Did you know that the corporate use of ChatGPT, Claude, or similar tools may trigger obligations under the European AI Act?

Poucas empresas se dão conta de que, ao adotar o ChatGPT ou o Claude para tarefas do dia a dia, elas podem estar sujeitas a um regulamento europeu que já está em vigor. O Regulamento (UE) 2024/1689, conhecido como AI Act, entrou em vigor em agosto de 2024 e vem entrando em aplicação por fases até 2027, impondo obrigações que vão muito além das grandes desenvolvedoras de IA.

O que diz o AI Act sobre o uso corporativo de IA generativa

O regulamento não se limita a quem constrói modelos de IA. Ele também regula quem os utiliza dentro de uma organização, categoria que a lei chama de implementador (deployer). Assim como aconteceu com o RGPD europeu, o AI Act tem alcance extraterritorial: empresas fora da União Europeia também podem ser afetadas, sempre que oferecerem sistemas de IA a usuários europeus ou que os resultados desses sistemas sejam usados dentro do bloco.

Quando a empresa se torna "implementadora" de um sistema de IA

Uma empresa passa a ser tratada como implementadora quando integra uma ferramenta de IA a um processo que afeta pessoas de forma relevante, como decisões de recrutamento, crédito ou atendimento. Nesses casos, alguns deveres básicos entram em jogo:

• Manter registro do uso e da finalidade das ferramentas de IA adotadas internamente
• Garantir supervisão humana nas decisões relevantes tomadas com apoio de IA
• Informar as pessoas afetadas quando uma decisão envolver automação
• Avaliar o nível de risco de cada sistema antes de colocá-lo em produção

Os quatro níveis de risco do regulamento

O AI Act organiza os sistemas de IA em quatro categorias, e a categoria determina o peso das obrigações:

1. Risco inaceitável: sistemas proibidos, como pontuação social de cidadãos ou manipulação subliminar de comportamento
2. Alto risco: sistemas usados em recrutamento, concessão de crédito, saúde e infraestrutura crítica, sujeitos a avaliação de conformidade e registro
3. Risco limitado: chatbots e sistemas que interagem diretamente com pessoas, sujeitos a obrigações de transparência
4. Risco mínimo: a maior parte dos usos internos de produtividade, sem obrigações específicas do regulamento

A pergunta que decide a exposição legal de uma empresa não é se ela usa inteligência artificial. É para qual finalidade, e com que nível de risco, ela usa.

O texto integral do regulamento está disponível no Regulamento (UE) 2024/1689, publicado no Jornal Oficial da União Europeia, e detalha prazos de aplicação que vão de fevereiro de 2025 (proibições) a agosto de 2027 (obrigações para sistemas de alto risco já em operação).

Como preparar a empresa

O primeiro passo prático é mapear onde a IA generativa já está sendo usada, antes de qualquer política formal. A tabela abaixo ilustra como um mesmo uso corporativo pode cair em categorias de risco bem diferentes:

Nível de risco	Exemplo de uso	Principal obrigação
Alto risco	Triagem automatizada de currículos	Avaliação de conformidade e registro na base europeia
Risco limitado	Chatbot de atendimento ao cliente	Informar o usuário que interage com um sistema de IA
Risco mínimo	Resumo de reuniões internas	Nenhuma obrigação específica, mas recomenda-se política interna de uso

Ferramentas como o ChatGPT e o Claude não são, por si só, proibidas nem exigem burocracia para qualquer uso. O que muda a análise é a finalidade: uma equipe de marketing usando IA para rascunhar textos enfrenta uma realidade regulatória muito diferente de uma equipe de RH usando IA para pontuar candidatos. Mapear esses usos, com clareza sobre finalidade e nível de risco, é o passo que precede qualquer política de conformidade em IA.