Níveis de risco do Regulamento EU AI Act: um guia para profissionais

Como a pirâmide de risco funciona na prática

A Lei é uma lei baseada em risco. Usos mais pesados carregam deveres mais pesados; práticas proibidas não têm caminho de conformidade. A visão geral da Comissão é o ponto de entrada oficial mais curto antes de mergulhar nos artigos (Comissão Europeia — Lei de IA). Mantenha o texto do Jornal Oficial aberto quando uma slide de fornecedor conflita com a lei primária (Regulamento (UE) 2024/1689).

As datas mudam. O pacote Digital Omnibus alterou várias datas de aplicação de alto risco após o calendário original se provar inviável para padrões e orientações. Trate qualquer tabela de datas — incluindo a nossa — como uma fotografia e verifique uma linha do tempo mantida antes de comprometer o orçamento (Cronograma de implementação da Lei de IA da UE). "Planejamos para agosto de 2026" não é uma defesa se a data vinculante for posterior — e também não é um motivo para congelar o trabalho.

Fornecedor versus implantador em uma frase

Os fornecedores colocam o sistema no mercado ou o colocam em serviço sob seu nome; os implantadores o usam sob sua autoridade. Muitas pilhas de agentes de empresa misturam ambos os papéis. Classifique o sistema primeiro, então atribua quem possui qual dever. Misturar as duas conversas é como as equipes "finalizam" uma lista de verificação que ninguém pode assinar.

Risco inaceitável: proibido totalmente

O Artigo 5 proíbe práticas como pontuação social por autoridades públicas, identificação biométrica remota em tempo real em espaços acessíveis publicamente (com exceções estreitas) e reconhecimento de emoções em locais de trabalho e escolas nos contextos que o artigo define. Essas proibições se aplicam a partir de 2 de fevereiro de 2025. Não há caminho de conformidade: se o seu sistema cair aqui, não poderá ser colocado no mercado da UE.

Equipes de produtos às vezes inventam um "modo limitado" para uma prática proibida. Isso não cria um caminho legal. Se o propósito pretendido for a prática proibida, pare. Se um recurso puder ser usado dessa forma como um uso indevido previsível, documente o uso indevido e os controles técnicos ou contratuais que o bloqueiam — e obtenha aconselhamento quando a fronteira for nebulosa.

Checklist — tela de uso proibido

- Declaração de propósito pretendido revisada contra as categorias do Artigo 5 - Lista de uso indevido previsível escrita (não apenas demonstrações de caminho feliz) - Plano de desativação ou desligamento se um recurso se desviar para o território proibido - Nenhuma linguagem de vendas que implique uma "versão conformidade" de uma prática proibida

Alto risco: a carga de documentação e monitoramento

Um sistema é de alto risco por dois caminhos no Artigo 6: é um componente de segurança de um produto abrangido pela lei de harmonização da UE listada no Anexo I, ou seu propósito pretendido cai em um dos domínios do Anexo III — incluindo biometria, infraestrutura crítica, educação, emprego, acesso a serviços privados e públicos essenciais (crédito e seguros são gatilhos frequentes), aplicação da lei, migração e administração da justiça. As obrigações do capítulo de alto risco para sistemas autônomos do Anexo III agora se aplicam a partir de 2 de dezembro de 2027, sob as emendas do Digital Omnibus (a data geral original era 2 de agosto de 2026). Os sistemas de alto risco incorporados a produtos do Anexo I se aplicam a partir de 2 de agosto de 2028. Confirme a linha do tempo antes de imprimir uma slide de apresentação.

Quando você é de alto risco, a carga inclui um sistema de gerenciamento de riscos (Art. 9), governança de dados (Art. 10), documentação técnica (Art. 11), registro automático (Art. 12), transparência para os implementadores (Art. 13), supervisão humana (Art. 14) e expectativas de precisão/cibersegurança (Art. 15). Nosso artigo irmão aborda as lacunas de documentação que as equipes mais frequentemente perdem.

Teste do Artigo 6 — como executamos em um workshop

- Escreva o propósito pretendido em um parágrafo simples. Proíba adjetivos de marketing. - Pergunte: é este um componente de segurança de um produto do Anexo I? Se sim, siga o caminho do Anexo I e interações com a lei setorial de produtos. - Caso contrário, percorra os domínios do Anexo III um a um. A triagem de emprego, gestão de trabalhadores, avaliação de crédito e pontuação educacional são os imãs de agentes de empresas. - Registre a decisão, o proprietário e a data. Revise quando o propósito ou a classe de implementador mudar. - Se a resposta for "talvez", trate como de alto risco para planejamento até que o conselho diga o contrário. Ambiguidade não é um passe livre para não fazer nada.

Nível | Exemplos típicos | Forma do dever central | Nota de calendário (verifique ao vivo) Inaceitável | Pontuação social por autoridades públicas; usos biométricos/proibição de emoções no Art. 5 | Proibição — nenhum caminho de conformidade | A partir de 2 de fevereiro de 2025 Alto risco (Anexo III) | Ferramentas de contratação, auxílios de avaliação de crédito, ferramentas de avaliação educacional | Documentos, registro, supervisão, gerenciamento de riscos, caminho de conformidade | A partir de 2 de dezembro de 2027 (Omnibus) Alto risco (Anexo I) | IA como componente de segurança em produtos regulamentados | Mesmo capítulo de alto risco + lei setorial de produtos | A partir de 2 de agosto de 2028 (Omnibus) Risco limitado | Muitos chatbots; mídia sintética com deveres de transparência | Divulgue IA/rotule conteúdo sintético (família do Art. 50) | Transparência ainda no cronograma de 2026 — verifique novamente a linha do tempo Risco mínimo | Filtros de spam; muitas ferramentas de elaboração interna | Nenhum dever obrigatório da Lei de IA; códigos voluntários apenas | Ainda classifique — não assuma

Risco limitado: obrigações de transparência

Chatbots, geradores de deepfakes e reconhecimento de emoções fora de contextos de alto risco geralmente caem aqui. A principal obrigação é a transparência: os usuários devem saber que estão interagindo com IA, e o conteúdo sintético deve ser rotulado onde a Lei exige. Não há avaliação de conformidade para chatbots de risco limitado comuns. As penalidades por falhas de informação e transparência estão em uma faixa mais baixa do que as multas por práticas proibidas (o Artigo 99 usa níveis; consulte o texto da regulamentação para os tetos exatos).

Não trate "risco limitado" como "ignore o calendário." Várias obrigações de transparência permaneceram no cronograma de 2026, mesmo quando as datas de alto risco mudaram. As regras de marca d'água e marcação técnica relacionada para sistemas já no mercado têm suas próprias sub-datas nos cronogramas públicos. Leia a página do cronograma de implementação antes de dizer a um cliente "tudo foi adiado para 2027."

Lista de verificação — honestidade de risco limitado

- Divulgação para o usuário de que o interlocutor é IA (onde exigido) - Plano de rotulagem de mídia sintética para áudio/vídeo/imagens gerados - Não alegar "certificado de alto risco" para um chatbot de risco limitado - Nota separada se um recurso de chatbot for alimentado posteriormente por uma decisão do Anexo III

Risco mínimo: essencialmente não regulamentado sob o Ato

Filtros de spam, muitos mecanismos de recomendação e a maioria dos assistentes de redação internos se enquadram aqui. O Ato não impõe obrigações mandatórias, embora existam códigos de conduta voluntários. A maioria dos agentes de IA empresariais que tomam ou influenciam decisões consequenciais não se enquadra nesse nível — essa é a lacuna que as equipes subestimam quando apontam para um assistente de redação e concluem que toda a empresa está "fora do escopo."

Se o seu agente apenas elabora um rascunho e um humano sempre retipa em outro sistema sem decisão influenciada por IA, você pode estar mais perto do risco mínimo. Se a pontuação, classificação ou recomendação do agente for a decisão de fato, revise o Anexo III. O propósito e o uso superam os diagramas de arquitetura.

Penalidades em números simples (verifique ainda no Art. 99)

O Artigo 99 estabelece tetos por gravidade: práticas proibidas de até 35 milhões de euros ou 7% do faturamento anual global (o que for maior); não conformidade de alto risco de até 15 milhões de euros ou 3%; certas informações incorretas/falhas de transparência de até 7,5 milhões de euros ou 1,5%. Esses são os valores máximos, não faturas automáticas. Ainda assim, são o motivo pelo qual a classificação é um tópico de nível de diretoria, e não uma tarefa de uma sexta-feira à tarde.

Para vocabulário de processo fora do estatuto da UE, as equipes às vezes emprestam o NIST AI Risk Management Framework. Isso é aceitável para a linguagem de governança interna (NIST AI RMF). No entanto, não altera o seu nível sob o Regulamento (UE) 2024/1689. O contexto mais amplo de política digital da UE também está ao redor do Ato; as páginas da Comissão "Europa preparada para a era digital" ajudam a colocar as regras de IA ao lado de arquivos digitais vizinhos (Europa preparada para a era digital), mas a classificação em níveis ainda começa a partir dos Artigos 5–6 e dos anexos.

Erros comuns de classificação

- Classificar o modelo em vez do uso. O mesmo modelo de base pode alimentar um filtro de spam e um classificador de contratação. O uso decide a categoria. - Pressupor que "somente interno" significa risco mínimo. Ferramentas de emprego internas são um gatilho clássico para o Anexo III. - Congelar o calendário em 2 de agosto de 2026 para todas as funções de alto risco. A lei Omnibus moveu as datas de aplicação de alto risco do Anexo III/Anexo I; as obrigações de transparência não se moveram todas com elas. - Deixar que as vendas escolham a categoria. As vendas querem "baixo risco." Engenharia e jurídico são os donos do mapa. - Pular uma decisão escrita. Se você não puder mostrar por que não é de alto risco, um revisor assumirá que você nunca olhou.

Critérios de decisão: o que fazer neste trimestre

Se você estiver construindo ou comprando IA voltada para a UE em 2026:

- Inventarie sistemas que influenciam emprego, crédito, educação ou serviços essenciais - Execute o teste do Artigo 6 e armazene o resultado escrito - Mantenha o trabalho de transparência e uso proibido no calendário próximo - Use a pista de alto risco de 2027/2028 para construir documentação, registro e supervisão — não espere até a semana antes da data - Aponte todas as alegações externas para o EUR-Lex ou a página da Comissão, e não para um resumo de podcast

O que isso não é

Este guia não é um conselho jurídico, não é uma avaliação de conformidade e não é uma promessa de que o VendorVet (ou qualquer ferramenta de lista de verificação) garante a classificação correta ou "nunca perde" um uso de alto risco. Nós não inventamos métricas de cliente ou afirmamos que você "definitivamente evitará" uma multa. As datas neste artigo refletem a mudança do Digital Omnibus para aplicações de alto risco, como comumente relatado após a adoção de meados de 2026; sempre verifique contra o Diário Oficial e uma linha do tempo de implementação mantida antes de vincular um programa de conformidade.

Conclusão

Mapeie a camada primeiro. Em seguida, abra a lista de verificação correta. Práticas proibidas param; sistemas de alto risco coletam evidências; sistemas de risco limitado contam a verdade aos usuários; sistemas de risco mínimo ainda precisam de um inventário honesto. Quando a carga de documentação começar, leia a lista de verificação da documentação técnica em seguida — é onde a maioria das equipes descobre as lacunas que a classificação sozinha não pode corrigir.

Referências

- Regulamento (UE) 2024/1689 (EUR-Lex) - Comissão Europeia — Lei de IA - Lei de IA da UE — Cronograma de Implementação - Quadro de Gerenciamento de Riscos de IA do NIST - Comissão Europeia — Europa preparada para a era digital

Artigos relacionados

- Documentação técnica sob o AI Act: o que as equipes geralmente perdem - Explore a matriz completa de tópicos de AI micro-SaaS →