Se você entrega um chatbot para alguém na Europa, ele agora precisa avisar que é um chatbot. Essa obrigação está valendo. O Escritório de IA da Comissão Europeia, junto com as autoridades nacionais, começou a aplicar as regras de transparência da Lei de IA da UE em 2 de agosto, e elas valem para um desenvolvedor solo com um widget de suporte exatamente como valem para uma grande plataforma.
Essa é a parte da regulação que atinge primeiro os pequenos desenvolvedores, e também é a mais fácil de cumprir. O que segue é o que realmente mudou, quanto custa errar e as duas datas que importam antes das regras mais duras chegarem.
O que realmente mudou em 2 de agosto
Três obrigações entraram em vigor. Segundo o anúncio da própria Comissão, sistemas que interagem com pessoas precisam informar aos usuários que estão lidando com IA e não com um humano; imagens, vídeo e áudio editados ou gerados com IA precisam ser rotulados; e conteúdo feito ou editado por máquina precisa carregar marcas legíveis por máquina para que possa ser detectado automaticamente.
A primeira é uma divulgação. A segunda é um rótulo visível. A terceira é a que as pessoas subestimam, porque uma marca legível por máquina não é o mesmo que uma legenda. Significa dados de procedência embutidos que um rastreador ou plataforma consegue ler sem um humano presente, o que é uma mudança de código e não de texto.
Os poderes de fiscalização sobre provedores de modelos de IA de uso geral também passaram para o Escritório de IA na mesma data. O resumo da mudança feito pela Help Net Security detalha o que esses provedores agora devem: documentação fornecida às autoridades e aos desenvolvedores a jusante, uma política de direitos autorais e um resumo publicado sobre o que o modelo usou em treinamento.
Esse último ponto é o mais relevante para quem constrói em cima do modelo de outra empresa. A obrigação de documentação corre para baixo na cadeia, o que significa que a informação de que você precisa para se adequar é informação que o provedor do modelo agora é obrigado a lhe dar.
O prazo de dezembro que a maioria dos desenvolvedores não viu
Sistemas que já estavam no mercado antes de agosto não estão isentos. Eles têm um período de carência, e ele termina em 2 de dezembro.
Essa é a data mais acionável de todo o arcabouço para uma equipe pequena, e é a menos coberta, porque a maior parte da imprensa se concentrou no início em agosto. Se você tem um produto no ar há um ano com um recurso de IA dentro, o trabalho não é opcional e o prazo agora se conta em semanas, não em meses.
A auditoria é curta. Toda superfície onde um usuário conversa com um modelo precisa de uma divulgação. Toda imagem, áudio ou vídeo que seu produto gera ou altera precisa de rótulo e de marca embutida. Se o seu produto não faz nenhuma dessas coisas, e muitos não fazem, você está fora dessas obrigações específicas.
Quanto custa errar nisso
O descumprimento gera multas de até 15 milhões de euros ou 3% do faturamento anual mundial, o que for maior. Para uma empresa com receita relevante, o percentual é o número que vale; para um pequeno desenvolvedor, é o teto fixo.
Há uma ressalva importante. Entidades menores, incluindo PMEs e startups, enfrentam multas máximas menores, com limites definidos por cada Estado-membro, segundo o resumo de conformidade do Software Improvement Group. O arcabouço não foi construído para quebrar uma equipe de duas pessoas por um rótulo faltando, e a estrutura de penalidades reflete isso.
A Comissão também abriu canais de reclamação: uma ferramenta de denúncias da Lei de IA, uma ferramenta para denunciantes e um canal dedicado para provedores a jusante que usam modelos de uso geral. Esse terceiro merece atenção, porque dá a um pequeno desenvolvedor uma via formal para escalar quando um provedor de modelo acima na cadeia não fornece a documentação que a lei diz que ele deve.
Pequenos desenvolvedores têm uma versão mais leve, não uma isenção
O Digital Omnibus estendeu as regras de conformidade mais leves, originalmente escritas para pequenas e médias empresas, também às empresas de média capitalização. Isso é uma ampliação real de quem recebe o tratamento de carga reduzida, e aconteceu porque a exceção original para PMEs deixava de fora empresas que haviam crescido além da definição sem ganhar um departamento de conformidade.
O que isso não faz é remover as obrigações de transparência. Uma carga documental mais leve não é o mesmo que estar isento de avisar ao usuário que ele está falando com um software. A distinção importa, porque as duas coisas são frequentemente confundidas em resumos escritos para fundadores.
Projetos de código aberto ocupam uma posição mais sutil do que qualquer um dos lados costuma afirmar. Alguns requisitos de documentação são reduzidos para provedores de código aberto, mas as práticas proibidas continuam valendo, e quem implanta um modelo aberto em um contexto de alto risco carrega todas as obrigações de implantador. Publicar os pesos não transfere a responsabilidade para quem os baixa.
O ambiente de testes é a parte que vale usar
O Omnibus também criou um ambiente regulatório de testes em nível da UE, ao lado dos ambientes nacionais que os Estados-membros já operam. Um ambiente desses é um espaço supervisionado onde você pode desenvolver e testar um sistema com o regulador envolvido antes de ir ao mercado.
Para uma empresa grande isso é uma conveniência. Para um pequeno desenvolvedor é a coisa mais valiosa do pacote inteiro, porque troca orçamento jurídico por acesso. O motivo habitual pelo qual a regulação favorece os incumbentes é que só eles conseguem pagar para descobrir o que conformidade significa; um ambiente de testes é o mecanismo que remove essa vantagem, e a inscrição é gratuita.
Provedores e implantadores também receberam permissão para processar categorias especiais de dados pessoais, incluindo dados biométricos e de saúde, especificamente para detectar e corrigir viés. É uma autorização estreita com propósito claro, e resolve um impasse real em que testar um modelo quanto a comportamento discriminatório exigia justamente os dados que você estava proibido de tocar.
Como auditar um produto pequeno em uma tarde
O trabalho prático se divide em três perguntas, e a maioria dos produtos responde não a pelo menos uma delas, que é como um exercício de conformidade que parece enorme vira uma lista curta.
Primeira: algum usuário troca mensagens com um modelo pela sua interface? Um chat de suporte, um assistente dentro do app, um formulário que responde, um recurso de voz. Se sim, essa superfície precisa de uma divulgação, e ela precisa estar visível no ponto de interação, não enterrada nos termos de uso. Uma linha acima da caixa de texto basta.
Segunda: seu produto gera imagens, áudio ou vídeo que um modelo criou ou alterou? Se sim, cada um deles precisa de um rótulo visível e de uma marca embutida legível por máquina. O rótulo é uma tarefa de design. A marca é de engenharia, e é o item com maior chance de exigir uma mudança de biblioteca em vez de mudança de template, então é o primeiro a dimensionar.
Terceira: você é o provedor de um modelo de uso geral ou um desenvolvedor construindo sobre o de outra empresa? Quase toda equipe pequena é a segunda opção, o que coloca as obrigações de documentação, política de direitos autorais e resumo de treinamento acima na cadeia, e não sobre você. Sua tarefa é obter essa documentação, e a lei agora diz que o provedor deve entregá-la.
Passe por essas três e você terá ou uma lista curta de mudanças de código ou um resultado limpo. O que não se deve fazer é presumir a resposta sem verificar, porque a data de dezembro se aplica a sistemas lançados antes de alguém estar prestando atenção, e são exatamente esses que ninguém auditou.
O que só chega em 2027
As regras de alto risco, que são as exigentes, ainda não estão em vigor. As obrigações para sistemas autônomos de alto risco, cobrindo contratação, avaliação de crédito, educação e infraestrutura crítica, valem a partir de 2 de dezembro de 2027. IA de alto risco embarcada em produtos já regulados, como dispositivos médicos, máquinas e brinquedos, vem depois, em 2 de agosto de 2028.
Essas datas são fixas e não condicionais, e são lei vinculante sob o Regulamento (UE) 2026/1744, não uma proposta ainda em negociação. Modelos de uso geral já no mercado têm sua própria janela de transição, que vai até 2 de agosto de 2027.
Sistemas de risco mínimo, categoria que cobre filtros de spam, videogames e gestão de estoque, não carregam obrigação alguma. Isso é a maior parte do software que tem um modelo em algum lugar, e vale confirmar em qual categoria você está antes de gastar qualquer coisa com conformidade.
O resumo honesto para uma equipe pequena é que as obrigações atuais são baratas e as futuras não são, e o intervalo entre agora e dezembro de 2027 é tempo de preparação, não uma trégua. O padrão mais amplo de ferramentas avançando mais rápido do que as instituições ao redor delas já foi tratado por nós antes, em como as ferramentas de programação agêntica interromperam uma em cada três compras de software. A regulação é a parte dessa história que chega tarde e depois toda de uma vez.
