Regulamento da UE · Regulamento de Inteligência Artificial
O Sightadel guia você do levantamento dos seus sistemas de IA, passando pelo papel e pelo nível de risco, até as obrigações decorrentes – com modelos baseados na prática, ajuda na redação e consultores de verdade para as partes difíceis. O que vale no seu caso é decidido por você, com justificativa documentada.
Do que se trata
O Regulamento de Inteligência Artificial da UE, Regulamento (UE) 2024/1689, regula o uso da inteligência artificial na UE. Ele se aplica diretamente, sem lei de transposição. Sua abordagem é baseada em risco: quanto maiores as possíveis consequências para a saúde, a segurança e os direitos fundamentais, mais rígidas são as obrigações. Algumas práticas são totalmente proibidas, os sistemas de alto risco estão sujeitos a requisitos extensos, a determinados sistemas se aplicam obrigações de transparência e os demais ficam, em grande parte, livres.
O decisivo é o seu papel. Os provedores desenvolvem um sistema de IA ou o colocam no mercado com o próprio nome e arcam com a maior parte das obrigações. Os responsáveis pela implantação usam um sistema sob sua própria autoridade, por exemplo em RH ou no atendimento ao cliente. Os responsáveis pela implantação também têm obrigações: precisam usar o sistema de acordo com a finalidade prevista, garantir a supervisão humana e, em certos casos, informar as pessoas afetadas.
As obrigações valem em etapas. As proibições e a obrigação de letramento em IA valem desde fevereiro de 2025, as regras para modelos de IA de propósito geral desde agosto de 2025 e as obrigações de transparência desde agosto de 2026. Um regulamento de alteração de 2026 adiou as obrigações de alto risco: para sistemas de alto risco autônomos, para dezembro de 2027; para IA em produtos regulamentados, para agosto de 2028. Não existe um certificado para o regulamento como um todo.
A IA está presente em softwares comuns, chatbots e análises. Como responsável pela implantação, você precisa de um inventário, de colaboradores treinados e de clareza sobre se um sistema se enquadra em uma área de alto risco, por exemplo na seleção de candidatos ou na análise de crédito.
Como provedor, você carrega o peso principal: gestão de riscos, documentação técnica, gestão da qualidade e, nos sistemas de alto risco, uma avaliação da conformidade antes da colocação no mercado.
Os clientes querem saber como você gerencia a IA antes de usar o seu produto. Um conjunto de evidências atualizado e um Trust Center respondem a isso uma vez, em vez de a cada questionário.
Requisitos
Resumido com nossas próprias palavras. Vale sempre o texto original na versão em vigor.
Você sabe quais sistemas de IA disponibiliza ou usa, qual papel tem em cada caso e em qual nível de risco cada sistema se enquadra.
No SightadelO inventário de IA registra cada sistema com finalidade, responsável, papel e classificação. Perguntas orientadoras conduzem a classificação; a decisão e sua justificativa são registradas por você.
Determinadas aplicações são proibidas, como técnicas manipuladoras, pontuação social ou reconhecimento de emoções no local de trabalho, salvo exceções estritamente delimitadas.
No SightadelUm controle por prática proibida, respondido para cada sistema do inventário. O resultado é arquivado com data e volta a ser apresentado quando há mudanças.
Provedores e responsáveis pela implantação tomam medidas para que seus colaboradores adquiram os conhecimentos necessários para lidar com os sistemas utilizados. A alteração de 2026 reformulou a regra, não a eliminou.
No SightadelTreinamentos como ciclos recorrentes com comprovante de participação e data de validade. As mesmas evidências contam para a ISO 42001.
Para sistemas de alto risco, uma gestão de riscos ao longo de todo o ciclo de vida, além de requisitos quanto à origem, qualidade e representatividade dos dados de treinamento, validação e teste.
No SightadelRegistro de riscos por sistema, vinculado a medidas e a revisões periódicas. As informações sobre fontes e qualidade dos dados são levantadas de forma guiada e arquivadas como evidência.
Uma documentação técnica que comprove o atendimento aos requisitos e o registro automático de eventos durante a operação.
No SightadelEstrutura da documentação como controles com modelo. As partes faltantes viram tarefas com prazo; as versões permanecem rastreáveis.
Instruções de uso compreensíveis para os responsáveis pela implantação, supervisão humana eficaz e níveis adequados de precisão, robustez e cibersegurança.
No SightadelPara a supervisão e a cibersegurança, você vincula evidências já existentes da ISO 27001. Quem supervisiona o sistema e quando se intervém é definido por você.
Os provedores de sistemas de alto risco mantêm um sistema de gestão da qualidade, passam por uma avaliação da conformidade, apõem a marcação CE, registram o sistema no banco de dados da UE e o monitoram após a colocação no mercado.
No SightadelCada passo como controle com evidência. A declaração de conformidade e o registro são arquivados com data; o monitoramento pós-comercialização funciona como ciclo com data marcada.
Os responsáveis pela implantação de sistemas de alto risco os usam de acordo com as instruções de uso, garantem a supervisão humana, guardam os registros e, em certos casos, realizam uma avaliação de impacto sobre os direitos fundamentais.
No SightadelControles próprios para responsáveis pela implantação, separados dos controles dos provedores. A avaliação de impacto é levantada de forma guiada e arquivada junto com a avaliação de impacto sobre a proteção de dados.
As pessoas sabem que estão interagindo com uma IA. Conteúdos gerados ou manipulados artificialmente são identificáveis como tal.
No SightadelControles por sistema afetado; comprovações como textos informativos ou processos de identificação são vinculadas como evidência.
Processo
O inventário, a classificação e as obrigações básicas ficam documentados em dois a quatro meses. Quem disponibiliza sistemas de alto risco deve contar com cerca de um ano, e isso precisa estar concluído antes de dezembro de 2027.
Registrar todos os sistemas de IA, inclusive os integrados em softwares comuns e serviços em nuvem. Sem inventário, nada pode ser classificado.
Determinar por sistema o papel de provedor ou de responsável pela implantação, excluir práticas proibidas e registrar o nível de risco. Esclarecer juridicamente os casos-limite.
Treinar os colaboradores, aplicar avisos de transparência, aprovar responsabilidades e uma política de IA. Essas obrigações já valem.
Só se aplicável: implementar e documentar a gestão de riscos, os requisitos de dados, a documentação técnica, a manutenção de registros e a supervisão humana.
Os provedores de sistemas de alto risco passam pela avaliação da conformidade, elaboram a declaração de conformidade e registram o sistema.
Completar o inventário a cada nova aplicação, repetir treinamentos, registrar incidentes, monitoramento pós-comercialização e revisão periódica da classificação.
Pronto para começar
Quem esclarece essas questões cedo poupa semanas depois. No Sightadel, elas já vêm configuradas como as primeiras tarefas.
Divisão de tarefas
Se um software preenchesse tudo, a norma não cumpriria seu objetivo – e o auditor perceberia. Por isso, está claramente definido o que fica com você.
Da prática
Da longa experiência em consultoria e certificação: estes são os pontos que mais consomem tempo ou que levam a não conformidades na auditoria.
A IA também está presente em softwares comuns, serviços em nuvem e extensões de navegador. Pergunte de forma direcionada às áreas de negócio e a compras e registre também as funções integradas.
A mesma empresa pode ser provedora de um sistema e responsável pela implantação de outro. Determine o papel para cada sistema individualmente e justifique.
Quem alega que um sistema em uma área do anexo III não representa um risco significativo precisa comprovar isso. Registre a avaliação por escrito antes de o sistema ser usado.
Um aviso a todos não substitui um treinamento voltado para a função. Diferencie por funções, repita o treinamento quando surgirem novos sistemas e documente a participação.
Os prazos de alto risco foram adiados, mas as proibições, o letramento em IA e a transparência estão valendo. Cumpra já as obrigações em vigor e planeje o trabalho de alto risco de trás para a frente a partir da data-limite.
Quem altera substancialmente um sistema de alto risco ou o disponibiliza com o próprio nome pode se tornar provedor. Antes de cada adaptação, verifique se o seu papel muda.
Uma evidência, vários frameworks
Propositalmente, não indicamos um percentual – depende do seu escopo. Onde os requisitos se sobrepõem, uma evidência fica vinculada a todos.
O sistema de gestão de IA fornece a estrutura: inventário, responsabilidades, avaliação de riscos, avaliação de impacto, ciclo de vida. Muitas obrigações organizacionais do regulamento podem ser cumpridas por meio dele. Ele não substitui a avaliação da conformidade nem o registro.
GDPRSe um sistema de IA tratar dados pessoais, o Regulamento Geral sobre a Proteção de Dados da UE (GDPR) vale em paralelo. O registro das atividades de tratamento, a avaliação de impacto sobre a proteção de dados e a avaliação de impacto sobre os direitos fundamentais se complementam.
ISO/IEC 27001A cibersegurança, o controle de acesso, o registro de eventos e a avaliação de fornecedores já estão documentados ali. Essas evidências contribuem para os requisitos de robustez e segurança.
ISO 9001Os provedores de sistemas de alto risco precisam de um sistema de gestão da qualidade. Quem trabalha segundo a ISO 9001 continua usando o controle de documentos, as aprovações e as ações corretivas.
Auditoria e evidências
Ninguém emite um certificado para o regulamento como um todo. Os provedores de sistemas de alto risco comprovam a conformidade antes da colocação no mercado, dependendo do sistema, por controle interno ou por um organismo notificado, e depois apõem a marcação CE. A vigilância do mercado cabe às autoridades nacionais. O Sightadel não certifica nem presta assessoria jurídica.
Quem audita recebe no Sightadel um acesso próprio: vê o escopo da auditoria, comenta e, após a sua aprovação, cria ou edita registros, mas nunca exclui nada. Uma certificação ISO/IEC 42001 é uma base estruturada, mas não é obrigatória. Se você quiser uma auditoria externa, escolha um auditor da nossa rede de parceiros independentes ou um de sua confiança. Nenhuma comissão é paga pelas auditorias – nem a nós, nem aos parceiros.
Ver a rede de auditores independentesO Regulamento de IA entrou em vigor em agosto de 2024 e, desde então, vale em etapas. Desde fevereiro de 2025 valem as proibições de determinadas práticas e as regras sobre letramento em IA. Desde agosto de 2025 valem as regras para modelos de IA de propósito geral, as estruturas de governança e as disposições sobre sanções. Desde agosto de 2026 valem as obrigações de transparência para determinados sistemas de IA, como avisos em chatbots e a identificação de conteúdos gerados artificialmente.
No verão europeu de 2026 entrou em vigor um regulamento de alteração, criado no contexto do chamado Omnibus Digital da UE. Ele adiou sobretudo as obrigações de alto risco: para sistemas de alto risco autônomos do anexo III, para 2 de dezembro de 2027; para IA em produtos já sujeitos à legislação de produtos da UE do anexo I, para 2 de agosto de 2028. Para algumas obrigações, como a marcação legível por máquina em sistemas generativos já disponibilizados, existem períodos de transição curtos. Além disso, as facilidades para pequenas e médias empresas foram ampliadas e a regra sobre letramento em IA foi reformulada.
O adiamento não é motivo para esperar. Quem disponibiliza um sistema de alto risco precisa, pela experiência, de bem mais do que um ano para a gestão de riscos, os requisitos de dados, a documentação técnica e a gestão da qualidade. E as obrigações já em vigor sobre proibições, letramento em IA e transparência afetam quase todas as empresas. Em caso de dúvida, confirme as datas exatas e as regras de transição no texto atual do regulamento.
O regulamento distribui as obrigações por papéis. Os provedores desenvolvem um sistema de IA ou mandam desenvolvê-lo e o colocam no mercado ou em serviço com o próprio nome ou marca. Os responsáveis pela implantação usam um sistema de IA sob sua própria autoridade, exceto para fins puramente privados. Há ainda os importadores, que trazem sistemas de países terceiros para a UE, os distribuidores, que os revendem, e os fabricantes de produtos, que integram IA aos seus produtos.
Uma empresa pode ter papéis diferentes para sistemas diferentes. Quem desenvolve uma ferramenta de avaliação própria para clientes é provedor nesse caso. Quem, na mesma empresa, usa um software comum com IA no recrutamento é, nesse caso, responsável pela implantação. Por isso, o papel é determinado por sistema, e não por empresa.
É preciso cautela com adaptações. Quem altera substancialmente um sistema de alto risco, muda sua finalidade de modo que ele se torne um sistema de alto risco ou o comercializa com o próprio nome pode se tornar provedor e assume então as respectivas obrigações. Isso afeta, por exemplo, empresas que continuam treinando um modelo adquirido com dados próprios e o disponibilizam como produto próprio.
No Sightadel, você registra o papel de cada sistema no inventário de IA, com justificativa. Conforme o papel, aparecem os controles adequados. Os casos-limite são esclarecidos juridicamente e o resultado é arquivado como evidência.
Um sistema de IA é de alto risco por dois caminhos. Primeiro, se for um componente de segurança de um produto ou ele mesmo um produto abrangido por determinada legislação de produtos da UE e que exija uma avaliação da conformidade por terceiros, como dispositivos médicos, máquinas ou brinquedos. Essa legislação consta do anexo I. Segundo, se for usado em uma das áreas do anexo III.
O anexo III lista, entre outras, determinadas aplicações biométricas, infraestruturas críticas, educação e formação profissional, emprego e gestão de trabalhadores, o acesso a serviços privados e públicos essenciais, como a análise de crédito e determinados seguros, a aplicação da lei, migração e controle de fronteiras, além da administração da justiça e dos processos democráticos. Para empresas fora do setor público, RH, crédito e seguros são os pontos de contato mais frequentes.
Nem todo sistema em uma dessas áreas é automaticamente de alto risco. O regulamento prevê exceções quando um sistema não representa um risco significativo, por exemplo porque executa apenas uma tarefa processual restrita ou melhora o resultado de uma atividade humana concluída antes. Sistemas que fazem perfilamento de pessoas físicas não se beneficiam dessa exceção. Quem invoca a exceção precisa documentar sua avaliação.
No Sightadel, perguntas orientadoras conduzem a classificação. A decisão e sua justificativa são registradas por você e, quando o sistema muda, a classificação volta a ser apresentada.
Para o EU AI Act não existe preço de tabela no Sightadel. Elaboramos uma proposta adequada ao número de sistemas, ao papel e à edição. Se a sua licença incluir a ISO 27001 ou a ISO 9001, o desconto permanente também vale para o EU AI Act. Você pode testar por 14 dias sem informar dados de pagamento.
O esforço depende quase exclusivamente de você disponibilizar ou não sistemas de alto risco. Para responsáveis pela implantação que usam IA em softwares comuns, o inventário, a classificação, o treinamento e os avisos de transparência ficam prontos em algumas semanas. Normalmente participam TI, proteção de dados, RH, compras e as áreas que de fato usam IA.
Os provedores de sistemas de alto risco enfrentam um projeto que lembra uma homologação de produto: gestão de riscos ao longo do ciclo de vida, requisitos para dados de treinamento e teste, documentação técnica, manutenção de registros, supervisão humana, sistema de gestão da qualidade, avaliação da conformidade, registro e monitoramento pós-comercialização. Se for preciso envolver um organismo notificado, ele cobra pelo trabalho de forma independente. Para questões de classificação e casos difíceis, você pode contratar consultoria como pacote no aplicativo. Isso não substitui a assessoria jurídica.
A maioria das empresas é responsável pela implantação. Para elas valem, em primeiro lugar, duas obrigações independentemente do nível de risco. Primeiro, medidas de letramento em IA: quem opera sistemas de IA ou usa seus resultados deve ter os conhecimentos necessários, adequados à função e ao contexto. Com a alteração de 2026, a regra foi formulada de modo que as empresas tomem medidas para promover o letramento, em vez de garantir um determinado nível. Ainda assim, você deve documentar essas medidas. Segundo, transparência: se um sistema gerar ou manipular conteúdos de imagem, áudio ou vídeo que pareçam autênticos, ou textos destinados a informar o público, isso precisa ser divulgado em determinados casos.
Se você usa um sistema de alto risco, vem mais. Você o usa de acordo com as instruções de uso, atribui a supervisão humana a pessoas competentes, garante que os dados de entrada sejam adequados à finalidade, monitora a operação, guarda os registros gerados automaticamente por pelo menos seis meses e notifica incidentes graves. Antes do uso no local de trabalho, você informa os colaboradores e seus representantes. Órgãos públicos e determinados responsáveis pela implantação privados, por exemplo na análise de crédito ou em seguros de vida e de saúde, realizam além disso uma avaliação de impacto sobre os direitos fundamentais.
No Sightadel, as obrigações dos responsáveis pela implantação estão configuradas como controles próprios, separados dos controles dos provedores. Os treinamentos funcionam como ciclos com comprovante de participação; a avaliação de impacto fica junto com a avaliação de impacto sobre a proteção de dados.
Os provedores de sistemas de alto risco elaboram uma documentação técnica antes de o sistema ser colocado no mercado. Ela descreve, entre outros aspectos, a finalidade, a arquitetura, o desenvolvimento, os dados, os testes, os limites de desempenho, a gestão de riscos, a supervisão humana e as mudanças ao longo do ciclo de vida. Somam-se a isso as instruções de uso, o sistema de gestão da qualidade, a declaração UE de conformidade, a marcação CE, o registro no banco de dados da UE e um plano de monitoramento pós-comercialização. Pequenas e médias empresas podem manter a documentação de forma simplificada.
Para a maioria dos sistemas do anexo III, o próprio provedor realiza a avaliação da conformidade, por meio de controle interno. Em determinados sistemas biométricos e em produtos do anexo I, entra um organismo notificado. As normas harmonizadas, cujo cumprimento gera presunção de conformidade, estão sendo elaboradas em nível europeu. Enquanto elas não existirem, a comprovação dá mais trabalho.
A vigilância do mercado cabe às autoridades nacionais. Na Alemanha, segundo a lei de execução aprovada em 2026, a Agência Federal de Redes da Alemanha (Bundesnetzagentur) é a autoridade central de vigilância do mercado; as autoridades setoriais mantêm competências em suas áreas. Para os modelos de IA de propósito geral, o competente é o Escritório de IA da Comissão Europeia. Quem audita vê no Sightadel o inventário, as classificações e as evidências, comenta e, após a sua aprovação, cria ou edita registros, mas nunca exclui nada.
Quanto custa
Você paga apenas pelos frameworks de que realmente precisa. As edições diferem em capacidade e tempo de resposta, não no escopo técnico. Quem gerencia vários frameworks economiza de forma permanente. Todos os preços, descontos e uma calculadora estão na página de preços.
Os custos do organismo de certificação ou de auditoria são faturados diretamente por ele para a sua empresa. Se precisar, você pode contratar consultoria como pacote no aplicativo.
Material de trabalho
Checklists e modelos para outros frameworks estão disponíveis em Recursos.
Material de apoio, não constitui consultoria jurídica.
Termos
Perguntas e respostas
Mais em nossas perguntas frequentes ou diretamente pelo nosso formulário de contato.
Muito provavelmente, a partir do momento em que você disponibiliza sistemas de IA ou os usa profissionalmente. A obrigação de letramento em IA vale para todos os provedores e responsáveis pela implantação. O que vem além disso depende do seu papel e do nível de risco dos sistemas. O uso puramente privado não está abrangido.
Proibições e letramento em IA desde fevereiro de 2025, regras para modelos de IA de propósito geral desde agosto de 2025, obrigações de transparência desde agosto de 2026, com períodos de transição para alguns sistemas já disponibilizados. As obrigações de alto risco foram adiadas em 2026: para dezembro de 2027 no caso de sistemas autônomos e para agosto de 2028 no caso de IA em produtos regulamentados.
Em caso de práticas proibidas, até 35 milhões de euros ou 7% do faturamento anual global; em caso de violação de outras obrigações, até 15 milhões de euros ou 3%; em caso de informações incorretas prestadas às autoridades, até 7,5 milhões de euros ou 1%. Para grandes empresas vale o montante mais alto; para pequenas e médias, o mais baixo.
Não para o regulamento como um todo. Os sistemas de alto risco passam por uma avaliação da conformidade e recebem a marcação CE. Para o sistema de gestão subjacente, você pode obter a certificação ISO/IEC 42001. Um “certificado AI Act” oferecido no mercado não tem efeito jurídico.
Em regra, vocês são responsáveis pela implantação. Registre os sistemas, treine os colaboradores e verifique se algum uso se enquadra em uma área de alto risco, por exemplo em decisões de RH. Para a maioria das aplicações, restam o letramento em IA e a transparência.
Sim. A norma fornece o inventário, as responsabilidades, a avaliação de riscos e a avaliação de impacto, ou seja, a base organizacional. Os passos legais, como a avaliação da conformidade, o registro ou determinadas obrigações de transparência, são verificados à parte.
Na tabela de preços atual, o Regulamento de IA não aparece como referencial próprio. Entre em contato conosco e explicamos como você pode usá-lo no Sightadel.
Não, de propósito. Ela fornece rascunhos a partir de modelos e ajuda na redação. O papel, o nível de risco e os riscos residuais são decididos por você. O Sightadel não presta assessoria jurídica sobre isso.
Em princípio, sim. Nesse caso, vocês são, em regra, responsáveis pela implantação. Registre o serviço no inventário, treine os usuários, defina regras para dados confidenciais e pessoais e verifique se algum uso se enquadra em uma área de alto risco ou gera obrigações de transparência. O GDPR vale em paralelo.
Segundo a lei de execução alemã aprovada em 2026, a Agência Federal de Redes da Alemanha (Bundesnetzagentur) é a autoridade central de vigilância do mercado. As autoridades setoriais mantêm competências em suas áreas. Para os modelos de IA de propósito geral, o competente é o Escritório de IA da Comissão Europeia.
14 dias, acesso completo, sem dados de pagamento. Tudo o que você configurar continua valendo no plano pago.
