AI Act europeu e empresas brasileiras: o que muda

O AI Act europeu se aplica a empresas brasileiras que vendem sistemas de IA para clientes na União Europeia, atendem usuários europeus ou operam IA cujo resultado afeta pessoas na UE — mesmo sem escritório, funcionário ou servidor em território europeu. É a mesma lógica de alcance extraterritorial que a LGPD copiou do GDPR, agora aplicada a sistemas de IA em vez de dados pessoais. Este guia é para quem decide risco regulatório — jurídico, compliance, diretoria — e responde três perguntas: sua empresa está no escopo do AI Act, o que de fato entra em vigor e quando (o cronograma mudou em julho de 2026, e boa parte do conteúdo em português ainda não reflete isso), e como essa obrigação externa se conecta com a LGPD e o Marco Legal da IA brasileiro.

O AI Act se aplica a uma empresa que nunca vendeu nada na Europa?

Depende do que o sistema de IA faz, não de onde a empresa tem sede. O Artigo 2º do Regulamento (UE) 2024/1689 define o escopo por três critérios, e basta atender a um: a empresa coloca um sistema de IA no mercado europeu; é responsável por um sistema usado dentro da UE; ou — o critério que mais pega empresa brasileira de surpresa — o resultado produzido pelo sistema é usado na União Europeia, mesmo com todo o desenvolvimento e operação fora dela, segundo o guia da CMS Law para empresas de fora da UE.

Na prática, isso alcança perfis que a maioria das empresas brasileiras não associaria à regulação europeia: a software house que vende ferramenta de triagem de currículos para uma multinacional com vagas na UE; a empresa de tecnologia cujo chatbot ou copiloto de IA é usado por cliente com operação na Europa, ainda que o contrato seja assinado no Brasil; o fornecedor que embute IA num produto exportado ao mercado europeu.

Fornecedores de fora da UE que colocam sistema de alto risco no mercado europeu ainda precisam nomear um representante autorizado dentro do bloco (Artigo 22) — obrigação formal que poucas empresas brasileiras têm hoje. É a mesma engenharia jurídica que a LGPD usa para alcançar empresa estrangeira que trata dado de titular no Brasil; o detalhamento da obrigação nacional de dados pessoais — complementar, não concorrente, a esta — está em LGPD e IA generativa: guia de conformidade para empresas.

O cronograma real do AI Act — e o que mudou em julho de 2026

Boa parte do conteúdo em português ainda repete que "as obrigações de alto risco do AI Act entram em vigor em agosto de 2026". Isso deixou de ser exato. O regulamento entrou em vigor em 1º de agosto de 2024, com aplicação escalonada por marco — e o marco de alto risco foi adiado. Segundo a página oficial da Comissão Europeia sobre o AI Act, o cronograma atualizado é este:

Marco	Data de aplicação	O que muda
Entrada em vigor do regulamento	1º de agosto de 2024	Regulamento (UE) 2024/1689 publicado; aplicação escalonada começa a contar
Práticas proibidas + alfabetização em IA	2 de fevereiro de 2025	Sistemas de IA de risco inaceitável (manipulação, pontuação social, biometria indevida) já são proibidos — multa de até €35 milhões ou 7% do faturamento global
Obrigações de modelos de propósito geral (GPAI)	2 de agosto de 2025	Provedores de modelos como GPT, Claude e Gemini já precisam cumprir regras de transparência e documentação
Obrigações de transparência (Artigo 50)	2 de agosto de 2026	Chatbots devem informar a pessoa que está interagindo com IA; conteúdo sintético (áudio, imagem, vídeo, texto) precisa de marcação técnica legível por máquina feita pelo provedor; deepfakes e texto gerado por IA sobre assunto de interesse público exigem aviso visível ao público — obrigações que já estão valendo
Sistemas de alto risco autônomos (Anexo III)	Adiado para 2 de dezembro de 2027	Biometria, infraestrutura crítica, educação, emprego, crédito e serviços essenciais, aplicação da lei, migração/asilo, administração da justiça
IA embutida em produtos regulados (Anexo I)	Adiado para 2 de agosto de 2028	Dispositivos médicos, máquinas, brinquedos, elevadores e outros produtos com IA embarcada

O adiamento veio do Digital Omnibus on AI, pacote de simplificação aprovado pelo Parlamento Europeu em 16 de junho de 2026 e pelo Conselho da UE em 29 de junho de 2026, em vigor desde 27 de julho de 2026 — dez dias antes da data original em que as regras de alto risco deveriam começar a valer, segundo a análise da Gibson Dunn sobre o acordo do Omnibus. O adiamento não suspendeu o AI Act, só deu mais tempo para os padrões técnicos de alto risco amadurecerem — as obrigações de transparência do Artigo 50 continuam valendo desde 2 de agosto de 2026, incluindo rotulagem de conteúdo gerado por IA e aviso de interação com chatbot.

A leitura prática para quem decide risco regulatório agora: o prazo mudou, a obrigação de monitorar não mudou. Uma empresa que ignora o AI Act porque "isso só vale para 2027" está lendo a manchete errada — a transparência já é obrigatória, e dezembro de 2027 chega mais rápido do que qualquer programa de compliance recém-iniciado consegue se preparar. O framework para transformar esse monitoramento em processo auditável, com dono e evidência, está em compliance e IA: o guia para C-level e jurídico.

Quais empresas brasileiras precisam se preocupar de verdade

Nem toda empresa brasileira com algum uso de IA está exposta da mesma forma. A régua muda conforme o vínculo com o mercado europeu:

Perfil da empresa	Exposição ao AI Act
Vende produto ou serviço de IA para cliente com operação na UE	Alta — pode exigir representante autorizado e documentação de alto risco
Tem filial, colaborador remoto ou usuário final na Europa	Alta — o sistema "opera" dentro do escopo territorial direto
Usa modelos de terceiros (GPT, Claude, Gemini) só internamente, sem output para a UE	Baixa direta — mas o fornecedor já está sob obrigação de GPAI, e isso aparece em contrato
Só atende o mercado brasileiro, sem cliente, usuário ou dado europeu	Baixa hoje — sujeita ao desenho equivalente do PL 2338/2023

O ponto cego mais comum é o segundo perfil: empresa que presta serviço de tecnologia para uma multinacional europeia sem perceber que, do lado do cliente, aquele sistema conta como IA "usada na UE" — e vira item de due diligence antes de qualquer fiscalização direta. O mapa de riscos que sustenta essa avaliação está em riscos da IA generativa nas empresas: guia para C-level.

A multa europeia não chega direto ao Brasil — o contrato, sim

Uma dúvida recorrente de jurídico brasileiro é se a autoridade europeia consegue executar uma multa contra empresa sem ativos na UE. A resposta honesta é: é difícil. Mas isso não torna o AI Act irrelevante — o canal real de exposição é outro. Como resume André Paganuchi, CTO da Performa_IT, ao Jornal Empresas & Negócios, as exigências do AI Act tendem a aparecer nos contratos comerciais com clientes europeus antes de qualquer fiscalização — assim como o GDPR moldou cláusulas contratuais brasileiras anos antes da LGPD existir, e depois inspirou o próprio desenho da lei.

Três canais levam a obrigação até a empresa brasileira, sem multa europeia precisar cruzar o Atlântico:

1. Due diligence do cliente europeu — cláusula contratual que exige evidência de conformidade, o mesmo padrão que já existe para segurança da informação e dados.
2. Representante autorizado obrigatório — sistema de alto risco colocado diretamente no mercado europeu exige representante na UE (Artigo 22), o que abre exposição indireta.
3. Efeito cascata em fornecedores de IA — modelo de propósito geral sob obrigação de GPAI muda política, e isso chega ao cliente brasileiro por tabela contratual.

O detalhamento de como avaliar e formalizar essas cláusulas com fornecedores — inclusive de IA — dentro de um programa de compliance auditável está em compliance e IA: o guia para C-level e jurídico.

AI Act, LGPD e PL 2338: três obrigações diferentes, fáceis de confundir

Os três regulam inteligência artificial ou dado tratado por ela, mas com escopo, natureza e estágio completamente diferentes — confundi-los é o erro mais comum de quem está montando o programa de conformidade:

	AI Act (UE)	LGPD (Brasil)	PL 2338/2023 (Brasil)
Natureza	Regulação europeia, extraterritorial	Lei brasileira em vigor	Projeto de lei em tramitação
O que regula	Sistemas de IA, por nível de risco	Tratamento de dado pessoal	Sistemas de IA, por nível de risco (modelo inspirado no AI Act)
Status hoje	Em vigor, aplicação escalonada até 2028	Em vigor desde 2020	Aprovado no Senado em dez/2024; em tramitação na Câmara, relatoria de Aguinaldo Ribeiro, votação prevista para 2026
Alcança empresa brasileira?	Sim, se output ou operação toca a UE	Sim, sempre que trata dado de titular no Brasil	Sim, quando sancionado

O PL 2338/2023 não é cópia do AI Act, mas usa o mesmo desenho — classificação por nível de risco, direitos para pessoas afetadas por decisão automatizada, sanções proporcionais ao faturamento — o que torna a experiência de compliance com o AI Act um bom ensaio para o que a lei brasileira vai cobrar quando sancionada. Montar agora o inventário de sistemas de IA, a classificação de risco por caso de uso e a trilha de auditoria não é trabalho perdido se o PL 2338 demorar — é a base que as duas leis vão exigir. O framework completo de governança, com NIST AI RMF e os princípios da OCDE, está em framework de governança de IA: guia de implementação.

Empresas que lidam com propriedade intelectual de conteúdo gerado por IA — outro ponto de atenção em contrato com cliente europeu — encontram o recorte de titularidade e patenteabilidade em propriedade intelectual e IA generativa nas empresas.

ISO/IEC 42001 como atalho de conformidade — sem confundir voluntário com obrigatório

Um erro comum de quem está começando a olhar para o AI Act é tratar a ISO/IEC 42001 como se fosse o mesmo tipo de exigência. Não é: a diferença é categórica. A ISO/IEC 42001 é uma norma de certificação voluntária — a empresa decide se busca, e quando. O AI Act é uma obrigação regulatória externa, que pode alcançar a empresa brasileira independentemente de ela querer ou não, bastando que o output do sistema de IA toque o mercado europeu.

Onde as duas se conectam: os controles que a ISO/IEC 42001 exige — avaliação de risco antes de colocar sistema em produção, rastreabilidade de decisões, gestão de impactos ao longo do ciclo de vida — são muito parecidos com o que o AI Act cobra de sistemas de alto risco. Uma empresa já certificada, ou que opera com a estrutura da norma como referência, chega ao due diligence de um cliente europeu com boa parte da evidência pronta. A certificação não substitui a análise jurídica específica do AI Act, mas reduz o trabalho de reunir prova de governança quando ela é cobrada.

Como avaliar se sua empresa está exposta ao AI Act

Checklist rápido para jurídico e compliance rodarem antes de decidir prioridade:

1. Algum cliente atual ou em prospecção tem operação, sede ou usuários na União Europeia?
2. Algum sistema que a empresa desenvolve ou revende produz resultado consumido por pessoa física na UE, mesmo com contrato assinado fora dela?
3. A empresa usa modelo de propósito geral (GPT, Claude, Gemini) em processo que toca dado ou decisão sobre pessoa europeia?
4. Existe, ou está prevista, cláusula de cliente europeu exigindo evidência de conformidade?
5. A empresa já tem inventário de sistemas de IA e avaliação de risco por caso de uso — a base que o AI Act e o PL 2338 vão exigir como prova?

Duas ou mais respostas afirmativas indicam que o tema deixou de ser hipotético e precisa de dono formal — não necessariamente um projeto grande, mas responsabilidade clara dentro do programa de governança já existente. Se a resposta 5 for não, esse é o ponto de partida correto, detalhado em governança de IA na prática: política, segurança e LGPD.

Como a Jetpacks trata regulação externa dentro da governança de IA

Na Jetpacks, obrigações regulatórias externas como o AI Act entram no método Flight Plan como parte do diagnóstico, não como projeto jurídico isolado. O Launchpad mapeia a exposição real ao mercado europeu — clientes, usuários, fornecedores de modelo — e o nível de maturidade de governança já existente; o Flight Plan desenha, por área, os controles proporcionais ao risco; o Booster capacita o time com essas regras incorporadas ao uso diário da IA, não em treinamento jurídico separado; e o Mission Control acompanha se os controles definidos seguem sendo cumpridos conforme a regulação evolui. A Jetpacks é parceira oficial da Replit no Brasil e atende empresas como Hypera Pharma, Volvo, BMR Medical e C12 Brasil.

FAQ

O AI Act europeu se aplica a empresa brasileira?

Sim, quando o sistema de IA da empresa é colocado no mercado europeu, usado por operação europeia ou produz resultado consumido por pessoa física na UE — mesmo sem escritório, funcionário ou servidor no território. O critério é o efeito do sistema, não a sede da empresa.

Quais empresas brasileiras precisam se adequar ao AI Act?

Principalmente as que vendem produto ou serviço de IA para cliente com operação na UE, têm filial ou usuário final europeu, ou colocam sistema de alto risco diretamente no mercado europeu (exige representante autorizado, Artigo 22). Quem só atende o mercado brasileiro tem exposição direta baixa hoje, mas sujeita ao desenho equivalente do PL 2338/2023.

Qual a diferença entre AI Act e LGPD?

A LGPD é lei brasileira, em vigor desde 2020, focada em dado pessoal. O AI Act é regulação europeia extraterritorial focada em sistemas de IA por nível de risco. São obrigações complementares, não substitutas — veja o detalhamento nacional em LGPD e IA generativa.

Quando as obrigações de alto risco do AI Act entram em vigor?

O prazo original era agosto de 2026, mas o Digital Omnibus on AI, em vigor desde 27 de julho de 2026, adiou os sistemas de alto risco autônomos (Anexo III) para 2 de dezembro de 2027 e a IA embutida em produtos regulados (Anexo I) para 2 de agosto de 2028. As obrigações de transparência do Artigo 50, porém, já valem desde 2 de agosto de 2026.

O que acontece se uma empresa brasileira descumprir o AI Act?

A execução direta de multa contra empresa sem ativos na UE é, na prática, difícil. O canal real de exposição é contratual: cliente europeu passa a exigir evidência de conformidade em due diligence, e empresa que coloca sistema de alto risco diretamente no mercado europeu precisa de representante autorizado local.

A ISO/IEC 42001 substitui a necessidade de cumprir o AI Act?

Não. A ISO/IEC 42001 é certificação voluntária; o AI Act é obrigação regulatória externa que pode alcançar a empresa independentemente de ela buscar a norma. Os controles das duas se sobrepõem bastante, o que faz da certificação um atalho útil de evidência — não um substituto legal.

O Brasil vai ter uma lei parecida com o AI Act?

É essa a direção do PL 2338/2023, o Marco Legal da IA, aprovado no Senado em dezembro de 2024 e em tramitação na Câmara dos Deputados, com votação final ainda prevista para 2026.

Minha empresa só usa ChatGPT ou Claude internamente — o AI Act se aplica a mim?

Diretamente, a exposição é baixa se o uso é só interno e não toca dado ou usuário europeu. Mas o fornecedor do modelo já está sob obrigação de GPAI desde agosto de 2025, e mudanças de política desse fornecedor chegam ao cliente brasileiro por tabela — vale acompanhar o contrato, não só o uso.

Uma obrigação do Artigo 50 que já bate na mesa de marketing e produto, mesmo em empresa que só vende no Brasil, merece um guia à parte: Rotulagem de conteúdo gerado por IA: o que fazer.

Conclusão: o prazo mudou, a exposição não desapareceu

O AI Act europeu não é uma regulação distante para quem só vende no Brasil, mas também não é a emergência de agosto de 2026 que boa parte do conteúdo em português ainda descreve — o cronograma de alto risco foi adiado para dezembro de 2027, enquanto a transparência já está em vigor. A leitura certa é acompanhar os dois prazos com precisão, mapear se a empresa tem vínculo real com o mercado europeu e tratar a base de governança — inventário, avaliação de risco, trilha de auditoria — como investimento único que serve à LGPD hoje, ao AI Act se houver exposição, e ao PL 2338 quando for sancionado.

Se sua empresa vende para cliente europeu, tem operação fora do Brasil ou só quer entender com precisão o nível de exposição regulatória antes de investir em conformidade, o diagnóstico gratuito da Jetpacks — uma conversa de 30 a 45 minutos — mapeia essa exposição junto com o nível de maturidade de governança já existente na empresa.