A Lei de IA da UE aplica-se às empresas dos EUA?
Análise do âmbito extraterritorial da Lei de IA da UE e o que as empresas SaaS dos EUA têm de saber sobre as suas obrigações de conformidade.
Principais Conclusões
- 1.Sim. A Lei de IA da UE aplica-se aos fornecedores que colocam no mercado da UE sistemas de IA ou modelos de IA de finalidade geral. Não importa onde estejam estabelecidos (artigo 2.º, n.º 1, alínea a)). Também ficam abrangidos os fornecedores que colocam sistemas de IA em serviço na União (artigo 2.º, n.º 1, alínea a)). No regulamento, o fornecedor chama-se «prestador».
- 2.Aplica-se também quando os resultados de um sistema de um país terceiro são utilizados na União (artigo 2.º, n.º 1, alínea c)).
- 3.Práticas proibidas: coimas até 35 milhões de EUR ou 7 % do volume de negócios anual mundial, o que for superior (artigo 99.º, n.º 3).
- 4.Os fornecedores de sistemas de risco elevado de fora da UE têm de designar um representante autorizado na UE («mandatário» no regulamento). Ele atua em seu nome perante as autoridades (artigo 22.º, n.º 1). A obrigação aplica-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III. Aos do anexo I aplica-se a partir de 2 de agosto de 2028 (artigo 113.º, terceiro parágrafo, alínea c)).
O artigo 5.º do Regulamento (UE) 2024/1689 proíbe práticas de IA, como a classificação social (artigo 5.º, n.º 1, alínea c)). As proibições aplicam-se desde 2 de fevereiro de 2025. As obrigações dos modelos de IA de finalidade geral aplicam-se desde 2 de agosto de 2025. São modelos capazes de realizar com competência uma vasta gama de tarefas distintas (artigo 3.º, ponto 63). As obrigações de transparência do artigo 50.º aplicam-se desde 2 de agosto de 2026. Incluem informar as pessoas de que interagem com IA e marcar os conteúdos gerados por IA. O artigo 50.º, n.º 2, prevê um prazo posterior para os sistemas já no mercado: 2 de dezembro de 2026 (artigo 111.º, n.º 4). Um fornecedor norte-americano sem oferta na UE e sem resultados utilizados na União fica de fora (artigo 2.º, n.º 1, alíneas a) e c)).
Próximo passo: liste os sistemas de IA que vende a clientes da UE e verifique cada um face ao artigo 2.º (as regras de âmbito). O anexo III é a lista de utilizações de risco elevado do regulamento, como recrutamento ou pontuação de crédito. As regras de risco elevado aplicam-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III. São as do capítulo III, secções 1 a 3 (exceto o artigo 6.º, n.º 5). Aos do anexo I aplicam-se a partir de 2 de agosto de 2028 (artigo 113.º, terceiro parágrafo, alínea c)). O anexo I abrange os produtos sujeitos à legislação de segurança da UE. O anexo I tem uma secção B com outra legislação de harmonização da União (artigo 2.º, n.º 2). Aos sistemas de risco elevado desses produtos aplicam-se apenas os artigos 6.º, n.º 1, 60.º-A e 102.º a 112.º. Os artigos 57.º a 59.º só se aplicam na medida em que essa legislação integre os requisitos de risco elevado.
Artigo 2.º: quem está abrangido
O artigo 2.º, n.º 1, nomeia sete grupos, entre os quais estes três:
Fornecedores que colocam sistemas de IA no mercado da UE (artigo 2.º, n.º 1, alínea a))
Responsáveis pela implantação na União (artigo 2.º, n.º 1, alínea b))
Fornecedores e responsáveis pela implantação de países terceiros cujos resultados são utilizados na União (artigo 2.º, n.º 1, alínea c))
Cinco cenários mostram onde o regulamento se aplica
Está abrangido se vender um sistema de IA na UE ou se os seus resultados forem utilizados na União (artigo 2.º, n.º 1, alíneas a) e c)).
| Cenário | Abrangido? | Papel |
|---|---|---|
| SaaS com funcionalidades de IA vendido a empresas da UE | Sim | Fornecedor (artigo 2.º, n.º 1, alínea a)) |
| API usada por integradores ou programadores na UE | Sim | Fornecedor do sistema ou do modelo que oferece (artigo 2.º, n.º 1, alínea a)) |
| Modelo de IA de finalidade geral que outros integram em produtos oferecidos na UE | Sim | Fornecedor de um modelo de IA de finalidade geral (artigo 2.º, n.º 1, alínea a); obrigações nos artigos 53.º a 55.º) |
| Ferramenta interna usada apenas por trabalhadores sediados nos EUA, sem resultados utilizados na União | Não | Não aplicável: não se verifica nem a alínea a) nem a alínea c) do artigo 2.º, n.º 1 |
| Produto sem clientes na UE e sem resultados utilizados na União | Não | Não aplicável: não se verifica nem a alínea a) nem a alínea c) do artigo 2.º, n.º 1 |
Os seus sistemas de IA dividem-se em quatro grupos com obrigações diferentes
Verifique cada sistema face ao artigo 5.º (práticas proibidas), ao anexo III (utilizações de risco elevado) e ao artigo 50.º (transparência).
Práticas proibidas (artigo 5.º)
Sistemas de risco elevado (artigo 6.º, anexo III)
Obrigações de transparência (artigo 50.º)
Outros sistemas de IA
Os fornecedores de modelos de IA de finalidade geral têm de cumprir os artigos 53.º a 55.º
Se fornecer um modelo de IA de finalidade geral, aplicam-se-lhe os artigos 53.º e 54.º, e o artigo 55.º se o modelo tiver risco sistémico. O risco sistémico é um risco específico das capacidades de elevado impacto dos modelos de IA de finalidade geral (artigo 3.º, ponto 65). Estas obrigações aplicam-se desde 2 de agosto de 2025. Para os modelos colocados no mercado antes dessa data, o prazo é 2 de agosto de 2027 (artigo 111.º, n.º 3). As obrigações incluem:
- Documentação técnica do modelo e informação para os fornecedores que o integram (artigo 53.º, n.º 1, alíneas a) e b)). Estas duas obrigações não se aplicam a modelos sob licença livre e de código aberto que permite o acesso, a utilização, a modificação e a distribuição. A exceção exige que os parâmetros (incluindo as ponderações) e a informação sobre arquitetura e utilização sejam públicos. Não vale se o modelo tiver risco sistémico (artigo 53.º, n.º 2)
- Uma política de cumprimento do direito de autor da UE e um resumo público dos conteúdos utilizados para o treino (artigo 53.º, n.º 1, alíneas c) e d))
- Um representante autorizado na União, se estiver estabelecido num país terceiro (artigo 54.º; os modelos de código aberto sem risco sistémico estão isentos nos termos do artigo 54.º, n.º 6)
- Para modelos com risco sistémico: avaliação do modelo, incluindo testes adversariais, avaliação e mitigação dos riscos sistémicos, comunicação de incidentes graves e proteção da cibersegurança (artigo 55.º)
Precisa de um representante autorizado na UE?
Apenas se fornecer um sistema de IA de risco elevado (artigo 22.º) ou um modelo de IA de finalidade geral (artigo 54.º). Antes de disponibilizar um sistema de risco elevado na União, tem de designar aí um representante autorizado por mandato escrito (artigo 22.º, n.º 1). Num mandato escrito, o fornecedor autoriza o representante a agir em seu nome (artigo 3.º, ponto 5). O mandato inclui conservar a documentação técnica durante 10 anos e prestar informações às autoridades, a pedido (artigo 22.º, n.º 3).
A obrigação do artigo 22.º aplica-se a partir de 2 de dezembro de 2027 para os sistemas do anexo III (artigo 113.º, terceiro parágrafo, alínea c)). Para os do anexo I, aplica-se a partir de 2 de agosto de 2028. O anexo I, secção B, é uma exceção (artigo 2.º, n.º 2). A obrigação do artigo 54.º para os modelos de IA de finalidade geral aplica-se desde 2 de agosto de 2025 (artigo 113.º, terceiro parágrafo, alínea b)). O RGPD tem um requisito comparável para os representantes de responsáveis pelo tratamento e subcontratantes de fora da UE (artigo 27.º do RGPD).
As datas principais a partir das quais as obrigações se aplicam
Aplica-se
2 de fevereiro de 2025: práticas proibidas (artigo 5.º) e literacia em matéria de IA
Aplica-se
2 de agosto de 2025: obrigações dos fornecedores de modelos de IA de finalidade geral
Aplica-se
2 de agosto de 2026: data geral de aplicação, incluindo as obrigações de transparência do artigo 50.º e as coimas do artigo 101.º aos fornecedores de modelos de IA de finalidade geral
Próxima data
2 de dezembro de 2026: artigo 5.º, n.º 1, alíneas ba) e bb), e n.os 1-A e 1-B (imagens sexualmente explícitas sem consentimento; material de abuso sexual de crianças); artigo 50.º, n.º 2, para sistemas já colocados no mercado
Mais tarde
2 de dezembro de 2027: capítulo III, secções 1 a 3 (exceto o artigo 6.º, n.º 5), para os sistemas do anexo III
Mais tarde
2 de agosto de 2028: capítulo III, secções 1 a 3 (exceto o artigo 6.º, n.º 5), para os sistemas do anexo I
Quatro passos levam uma empresa dos EUA do inventário ao representante autorizado na UE
Inventarie os seus sistemas de IA
Liste os sistemas de IA que coloca no mercado da UE ou cujos resultados são utilizados na União (artigo 2.º, n.º 1).
Classifique o risco
Verifique cada sistema face ao artigo 5.º e ao anexo III. O anexo III enumera utilizações, como recrutamento e pontuação de crédito. Os sistemas enumerados no anexo III são de risco elevado (artigo 6.º, n.º 2). O artigo 6.º, n.º 3, indica as condições em que um destes sistemas não é de risco elevado.
Prepare a documentação técnica
Para os sistemas de risco elevado, o anexo IV enumera nove pontos de documentação técnica. Os primeiros são: descrição geral, processo de desenvolvimento, monitorização e controlo, métricas de desempenho e gestão de riscos. Os restantes são: alterações ao longo do ciclo de vida, normas aplicadas, a declaração de conformidade e o sistema de acompanhamento pós-comercialização. Mantenha a documentação atualizada (artigo 11.º, n.º 1).
Designe um representante autorizado na UE
Obrigatório antes de disponibilizar um sistema de risco elevado na União, se estiver estabelecido num país terceiro (artigo 22.º).
O RGPD abrange também organizações fora da UE, mas a sua regra de âmbito é diferente
O RGPD abrange também organizações fora da UE que oferecem bens ou serviços a pessoas na União ou monitorizam o seu comportamento (artigo 3.º, n.º 2, do RGPD). A regra de âmbito da Lei de IA é diferente: segue a colocação no mercado e a utilização dos resultados na União (artigo 2.º, n.º 1).
Leitura Relacionada
Fontes e Referências
- Regulation (EU) 2024/1689 — EU Artificial Intelligence Act — incluindo o artigo 2.º (âmbito), o artigo 3.º (definições) e o artigo 99.º (coimas).
- Regulation (EU) 2026/1744 — Digital Omnibus on AI — artigos 2.º (n.º 2), 3.º (pontos 14-A e 14-B), 4.º, 5.º, 99.º (n.º 6-A), 111.º (n.º 4) e 113.º, na redação alterada ou inserida.
- Regulation (EU) 2016/679 — GDPR — o artigo 3.º, n.º 2, é a regra de âmbito territorial do RGPD; o artigo 27.º exige um representante na União.
- Columbia Law School — The ‘Brussels Effect’ and the International Order
Perguntas frequentes
A Lei de IA da UE aplica-se às empresas dos EUA?
Sim, se colocar um sistema de IA ou um modelo de IA de finalidade geral no mercado da UE. Também se os resultados do seu sistema de IA forem utilizados na União. Estar estabelecido nos EUA não importa (artigo 2.º, n.º 1, alíneas a) e c)). As exclusões do artigo 2.º continuam a aplicar-se. Por exemplo, a utilização militar, de defesa e de segurança nacional (artigo 2.º, n.º 3). Ficam também de fora os sistemas de IA desenvolvidos exclusivamente para investigação científica (artigo 2.º, n.º 6).
O que é o Efeito Bruxelas na regulação da IA?
Anu Bradford cunhou o termo efeito Bruxelas para descrever o cumprimento das normas da UE pelas empresas multinacionais em todas as suas operações mundiais (fonte: Columbia Law School). A regra de âmbito da Lei de IA (artigo 2.º, n.º 1) já alcança fornecedores de fora da UE.
A Lei de IA da UE aplica-se a produtos SaaS B2B?
Sim, se o produto incluir um sistema de IA e o colocar no mercado da UE ou se os seus resultados forem utilizados na União (artigo 2.º, n.º 1). Nesse caso, é o fornecedor. As obrigações do fornecedor de sistemas de risco elevado incluem: sistema de gestão de riscos (artigo 9.º), documentação técnica (artigo 11.º) e avaliação da conformidade (artigo 16.º, alínea f)). Aplicam-se a partir de 2 de dezembro de 2027 para os sistemas do anexo III (artigo 113.º, terceiro parágrafo, alínea c)). A avaliação da conformidade é o processo de demonstrar que os requisitos do capítulo III, secção 2, são cumpridos (artigo 3.º, ponto 20). Os sistemas que não são de risco elevado não têm as obrigações dos artigos 9.º a 15.º. Os artigos 4.º e 50.º podem continuar a aplicar-se.
O que acontece se uma empresa dos EUA ignorar a Lei de IA da UE?
As coimas por práticas proibidas chegam a 35 milhões de EUR ou 7 % do volume de negócios anual mundial. Aplica-se o montante mais elevado (artigo 99.º, n.º 3). O incumprimento das obrigações de fornecedores (artigo 16.º), responsáveis pela implantação (artigo 26.º) e do artigo 50.º é sancionado com coimas. Estas chegam a 15 milhões de EUR ou 3 % do volume de negócios anual mundial. Também aqui se aplica o montante mais elevado (artigo 99.º, n.º 4). As PME são as micro, pequenas ou médias empresas (artigo 3.º, ponto 14-A). As PME, incluindo as empresas em fase de arranque, pagam o menor entre a percentagem e o montante fixo (artigo 99.º, n.º 6). As pequenas empresas de média capitalização (artigo 3.º, ponto 14-B) pagam igualmente o montante menor. Vale para as coimas do artigo 99.º, n.os 4 e 5 (artigo 99.º, n.º 6-A). Quando um sistema apresenta um risco e se constata que não cumpre, as autoridades exigem medidas corretivas, a retirada ou a recolha (artigo 79.º). As regras de risco elevado aplicam-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III. São as do capítulo III, secções 1 a 3 (exceto o artigo 6.º, n.º 5). Aos do anexo I aplicam-se a partir de 2 de agosto de 2028 (artigo 113.º, terceiro parágrafo, alínea c)). O anexo I, secção B, é uma exceção (artigo 2.º, n.º 2). Aí aplicam-se apenas o artigo 6.º, n.º 1, o artigo 60.º-A (ensaios em condições reais) e os artigos 102.º a 112.º (disposições finais). Os artigos 57.º a 59.º (ambientes de teste regulatórios de IA) só se aplicam na medida em que essa legislação integre os requisitos de risco elevado.
Uma empresa dos EUA precisa de um representante autorizado na UE para a Lei de IA?
Apenas para sistemas de IA de risco elevado (artigo 22.º) e modelos de IA de finalidade geral (artigo 54.º). Os modelos de código aberto sem risco sistémico estão isentos (artigo 54.º, n.º 6). Um fornecedor estabelecido num país terceiro designa o representante na União por mandato escrito antes de disponibilizar o sistema ou o modelo. O representante conserva documentos e presta informações às autoridades, a pedido (artigo 22.º, n.º 3).
O Scanara prepara evidências a partir dos seus repositórios
O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.