EU AI Act empresa brasileira: o que realmente te alcança

EU AI Act empresa brasileira: a resposta curta é que a lei europeia pode valer para você sem escritório na Europa. O Artigo 2 usa três gatilhos, não o endereço da sua sede: você coloca um sistema de IA no mercado europeu, o resultado desse sistema é usado dentro da União Europeia, ou um cliente europeu integra o que você fornece num sistema que ele coloca lá¹. Sem nenhum dos três, a lei não te alcança hoje.

Isso quer dizer que o primeiro trabalho é levantamento: saber se algum sistema de IA da sua empresa já produz um resultado consumido dentro da União Europeia, mesmo que ele tenha entrado como ferramenta de produtividade comprada por um time sozinho, sem nenhuma aprovação formal. Esse retrato, sistema por sistema, é exatamente o que o Gap Analysis gratuito devolve em menos de uma hora; sem ele, “o EU AI Act vale para mim” fica no campo do palpite, não do fato levantado dentro da própria operação.

O escopo territorial do EU AI Act: três gatilhos que alcançam quem nunca vendeu para a Europa

Eu leio o Artigo 2 como um filtro de três perguntas, e respondo cada uma separadamente, porque misturá-las é o erro mais comum que vejo. A primeira: você coloca um sistema de IA ou um modelo de propósito geral no mercado europeu, direto ou por distribuidor? Se sim, você é “fornecedor” sob o regulamento, esteja onde estiver sediado¹. A segunda, mais esquecida: o resultado produzido pelo seu sistema é usado dentro da União Europeia, mesmo que a venda, o contrato e o pagamento aconteçam inteiramente fora dela? O texto cobre exatamente esse caso, porque o critério é o uso do resultado, não o local da transação¹.

A terceira pergunta não está no Artigo 2, mas produz o mesmo efeito prático na mesa de quem decide: você fornece um modelo, um dataset ou um componente de IA que um cliente europeu integra num sistema regulado que ele próprio coloca no mercado da União? Nesse caso, quem está formalmente no escopo é o seu cliente, não você. Só que o cliente, para cumprir a própria obrigação de due diligence, vai exigir de você evidência de conformidade por contrato. O contrato que o seu cliente, esse sim alcançado pela lei, te impõe chega antes do AI Act direto.

A due diligence de fornecedor de IA é exatamente esse ponto de pressão, visto do lado de quem recebe o questionário. Eu recomendo tratar isso como rotina, não como exceção: todo contrato relevante com cliente europeu deveria incluir, desde a proposta, a pergunta sobre o que o AI Act já exige do outro lado da mesa.

Existe ainda uma quarta situação que eu trato separada das outras três, porque a confusão nela é maior: fornecedor de modelo de propósito geral, o chamado GPAI, que distribui o próprio modelo para quem quiser integrar, sem saber de antemão quem vai usar o quê nem onde. Para esse fornecedor, o Artigo 2 se aplica no momento em que ele coloca o modelo no mercado europeu, por canal próprio ou por qualquer distribuidor, independente de quantos passos existam entre ele e o usuário final dentro da União¹. Isso cobre, por exemplo, uma empresa brasileira que licencia um modelo de linguagem para qualquer integrador que queira pagar por ele e descobre, meses depois, que uma fração relevante do uso comercial vem de integradores europeus que nem existiam quando o contrato original foi fechado.

EU AI Act fora da União Europeia: o que isso muda sem escritório no bloco

Na prática, EU AI Act fora da União Europeia funciona por pressão contratual antes de funcionar por fiscalização direta. A Comissão Europeia fiscaliza quem está na União; quem está fora sente o regulamento através de quem compra. Isso não torna o risco menor, torna o risco mais difícil de nomear, porque ele chega disfarçado de cláusula contratual, não de autuação.

Eu vi um mecanismo parecido antes de o AI Act existir, numa auditoria de SOX que fiz numa empresa de educação que usava um ERP Oracle: o que convenceu o auditor externo foi a rastreabilidade completa de quem decidiu o quê, documentada a ponto de a empresa fechar o ano com 100% de rastreabilidade exigida pela SOX, mais do que qualquer característica da ferramenta em si. O AI Act pede o mesmo tipo de prova, só que para decisão de IA em vez de lançamento contábil: o registro de como o sistema foi usado convence o auditor; o sistema sozinho, sem registro, não convence ninguém.

Quando o EU AI Act realmente não te alcança

Existe, sim, EU AI Act e empresa que não tem sede na Europa como caso de “ainda não se aplica”, e eu prefiro dizer isso com a mesma clareza com que digo o contrário. Se a sua empresa vende só dentro do Brasil, nenhum sistema seu produz resultado usado na União Europeia e nenhum cliente seu está lá integrando o que você fornece, o AI Act não te alcança hoje. Isso pode mudar amanhã, se um cliente novo entrar nesse perfil, então eu trataria essa conclusão como válida para o momento, não como permanente.

Se as quatro respostas forem não, o trabalho imediato é organizar a casa, não correr para um advogado europeu: inventariar os sistemas de IA que já existem na operação, porque cliente europeu e fiscalização nacional futura vão perguntar a mesma coisa. O artigo sobre inventário de sistemas de IA detalha por onde começar esse levantamento, e os modelos de política e inventário de sistemas de IA encurtam a parte de escrever o documento depois que o levantamento já apontou o que priorizar.

Quanto custa ignorar o EU AI Act

A multa do EU AI Act para empresa brasileira existe no papel do Artigo 99, com tetos que chegam a 7% do faturamento global para as práticas proibidas, mas cobrá-la de quem não tem bem, filial nem representante na União Europeia é outra história: a Comissão Europeia tem mecanismo formal de cooperação internacional, não um braço de execução direto dentro do Brasil. Eu trataria esse número como teto teórico, não como estimativa de risco real para quem opera só por aqui.

O custo que eu vejo acontecer de verdade é outro: o cliente europeu que não renova porque a due diligence não teve resposta, ou o fornecedor que perde a concorrência porque o concorrente já tinha a política e o inventário documentados. Montar essa documentação do zero, sob pressão de prazo contratual, custa mais caro do que montá-la com calma antes de precisar, e esse é o cálculo que eu apresentaria à diretoria antes de qualquer discussão sobre multa europeia.

EU AI Act e PL 2338: duas leis, dois calendários

EU AI Act e PL 2338 resolvem perguntas parecidas por caminhos diferentes, e confundir os dois leva a decisão errada nos dois sentidos. O EU AI Act já está em vigor, por fases, desde 2024, com efeito extraterritorial pelos gatilhos que descrevi acima¹. O PL 2338 foi aprovado pelo Senado em dezembro de 2024 e, em novembro de 2026, continua tramitando na Câmara dos Deputados, sem data definida para votação em plenário³. Nada nele obriga ninguém hoje, porque projeto de lei não é lei.

Eu detalho essa diferença com mais profundidade, incluindo o que a ISO/IEC 42001⁴ cobre e o que não cobre de nenhuma das duas leis, no comparativo entre ISO 42001 e o EU AI Act. A norma é voluntária nos dois países; certificá-la organiza a evidência que tanto o cliente europeu quanto, no futuro, o fiscal brasileiro vão pedir, mas não substitui nenhuma das duas leis.

O prazo do EU AI Act para sistemas de alto risco mudou: o calendário depois do Digital Omnibus

O prazo do EU AI Act para sistemas de alto risco mudou em 2026, e artigo publicado antes de julho daquele ano provavelmente está com a data errada. O Regulamento (UE) 2026/1744, o chamado Digital Omnibus, entrou em vigor em 27 de julho de 2026 e empurrou a aplicação plena das obrigações de alto risco do Anexo III, sistema autônomo, de agosto de 2026 para dezembro de 2027². Para IA embutida em produto já regulado, o prazo foi para agosto de 2028². As obrigações de transparência do Artigo 50 não foram adiadas.

Esse adiamento não muda a direção da lei, muda o fôlego de quem precisa se preparar. Eu trataria o prazo extra como tempo para organizar inventário e política com calma, não como motivo para adiar o começo do trabalho; quem só começa a levantar os próprios sistemas em 2027 vai correr o mesmo risco de sempre, só que com menos tempo de sobra.

A decisão que sobra para você

Eu começaria pelo levantamento, não pela política: listar os sistemas de IA em uso, marcar quais produzem resultado consumido na União Europeia ou alimentam cliente de lá, e só depois decidir se o esforço é jurídico, contratual ou os dois. Isso vale tanto para quem já sabe que vende para a Europa quanto para quem acha que não vende e nunca checou.

Se um cliente europeu te mandasse hoje um questionário de due diligence sobre IA, você teria a lista de sistemas pronta, ou precisaria descobrir na hora quais deles decidem alguma coisa que chega lá?

Veja também