O Uso de AI da Sua Empresa É de Alto Risco Segundo o EU AI Act?

Por Tracy N · Atualizado em 12 de janeiro de 2026

A maioria dos executivos que já ouviu falar do EU AI Act acha que ele é um problema das empresas de AI, e não das empresas que simplesmente compram e usam ferramentas de AI. Para muitos negócios, isso está errado, inclusive para vários que nunca venderam um produto na Europa.

As duas perguntas que realmente importam são mais simples do que as manchetes sugerem: a lei se aplica à sua empresa e, se sim, quais dos seus usos de AI seriam considerados de alto risco? Este artigo responde às duas em linguagem simples, com uma autoavaliação que você pode fazer ainda esta semana. Para a questão separada de qual base de conformidade construir independentemente de como os prazos mudem, veja nosso artigo complementar sobre conformidade em AI que resiste às mudanças regulatórias.

Uma observação antes de continuar: estas são informações gerais de negócios, não aconselhamento jurídico. Confirme sua exposição específica com advogados qualificados.

O EU AI Act Se Aplica a Você? Não Depende Só de Onde Fica a Sua Sede

O erro mais comum é achar que o EU AI Act é um problema europeu para empresas europeias. Não é. O alcance da lei está ligado ao lugar onde um sistema de AI é usado ou onde seus resultados afetam pessoas, e não ao lugar onde a empresa dona do sistema foi constituída.

O Artigo 2 da lei define três portas de entrada. Ele abrange os fornecedores que colocam sistemas de AI no mercado da UE, onde quer que estejam sediados; os responsáveis pela implantação estabelecidos ou localizados na UE (então um escritório europeu que usa uma ferramenta de AI para contratação entra na conta); e fornecedores e responsáveis pela implantação fora da UE quando os resultados do seu sistema de AI são usados na UE. A localização da sede não isenta você, e o critério para ser "alcançado" pela lei é mais baixo do que a maioria das equipes de liderança imagina.

Se alguma parte do seu negócio vende para a UE, emprega pessoas lá ou toma decisões baseadas em AI que afetam clientes ou funcionários na UE, trate a lei como uma questão concreta, e não como ruído de fundo sobre uma regulação estrangeira.

Fornecedor ou Responsável pela Implantação? A Distinção Que Muda Tudo

Depois de saber que a lei pode se aplicar, a próxima pergunta é qual papel você desempenha, porque as obrigações mudam muito conforme a resposta.

Um fornecedor desenvolve um sistema de AI e o coloca no mercado. É o caso da OpenAI, da Anthropic, do fornecedor do seu ATS ou da empresa do seu software de pontuação de crédito. Um responsável pela implantação usa um sistema de AI sob sua própria autoridade no curso dos negócios. Se a sua empresa comprou uma ferramenta de recrutamento com AI, uma plataforma de gestão de desempenho com uma camada de pontuação por AI ou uma ferramenta de decisão de crédito, e não a desenvolveu, você é responsável pela implantação, e não fornecedor.

A maioria das empresas B2B que está lendo isto é responsável pela implantação, e isso importa porque as obrigações desse papel são mais leves que as do fornecedor, mas não são zero. Quem implanta sistemas de AI de alto risco ainda precisa manter supervisão humana sobre decisões relevantes, monitorar o funcionamento do sistema e manter registros de como ele é usado. O fornecedor responde por construir o sistema conforme as especificações; você responde pela forma como o opera. São obrigações separadas, e a premissa padrão das compras de SaaS, de que o fornecedor "cuida da conformidade", cobre só metade do quadro. Peça aos fornecedores a documentação de conformidade, mas não trate um "sim" como o fim da sua própria responsabilidade.

O Que Conta como Alto Risco, em Linguagem Simples

O EU AI Act não classifica sistemas de AI como de alto risco pelo grau de sofisticação. Ele os classifica pelo tipo de decisão que eles embasam. Uma ferramenta simples que ranqueia candidatos a emprego é de alto risco. Um sistema de AI muito mais avançado que escreve textos de marketing, em geral, não é.

As categorias mais relevantes para empresas B2B comuns, segundo o Anexo III da lei, incluem:

Emprego e gestão de trabalhadores. Ferramentas de recrutamento que fazem triagem ou ranqueiam candidatos, recursos de AI em decisões de gestão de desempenho ou promoção e ferramentas de monitoramento que embasam decisões disciplinares ou de desligamento. Se o seu sistema de rastreamento de candidatos tem uma camada de pontuação por AI, e a maioria dos atuais tem, provavelmente você está operando um caso de uso de alto risco.

Crédito e acesso a serviços essenciais. AI que avalia a capacidade de crédito de pessoas físicas, precifica seguros de vida ou de saúde para indivíduos ou decide o acesso a outros serviços essenciais. Isso pode ir além dos bancos quando um negócio usa AI para avaliar o crédito de uma pessoa, como um empreendedor individual ou um fiador pessoal. Decisões de crédito sobre outras empresas geralmente ficam fora dessa categoria, e é por isso que a pontuação de leads e a previsão em B2B costumam ter uma exposição bem menor.

Educação e formação profissional. Sistemas de AI usados para avaliar estudantes, corrigir provas ou determinar o acesso a programas de formação ou educacionais.

Aplicação da lei e migração/controle de fronteiras também são categorias de alto risco na lei, mas raramente afetam um negócio B2B comum.

O Que NÃO É Alto Risco

Esta é a parte que tranquiliza a maioria dos executivos quando eles a veem por escrito. A maior parte da AI usada no dia a dia do trabalho, como assistentes de redação, resumidores de reuniões, busca interna, ferramentas de autocompletar código e recursos gerais de produtividade em ferramentas como o Rework, não se enquadra nas categorias de alto risco. O status de alto risco se aplica à AI que toma ou embasa de forma substancial uma decisão relevante sobre uma pessoa específica. Uma ferramenta que ajuda sua equipe a escrever ou organizar o trabalho mais rápido não atinge esse critério por si só.

Autoavaliação Rápida

Como Estão os Prazos (em Outubro de 2026)

As perguntas de conformidade acima não mudam com o calendário, mas a data em que cada uma passa a ser exigível mudou. O Digital Omnibus da UE sobre AI, em vigor desde o fim de julho de 2026, reescreveu o cronograma de fiscalização dos sistemas de alto risco, segundo a análise do texto final feita pela Orrick.

As obrigações ligadas às categorias do Anexo III citadas acima, entre elas emprego, crédito e educação, não entram mais em vigor em 2 de agosto de 2026. A análise do adiamento feita pela Jones Walker e o alerta aos clientes da Morgan Lewis confirmam que a nova data é 2 de dezembro de 2027. As obrigações de alto risco para AI incorporada a produtos regulados, como dispositivos médicos ou máquinas sob o Anexo I, ficam para ainda mais tarde, 2 de agosto de 2028.

Nem tudo mudou. As regras de transparência do Artigo 50, que exigem informar quando alguém está interagindo com AI, vendo conteúdo gerado por AI ou sendo avaliado de forma emocional ou biométrica, continuam valendo a partir de agosto de 2026. Há uma exceção pontual: fornecedores de sistemas que já estavam no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para implementar a marca d'água técnica.

Fatos Principais

• As obrigações de alto risco do Anexo III (emprego, crédito, educação e usos semelhantes) foram adiadas de 2 de agosto de 2026 para 2 de dezembro de 2027.
• As obrigações de alto risco para AI incorporada a produtos sob o Anexo I foram adiadas para 2 de agosto de 2028.
• As obrigações de transparência do Artigo 50 (aviso de interação com AI, rotulagem de deepfakes) continuam valendo a partir de agosto de 2026, praticamente sem efeito do adiamento.
• Um período de carência mais restrito leva a conformidade com a marca d'água técnica, para sistemas que já estavam no mercado antes de agosto de 2026, para 2 de dezembro de 2026.
• A Morgan Lewis descreve os adiamentos como "uma extensão de prazo para concluir os esforços de conformidade com o AI Act, e não... um relaxamento substancial das obrigações subjacentes".

As datas mudaram. As categorias consideradas de alto risco, não. Se a sua empresa está no escopo, e quais dos seus usos de AI se qualificariam, a resposta é a mesma de antes do Digital Omnibus.

O Que Fazer nos Próximos 30 Dias

Você não precisa de advogados externos para concluir os três primeiros passos. Mas precisa deles antes de confiar em qualquer conclusão tirada desses passos.

1. Liste todas as ferramentas de AI que suas equipes realmente usam, incluindo recursos embutidos em softwares que você não comprou especificamente por causa da AI. Os líderes de RH, vendas, finanças e customer success conhecem ferramentas das quais o jurídico nunca ouviu falar.
2. Passe cada ferramenta pela tabela de autoavaliação acima. Ela afeta pessoas ou mercados da UE? Você a comprou em vez de desenvolvê-la? Ela pontua ou decide algo sobre o emprego, o crédito ou o acesso à educação de uma pessoa específica?
3. Sinalize tudo o que cair em uma categoria de alto risco, mesmo com o prazo adiado para dezembro de 2027. Montar a documentação e o processo de supervisão para uma ferramenta de decisão de emprego ou crédito leva meses, não semanas.
4. Verifique agora suas obrigações de transparência, já que o Artigo 50 já está em vigor. Toda comunicação com clientes gerada por AI informa que foi gerada por AI?
5. Envolva advogados para a classificação formal. Com o inventário e a autoavaliação preliminar prontos, você terá o que eles precisam para dar uma resposta concreta, e não uma resposta genérica.

Se as suas ferramentas de vendas ou de pontuação de leads com AI afetam clientes na UE, nosso checklist de conformidade de RevOps para pontuação de leads com AI sob o EU AI Act mostra a versão desse inventário específica para essa função. Para o lado da documentação, depois de saber o que está no escopo, veja nosso guia para criar uma política de governança de AI para o seu departamento e os modelos de avaliação de prontidão para AI. Se você está comparando a exposição na UE com uma postura mais flexível nos EUA, nossa análise da ordem executiva desregulatória dos EUA explica por que a flexibilização em uma jurisdição não cancela as obrigações em outra, e nosso artigo sobre por que os AI agents agora têm mais acesso a sistemas do que a maioria das empresas protegeu trata do ângulo de segurança relacionado.

Fontes: Orrick, "EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes" (julho de 2026) | Jones Walker, "Yes, August 2 Still Matters: The EU Approved a High-Risk AI Delay, but Most Transparency Obligations Remain" (julho de 2026) | Morgan Lewis, "EU Approves Delays and Other Amendments to Certain EU AI Act Obligations: What Businesses Should Know" (junho de 2026)

Este artigo contém informações gerais de negócios, não aconselhamento jurídico. A regulação de AI muda rapidamente e varia de acordo com a jurisdição. Confirme suas obrigações específicas com advogados qualificados antes de tomar decisões de conformidade.