Europa multa, Brasil debate: O AI Act já alcança empresas brasileiras

Imagine o diretor jurídico de uma desenvolvedora paulista de software que, na primeira semana de agosto de 2026, recebe do seu principal cliente europeu um questionário minucioso. O chatbot fornecido pela empresa avisa ao usuário que ele conversa com uma máquina? O conteúdo sintético gerado pela plataforma carrega marcação legível por máquina? Há documentação de conformidade com o Regulamento (UE) 2024/1689? O diretor responde, de início, com a serenidade de quem opera a nove mil quilômetros de Bruxelas: a empresa não tem sede, filial nem servidor na Europa. A serenidade é infundada. Desde 2 de agosto de 2026, as obrigações de transparência do AI Act tornaram-se exigíveis, e as sanções que as acompanham alcançam qualquer fornecedor cujo sistema seja usado no mercado europeu, esteja ele em Amsterdã ou em São Paulo.

Sustento neste artigo que o contraste entre uma Europa que já aplica a sua lei de inteligência artificial e um Brasil que ainda a debate não é um detalhe de agenda legislativa. É um problema de Estado de Direito, com custo mensurável para as empresas brasileiras e com um efeito colateral conhecido: o de transferir ao Judiciário a tarefa regulatória que o Congresso não concluiu.

1. Uma lei que não respeita fronteiras

O AI Act, o Regulamento (UE) 2024/1689, aprovado em 2024 pelo Parlamento Europeu e pelo Conselho, é a primeira regulação geral de inteligência artificial do mundo. Sua arquitetura ficou conhecida: classificar cada sistema pelo risco que oferece. Práticas de risco inaceitável, como a manipulação de grupos vulneráveis, a pontuação social e certas formas de identificação biométrica em tempo real, estão proibidas desde fevereiro de 2025. Sistemas de alto risco, categoria que abrange dispositivos médicos, infraestrutura crítica, educação, emprego e acesso a serviços essenciais, sujeitam-se a registro em base de dados europeia, avaliação prévia e monitoramento por todo o ciclo de vida. Sistemas de risco limitado carregam deveres de transparência. Ao risco mínimo, nada se exige.

O ponto que o leitor brasileiro costuma subestimar não está na pirâmide de riscos. Está no âmbito de aplicação. A lei alcança fornecedores estabelecidos fora da União Europeia sempre que o sistema é colocado no mercado europeu ou tem seu resultado utilizado dentro dela. Anu Bradford, da Columbia Law School, deu nome ao fenômeno: o efeito Bruxelas, a capacidade europeia de exportar seus padrões regulatórios para o resto do mundo pela simples força do seu mercado. A empresa brasileira que exporta software, presta serviço a cliente com operação europeia ou integra cadeia de fornecimento com ponta na União já está dentro do perímetro da lei. Não por opção. Por gravidade econômica.

2. O calendário que já corre e as multas que já valem

A aplicação do AI Act foi desenhada em fases, e três delas já estão ativas. Desde 2 de fevereiro de 2025 vigoram as proibições de risco inaceitável e o dever de alfabetização em inteligência artificial, que obriga fornecedores e usuários corporativos a garantir formação suficiente ao pessoal que opera esses sistemas. Desde 2 de agosto de 2025, os fornecedores de modelos de propósito geral, a categoria dos grandes modelos de linguagem, respondem por documentação técnica, respeito ao direito autoral europeu e publicação de resumo do material de treinamento.

A terceira fase é a que interessa ao momento. Em 2 de agosto de 2026 entraram em aplicação as obrigações de transparência do art. 50: informar o usuário de que ele interage com uma máquina, rotular conteúdo sintético, marcar deepfakes de forma legível por máquina. Na mesma data, o AI Office da Comissão Europeia ganhou poderes de fiscalização sobre os fornecedores de modelos de propósito geral, e as multas correspondentes tornaram-se aplicáveis. Sistemas que já estavam no mercado receberam fôlego curto: a marcação legível por máquina é exigível deles até 2 de dezembro de 2026.

Os valores dispensam adjetivos. Práticas proibidas custam até 35 milhões de euros ou 7% do faturamento global anual, o que for maior. O descumprimento de deveres de fornecedor ou usuário custa até 15 milhões ou 3%. Prestar informação enganosa ao regulador custa até 7,5 milhões ou 1%. Para dimensionar o alcance prático dessas obrigações, a McKinsey estimou em 2025 que 88% das organizações já usam inteligência artificial em ao menos uma função de negócio. A pergunta deixou de ser se a regulação atingirá a atividade empresarial. A pergunta é qual regulação atingirá primeiro.

3. O adiamento que não é recuo

Quem acompanhou o noticiário europeu deste ano poderia objetar: a própria União não adiou sua lei? Adiou, e a objeção merece resposta. O Digital Omnibus, em vigor desde 27 de julho de 2026, transferiu as obrigações dos sistemas de alto risco autônomos para 2 de dezembro de 2027 e as dos sistemas embarcados em produtos regulados, como máquinas e dispositivos médicos, para 2 de agosto de 2028. O motivo foi confessadamente prático: os organismos europeus de normalização não entregaram no prazo as normas harmonizadas que permitiriam às empresas demonstrar conformidade.

Ler esse movimento como fraqueza é lê-lo mal. O adiamento veio acompanhado de endurecimento. As novas datas são fixas, não mais condicionadas à publicação das normas técnicas. E o mesmo diploma ampliou o rol de proibições para incluir os aplicativos de nudificação, sistemas que geram imagens íntimas não consensuais, e o material de abuso sexual infantil produzido por inteligência artificial. A Europa recalibrou prazos sem abrir mão do modelo. Ajustou a engenharia. Manteve o edifício.

4. O Brasil do PL 2.338: O debate sem data

E o Brasil? O PL 2.338/23, que institui o marco legal da inteligência artificial e adota estrutura de riscos inspirada na europeia, foi aprovado pelo Senado em dezembro de 2024 e tramita desde então em comissão especial na Câmara dos Deputados. Não há data para a votação final. Enquanto a lei geral não vem, o país convive com um mosaico de normas setoriais: a resolução CNJ 615/25 disciplina o uso de inteligência artificial no Judiciário, o CFM regulou a ferramenta na prática médica, a LGPD toca o tema pela via dos dados pessoais. Cada peça é séria. O conjunto não forma um sistema.

A consequência dessa lacuna eu a observo diariamente nos tribunais. Sem lei geral, cada dano algorítmico vira um caso de primeira impressão: o juiz decide com o CC, com o CDC, com princípios, e decide sozinho. Multiplicam-se respostas divergentes para perguntas idênticas, e a segurança jurídica, que é a promessa elementar do Estado de Direito, esfarela caso a caso. Já sustentei nesta plataforma, a propósito do devido processo probatório algorítmico, que o processo judicial não está preparado para interrogar a máquina. Acrescento agora o outro lado do mesmo problema: o juiz não pode ser o regulador de última instância. Quando o Congresso silencia, não é o silêncio que ocupa o espaço. É a fragmentação.

Há ainda o custo geopolítico, menos visível e talvez mais duradouro. A Universidade de Stanford registra que o número de países com leis sobre inteligência artificial multiplicou-se por nove desde 2016. Quem regula primeiro exporta seu padrão; quem regula por último o importa pronto. Se o PL 2.338 seguir sem prazo, as empresas brasileiras não escaparão da regulação. Apenas obedecerão a uma lei que o Brasil não escreveu e sobre a qual não teve voto.

5. O preço da lacuna

Volto ao diretor jurídico da abertura. Ele responderá ao questionário do cliente europeu, porque não pode perder o contrato. Mapeará os sistemas da empresa, classificará riscos, documentará o treinamento dos modelos, implantará a marcação de conteúdo sintético. Fará, em suma, tudo o que uma boa lei de inteligência artificial exigiria. E o fará por força de uma lei estrangeira, sob a fiscalização de um regulador estrangeiro, segundo prazos fixados em Bruxelas. Eis a ironia que deveria incomodar o Congresso Nacional: a primeira lei de inteligência artificial a disciplinar efetivamente empresas brasileiras não foi escrita em Brasília.

O calendário europeu seguirá correndo. As normas técnicas harmonizadas são esperadas para o fim de 2026, os sistemas de alto risco entram em conformidade entre o fim de 2027 e agosto de 2028, e cada uma dessas datas estreita a janela para o Brasil decidir os próprios termos. Regular não é frear a inovação; é definir, antes do litígio, quem responde pelo dano. Enquanto o Brasil não decide, decide-se por ele.