sua operação.

Esse inventário (quais sistemas, com quais dados, decidindo o que sobre quem) é a base tanto do cumprimento quanto da IA responsável em geral. Curiosamente, quase tudo o que a lei exige coincide com o que qualquer organização sensata gostaria de saber sobre suas próprias ferramentas mesmo que não houvesse lei alguma.

A regulação da inteligência artificial seguirá mudando; os prazos europeus se estendem por anos e outros países publicarão suas próprias regras. Mas a bússola já está fixada e é fácil de lembrar: quanto maior o dano possível, maior a prestação de contas. Quem entende essa frase entende, sem ser advogado, quase tudo o que vem por aí.