Principais pontos
- O AI Act (Regulamento UE 2024/1689) entrou em vigor em 1º de agosto de 2024, com obrigações para sistemas de risco elevado aplicáveis a partir de agosto de 2026.
- Multas pelo AI Act podem chegar a 35 milhões de euros ou 7% do faturamento global anual para violações envolvendo sistemas proibidos.
- O PL 2.338/2023, em tramitação no Senado Federal, replica a estrutura de risco do AI Act e prevê sanções administrativas análogas às da LGPD (Lei 13.709/2018).
- A LGPD, art. 20, já garante ao titular o direito de revisão de decisões automatizadas, obrigação vigente e aplicável a qualquer sistema de IA que processe dados de brasileiros.
- Empresas brasileiras que exportam soluções de IA para a UE estão sujeitas ao AI Act independentemente de terem sede na Europa, conforme o art. 2º do Regulamento.
Segundo reportagem do Startupi, a crise de componentes eletrônicos que afeta fabricantes de hardware não é um fenômeno imprevisível: é resultado de falha de planejamento. Fabricantes que ignoraram sinais de ruptura nas cadeias de suprimento agora colhem custos de reposição e atrasos que poderiam ter sido evitados com antecipação estratégica.
O paralelo com a regulação de inteligência artificial é direto e inevitável. Founders, CTOs e investidores que constroem produtos de IA sem mapear o ambiente regulatório dos mercados-alvo incorrem no mesmo erro: tratam a norma como variável exógena e imprevisível, quando ela é, na prática, uma restrição técnica conhecida com antecedência.
O AI Act europeu está em vigor desde agosto de 2024. O PL 2.338/2023 tramita no Senado com previsão de votação em 2026. A LGPD já impõe obrigações a decisões automatizadas desde 2020. O problema não é a chegada da regulação: é a ausência de planejamento para recebê-la.
AI Act, PL 2.338/2023 e LGPD: obrigações vigentes e futuras
O quadro regulatório que envolve sistemas de inteligência artificial opera em três camadas simultâneas para empresas brasileiras: o regime europeu já vigente, a legislação brasileira em aprovação e as obrigações da LGPD já aplicáveis. Ignorar qualquer uma dessas camadas representa risco jurídico concreto, não especulativo.
AI Act (Regulamento UE 2024/1689): estrutura de risco e prazos
O Regulamento UE 2024/1689, conhecido como AI Act, divide os sistemas de IA em quatro categorias de risco. A tabela abaixo resume as categorias, exemplos e as obrigações principais:
| Categoria de Risco | Exemplos | Obrigação Principal | Prazo de Vigência |
|---|---|---|---|
| Inaceitável (proibido) | Score social governamental, manipulação subliminar | Proibição total | Fevereiro de 2025 |
| Elevado | Seleção de crédito, triagem de empregos, saúde | Registro, auditoria, documentação técnica | Agosto de 2026 |
| Transparência | Chatbots, deepfakes | Identificação obrigatória ao usuário | Agosto de 2026 |
| Mínimo | Filtros de spam, recomendações simples | Sem obrigação adicional | Vigente |
O art. 2º do AI Act adota o princípio da territorialidade expandida: qualquer empresa, independentemente de onde esteja sediada, está sujeita ao regulamento se seu sistema de IA for disponibilizado no mercado europeu ou se seus resultados afetarem pessoas na UE. Uma startup brasileira com clientes em Portugal, Espanha ou Alemanha está, portanto, no escopo do regulamento.
PL 2.338/2023: estrutura brasileira inspirada no modelo europeu
O PL 2.338/2023, de autoria do Senador Rodrigo Pacheco, replica a lógica de faixas de risco do AI Act e tramita na Comissão Temporária de IA do Senado Federal. Embora ainda não aprovado (tese não pacificada em legislação vigente), o texto já estabelece o caminho interpretativo que o regulador brasileiro deve seguir. As principais obrigações previstas incluem:
- Avaliação de impacto para sistemas de risco elevado, semelhante ao RIPD da LGPD;
- Transparência algorítmica obrigatória para decisões que afetem direitos do cidadão;
- Responsabilidade solidária entre desenvolvedor e operador do sistema de IA;
- Sanções administrativas análogas à LGPD: até 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração.
LGPD (Lei 13.709/2018): obrigação vigente para decisões automatizadas
Independentemente do AI Act ou do PL 2.338/2023, a LGPD já impõe, no art. 20, o direito do titular de solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado que afetem seus interesses. Isso inclui decisões de crédito, triagem de candidatos, precificação personalizada e qualquer output de modelo de IA que produza efeito jurídico ou equivalente sobre o titular.
A ANPD (Autoridade Nacional de Proteção de Dados) publicou, em 2024, resolução reconhecendo a aplicabilidade do art. 20 a sistemas de IA generativa em contextos B2C. Empresas que operam modelos de linguagem com interface direta ao consumidor devem documentar o mecanismo de revisão e torná-lo acessível.
Impacto prático para startups de IA brasileiras em 2026
A analogia da crise de componentes é precisa: o custo de adequação regulatória cresce exponencialmente quando feito após o lançamento do produto. Redesenhar arquitetura de modelo, implementar logs de auditoria e criar fluxos de revisão humana em sistema já em produção custa entre três e cinco vezes mais do que construir esses controles desde o início, segundo estimativas do setor de conformidade de software.
Para founders e CTOs, o impacto prático se divide em três frentes imediatas. A primeira é o mapeamento de mercado: se o produto tiver qualquer cliente ou usuário final na UE, o AI Act se aplica agora, não quando a empresa abrir subsidiária europeia. A segunda é a classificação de risco do sistema: um modelo de crédito, triagem de RH ou diagnóstico médico cai automaticamente na faixa de risco elevado do AI Act, com obrigações de documentação técnica e registro no banco de dados da Comissão Europeia antes de agosto de 2026. A terceira frente é a cadeia contratual: contratos B2B com clientes europeus precisam refletir as obrigações do AI Act, distribuindo responsabilidades entre fornecedor (provedor do modelo) e operador (quem integra e usa o modelo).
Para advogados e contadores que atendem empresas de tecnologia, o ponto de atenção está na estruturação societária e fiscal. Empresas que pretendem operar no mercado europeu devem avaliar se uma subsidiária europeia (frequentemente na Irlanda, Holanda ou Portugal) reduz a exposição regulatória direta ou se a operação via exportação de serviço digital mantém o mesmo escopo de obrigações do AI Act, o que, na maioria dos casos, é verdadeiro.
Antes de escalar para mercados europeus, o gestor precisa saber em qual faixa de risco do AI Act seu produto se enquadra. Essa resposta define arquitetura, contrato e estratégia de entrada, não apenas compliance.
Lucas Mantovani, sócio da SAFIE (OAB-SP 506.733)
Planejamento regulatório como vantagem competitiva
A crise de componentes, como apontou o Startupi, não veio por surpresa: os sinais estavam disponíveis e foram ignorados. O ambiente regulatório de IA em 2026 oferece o mesmo padrão: as normas estão publicadas, os prazos são conhecidos e as sanções estão dimensionadas. Empresas que iniciarem o processo de conformidade agora terão menor custo, maior previsibilidade contratual e argumento competitivo real com clientes europeus e investidores de impacto.
O alinhamento antecipado com o AI Act e com o PL 2.338/2023 não é gasto de compliance: é redução de passivo futuro e, em mercados B2B com grandes corporações europeias como clientes, pode ser o critério de aprovação ou reprovação em um processo de vendor selection. Founders que entendem isso antes dos concorrentes ganham tempo, contrato e credibilidade.