O AI Act europeu se aplica à minha empresa e aos agentes de IA?

Pode se aplicar, mesmo que sua empresa fique fora da União Europeia. O AI Act europeu olha para o que cada sistema de IA faz, quem ele afeta e qual é o papel da sua empresa, não para onde fica o escritório nem para o tamanho do negócio. A maioria dos agentes de IA usados em empresas cai nos níveis de risco mais baixos, com poucas obrigações, mas alguns usos, como triagem de candidatos a vagas ou avaliação de crédito, trazem obrigações pesadas.

Este artigo é informação geral para donos de empresa e líderes de operações, não é aconselhamento jurídico. Ele mostra como verificar sozinho o alcance da lei e a categoria de risco, para que, ao falar com um advogado, você chegue com fatos e não com palpites.

Principais pontos

• A lei pode alcançar sua empresa se você oferece IA a pessoas na UE, usa IA com funcionários ou clientes na UE, ou se o resultado do seu sistema é usado na UE.
• Suas obrigações dependem do seu papel (provedor ou implantador) e do uso de cada agente, não apenas do modelo por trás dele.
• O risco é avaliado por caso de uso. Uma mesma empresa pode ter um resumidor de reuniões de risco mínimo e um triador de candidatos de alto risco funcionando lado a lado.
• Um inventário escrito dos agentes, com finalidade, dados e supervisão humana, responde à maior parte da pergunta sobre alcance.
• Procure orientação jurídica quando um agente tocar em contratação, crédito, seguros, educação, saúde, serviços públicos, biometria ou qualquer decisão sobre pessoas.

Quem o AI Act europeu pode alcançar?

A lei tem um alcance territorial amplo. Ela mira empresas que colocam sistemas de IA no mercado europeu, empresas estabelecidas na UE que usam sistemas de IA e, em alguns casos, empresas fora da UE cujo resultado do sistema é usado na UE. Uma empresa sediada no Brasil, nos Estados Unidos ou em qualquer outro lugar pode, portanto, estar no escopo se seus agentes atendem pessoas na UE.

A lei também classifica as empresas por papéis, e o papel define os deveres:

• Provedor (provider): a organização que desenvolve um sistema de IA, ou manda desenvolver, e o coloca no mercado ou em uso sob o próprio nome.
• Implantador (deployer): a organização que usa um sistema de IA sob sua própria autoridade em um contexto profissional.
• Importador e distribuidor: organizações que trazem um sistema para o mercado da UE ou o disponibilizam ali.

A maioria das empresas que operam agentes para as próprias atividades é implantadora. A surpresa mais comum é a mudança para provedor. Se você constrói um agente sobre um modelo de terceiros e o oferece a clientes com a sua marca, ou modifica um agente de modo que sua finalidade passe a um uso de maior risco, pode assumir deveres de provedor. O fato de o fornecedor do modelo ter obrigações próprias não elimina as suas em relação ao sistema que você monta e opera.

Há ainda um dever geral de alfabetização em IA: quem opera ou supervisiona sistemas de IA pela empresa deve ter entendimento suficiente para fazer isso com responsabilidade. Isso vale até para agentes de baixo risco e costuma ser atendido com treinamento e regras internas claras. Uma política de uso aceitável de IA para funcionários por escrito é um bom ponto de apoio.

Quais são os níveis de risco, em linguagem simples?

A lei funciona em níveis. Cada nível tem um peso diferente de obrigações, e o nível é definido pelo uso, não pelo grau de sofisticação da tecnologia.

• Práticas proibidas: uma lista curta de usos considerados inaceitáveis, como técnicas manipulativas que distorcem decisões das pessoas, pontuação social e, na maioria dos casos, inferência de emoções de pessoas em locais de trabalho ou escolas. Se um agente faz algo próximo disso, pare e busque orientação antes de continuar.
• Sistemas de alto risco: usos em áreas definidas, nas quais decisões podem afetar de forma significativa a vida ou os direitos das pessoas. Entre elas estão emprego e gestão de trabalhadores, acesso à educação, acesso a serviços essenciais privados e públicos, como crédito e seguros, identificação biométrica, infraestrutura crítica, segurança pública, migração e administração da justiça. Os deveres incluem gestão de riscos, governança de dados, registros (logs), supervisão humana, precisão e documentação, e variam entre provedores e implantadores.
• Risco de transparência: sistemas que interagem diretamente com pessoas, geram conteúdo sintético ou reconhecem emoções. O dever central é garantir que as pessoas saibam que estão lidando com IA e que o conteúdo gerado possa ser identificado como tal, quando exigido.
• Risco mínimo: a maior parte dos usos internos de produtividade, como redigir, resumir, pesquisar documentos ou preparar relatórios. Sem deveres específicos além da legislação geral, mais a expectativa de alfabetização citada acima.

Modelos de IA de uso geral têm um conjunto próprio de obrigações, que recaem principalmente sobre as empresas que desenvolvem e lançam esses modelos. Como empresa que usa um agente, você em geral recebe informações do fornecedor do modelo, em vez de carregar esses deveres, e esse é um dos motivos para pedi-las. As perguntas para avaliar um fornecedor de IA antes de contratar ajudam a definir que documentação solicitar.

O texto oficial do regulamento e seus anexos, publicados pela União Europeia, são um bom lugar para ler a estrutura por conta própria.

Checagem de escopo em cinco passos para fazer esta semana

Você não precisa de um time jurídico para começar. Precisa de uma lista clara do que seus agentes fazem. Siga os passos na ordem e anote cada resposta.

• Passo 1, faça o inventário de todos os agentes e ferramentas de IA. Inclua os que as equipes adotaram por conta própria. Se você suspeita que existem alguns que ainda não viu, o método de shadow AI no ambiente de trabalho ajuda a encontrá-los sem apontar culpados.
• Passo 2, escreva uma frase por agente sobre sua finalidade, neste formato: este agente faz X para Y, usando os dados Z, e uma pessoa faz W. Finalidades vagas geram avaliações de risco vagas.
• Passo 3, mapeie as pessoas afetadas. São residentes na UE, funcionários na UE ou clientes na UE? O resultado do agente é usado na UE, mesmo que o agente rode em outro lugar?
• Passo 4, compare cada finalidade com os níveis. Pergunte nesta ordem: está perto de uma prática proibida, cai em uma área de alto risco, fala diretamente com pessoas ou gera conteúdo que elas verão, ou é apenas apoio interno?
• Passo 5, registre seu papel e a supervisão. Para cada agente, anote se você é provedor ou implantador, quem é o responsável interno, em que ponto uma pessoa aprova ou pode intervir e quais registros existem.

O resultado é uma tabela simples que você mantém atualizada. Para a coluna de supervisão, definir quando seu agente de IA deve parar e perguntar oferece um jeito prático de estabelecer pontos de aprovação. Trate a tabela como um registro vivo: quando um agente ganhar uma nova ferramenta, uma nova fonte de dados ou um novo público, repita os passos 2 a 5 para ele.

Um erro frequente é classificar pelo nome da ferramenta, e não pelo uso. O mesmo agente que resume ligações de vendas tem risco mínimo. Se você o conecta a um processo que ranqueia candidatos ou define quem recebe uma proposta, o uso mudou, mesmo que o software seja o mesmo.

Cenário ilustrativo: uma empresa, três agentes

Este cenário é ilustrativo, não um caso real. Imagine uma empresa fora da UE que vende online para clientes em vários países europeus e tem algumas pessoas empregadas em um escritório na UE.

• O agente um responde a dúvidas de clientes no site e redige respostas para a equipe de suporte. Ele fala diretamente com pessoas, então o dever de transparência importa: os clientes devem saber que é um agente de IA, a menos que isso seja óbvio. Veja como avisar clientes que estão falando com um agente de IA para saber como redigir esse aviso.
• O agente dois resume reuniões internas e prepara relatórios semanais. É apoio interno, sem decisões sobre pessoas, então provavelmente tem risco mínimo. A alfabetização em IA e a proteção de dados comum continuam valendo.
• O agente três lê currículos e produz uma lista ranqueada de candidatos para o escritório na UE. Emprego é uma área de alto risco listada na lei. É aqui que a empresa deve parar, buscar orientação jurídica e decidir se o agente apenas prepara informações enquanto pessoas tomam todas as decisões, ou se é melhor evitar esse uso por completo.

Três agentes, uma empresa, três respostas diferentes. Por isso o inventário vem primeiro e a categoria vem depois.

Como a abordagem gerenciada da Be Human trata isso

A Be Human projeta e opera agentes de IA para empresas, com identidade, memória, ferramentas e permissões sob controle humano. Em um primeiro projeto, definimos uma função útil, os dados e as ferramentas de que ela precisa, seus limites de aprovação e um critério de sucesso observável. Essa definição escrita é o mesmo material de que uma checagem de escopo precisa: finalidade, pessoas afetadas, dados, supervisão e registros. Na operação gerenciada, mantemos esse registro atualizado conforme o agente muda, revisamos permissões e avisamos quando uma mudança solicitada leva o agente a um uso mais sensível, para que seus decisores e seu advogado a revisem antes. Não prestamos aconselhamento jurídico nem certificamos conformidade. Quem decide como a lei se aplica à sua empresa é o seu advogado, e nós fornecemos os fatos de que ele precisa.

Frameworks externos à lei também ajudam a estruturar o trabalho interno. O NIST AI Risk Management Framework e os Princípios de IA da OCDE oferecem vocabulário prático para mapear, medir e governar riscos de IA, e combinam bem com uma lista de verificação regulatória.

Quando procurar um advogado?

Vale envolver cedo um advogado com experiência em regulação de tecnologia da UE nestas situações:

• Um agente influencia decisões sobre contratação, promoção, remuneração, distribuição de tarefas ou desligamento.
• Um agente participa de decisões de crédito, seguro, benefícios, moradia, admissão em cursos ou outros acessos semelhantes.
• Um agente processa dados biométricos, infere emoções ou categoriza pessoas por características sensíveis.
• Você oferece um agente com a sua própria marca a clientes ou outras empresas na UE, o que pode torná-lo provedor.
• Você modificou de forma substancial um sistema de terceiros ou sua finalidade prevista.
• Seus agentes lidam com informações de saúde, segurança ou infraestrutura crítica.
• Você atua em vários países e precisa entender como autoridades nacionais e outras leis, como as de proteção de dados, se encaixam. Equipes brasileiras podem começar por LGPD e agentes de IA nas empresas e depois comparar a sobreposição com as exigências europeias.

Leve a tabela do inventário, a documentação dos fornecedores, a descrição da supervisão humana e exemplos de resultados do agente. Uma boa preparação encurta o trabalho e deixa a orientação mais precisa.

Perguntas frequentes

O AI Act europeu se aplica se minha empresa fica fora da UE? Pode se aplicar. A lei alcança empresas que colocam sistemas de IA no mercado europeu e, em alguns casos, aquelas cujo resultado do sistema é usado na UE. Verifique se seus agentes atendem, avaliam ou afetam pessoas na UE.

Se eu uso um modelo de terceiros, como um serviço comercial de chatbot, a responsabilidade é minha? Provavelmente sim, como implantador, pela forma como você o usa. O fornecedor do modelo tem obrigações próprias, mas você continua responsável pela finalidade que dá ao agente, pelas pessoas que ele afeta e pela supervisão que coloca em torno dele. Se você o empacota como produto seu para outros, pode ser considerado provedor.

Agentes internos para redigir e resumir são regulados? Em geral ficam no nível de risco mínimo, sem deveres específicos além da expectativa de alfabetização em IA e de outras leis, como as de proteção de dados. A classificação pode mudar se o resultado alimentar decisões sobre pessoas, então reavalie sempre que o uso mudar.

Preciso de um advogado para cada agente? Não. A maioria dos agentes internos de baixo risco pode ser tratada com inventário, uma política clara e treinamento básico. Chame um advogado quando um agente estiver em uma área de alto risco ou perto dela, quando você atuar como provedor, ou quando a sua própria checagem de escopo deixar dúvidas.

Orientação editorial Be Human. Exemplos são ilustrativos, salvo atribuição explícita. Fontes oferecem contexto; a implementação depende do seu processo.