Ajudamos você a adequar sua empresa ao Regulamento (UE) 2024/1689: inventário e classificação dos seus sistemas de IA por nível de risco, obrigações de transparência, governança e supervisão humana. O regulamento já se aplica por fases, a AESIA já fiscaliza na Espanha e as multas chegam a 35 milhões de euros ou 7% do faturamento. Dizemos o que cumprir e quando, com o calendário atualizado após o Digital Omnibus.
Consulta gratuita
Respondemos em menos de 24 h
Seis blocos para passar do “usamos IA sem controle” a um uso supervisionado e documentado, defensável perante a AESIA e alinhado com a abordagem baseada em risco do Regulamento.
Identificamos todos os sistemas de IA que sua organização usa ou desenvolve — incluindo a IA que seus funcionários usam por conta própria e os agentes autônomos —, com sua finalidade e os dados que tratam. Sem inventário, não há como demonstrar o cumprimento.
Classificamos cada sistema nos quatro níveis do AI Act — inaceitável (proibido), alto risco, risco limitado ou mínimo —, porque é dessa categoria que dependem as obrigações que se aplicam a você e os prazos que você deve cumprir.
Elaboramos a política de uso de IA, os papéis, a supervisão humana efetiva e a gestão de riscos. O regulamento não exige um “encarregado de IA”, mas exige pessoas com conhecimento suficiente para supervisionar.
As obrigações de transparência do Artigo 50 (informar que se está interagindo com uma IA e marcar o conteúdo gerado ou manipulado, incluindo os deepfakes) continuam em vigor desde 2 de agosto de 2026. Ajudamos você a implementá-las.
A IA e o RGPD andam juntos: a AESIA e a AEPD (autoridade espanhola de proteção de dados) dividem competências. Coordenamos o uso de IA com as bases legais, a informação aos titulares dos dados, a biometria e o papel do encarregado de proteção de dados (DPO).
Se você usa IA em recrutamento e seleção, scoring de crédito, biometria ou educação, provavelmente ela é de alto risco. Preparamos a documentação técnica, o registro, a supervisão e a conformidade antes das novas datas.
O AI Act não regula apenas quem fabrica IA: ele afeta qualquer empresa da UE que desenvolva, comercialize ou simplesmente use sistemas de IA em sua atividade, mesmo que a ferramenta seja de terceiros. A AESIA já fiscaliza na Espanha.
“Se você usa IA na sua atividade, você é ‘responsável pela implantação’ (deployer) e tem obrigações, mesmo que a ferramenta tenha sido feita por outro. E a empresa responde até pelo uso de IA que seus funcionários fazem por conta própria.”
“Os fornecedores arcam com as obrigações mais exigentes, sobretudo para sistemas de alto risco: gestão de riscos, dados, documentação técnica, registro, supervisão humana e conformidade.”
“Recrutamento e seleção, scoring de crédito, biometria, educação ou acesso a serviços essenciais são usos de alto risco (Anexo III), com obrigações reforçadas, embora suas datas tenham sido adiadas pelo Digital Omnibus.”
“Se você usa ChatGPT, Gemini ou outra IA generativa, as principais obrigações recaem sobre o fornecedor do modelo. A sua é de transparência: informar quando o conteúdo é gerado por IA e, se você a usa em um contexto de alto risco, cumprir como deployer.”
O regime sancionatório do AI Act supera em valor o do RGPD. E a AESIA pode agir de ofício, sem necessidade de denúncia prévia. O maior risco de muitas empresas é nem sequer saber que IA estão usando.
Usar IA proibida (manipulação subliminar, social scoring, certas formas de biometria ou deepfakes sexuais) é punido com multa de até 35.000.000 de euros ou 7% do faturamento global anual, o que for maior.
Descumprir as obrigações dos sistemas de alto risco ou as de transparência pode custar até 15.000.000 de euros ou 3% do faturamento. Prestar informações falsas à autoridade, até 7,5 milhões de euros ou 1%.
Não inventariar nem classificar: se você não consegue comprovar quais sistemas de IA usa, com que finalidade e sob quais controles, não poderá demonstrar o cumprimento. O ônus da prova, como no RGPD, recai sobre a sua organização.
Não rotular o conteúdo de IA: desde agosto de 2026 é preciso informar sobre a interação com IA e marcar o conteúdo sintético. Não fazê-lo é infração, especialmente sensível em mídia, marketing e plataformas.
Responsabilidade pelos seus funcionários: a empresa responde pelo uso de IA que seus colaboradores fazem, mesmo que não estivesse autorizado. O “eu não sabia” não isenta do cumprimento.
A Agência Espanhola de Supervisão da IA está em funcionamento desde fevereiro de 2025, com corpo de inspeção próprio e poder sancionador sobre práticas proibidas. Pode emitir advertências e agir de ofício.
Fazemos o inventário, classificamos seus sistemas por nível de risco e dizemos exatamente o que cumprir e até quando, com o calendário atualizado após o Digital Omnibus. Começar agora sai barato; fazer isso durante uma fiscalização, caro.
O AI Act é o Regulamento (UE) 2024/1689, a primeira legislação abrangente sobre IA do mundo. Aplica-se a qualquer empresa que desenvolva, comercialize ou use sistemas de IA na União Europeia, mesmo que a ferramenta seja de terceiros. Classifica os sistemas em quatro níveis de risco, com obrigações proporcionais.
Sim, por fases. As proibições e o letramento em IA se aplicam desde fevereiro de 2025; as regras dos modelos de propósito geral e o regime sancionatório, desde agosto de 2025; e as obrigações de transparência do Artigo 50, desde 2 de agosto de 2026.
O Digital Omnibus (acordo de maio de 2026) adiou as obrigações de alto risco: as do Anexo III, para dezembro de 2027, e as do Anexo I, para agosto de 2028. Esses novos prazos produzem efeito assim que forem publicados formalmente.
Três faixas: usar IA proibida, até 35.000.000 de euros ou 7% do faturamento global; descumprir obrigações de alto risco ou de transparência, até 15.000.000 de euros ou 3%; e prestar informações falsas à autoridade, até 7,5 milhões de euros ou 1%. Para PMEs e startups aplica-se o valor menor, mas não há isenção total.
O ChatGPT é um modelo de propósito geral (GPAI): as principais obrigações recaem sobre o seu fornecedor. A sua é de transparência: se você gera conteúdo que é apresentado como humano, deve informar. E se você o usa em um contexto de alto risco (avaliar funcionários, decisões de crédito), essas obrigações reforçadas se aplicam a você como responsável pela implantação.
Sistemas cujo uso pode afetar direitos ou a segurança: recrutamento e seleção, avaliação de funcionários, scoring de crédito, biometria, educação, acesso a serviços essenciais ou IA integrada a produtos regulados. Implicam gestão de riscos, documentação técnica, registro, supervisão humana e conformidade.
Você continua sendo responsável pela implantação e tem obrigações próprias: usá-la de acordo com as instruções, garantir a supervisão humana, informar as pessoas afetadas quando for o caso e monitorar seu funcionamento. O desconhecimento não isenta: se o seu software de RH ou de crédito tem IA de alto risco, o urgente é classificá-lo.
O AI Act não exige uma figura equivalente ao encarregado de proteção de dados (DPO). Exige, sim, que haja pessoas com conhecimento suficiente para supervisionar os sistemas (letramento em IA) e, no alto risco, uma supervisão humana efetiva. Na prática, convém atribuir responsabilidades claras dentro do compliance.
A Agência Espanhola de Supervisão da Inteligência Artificial (AESIA), com sede em A Coruña, é a autoridade de fiscalização do mercado de IA na Espanha e o ponto de contato com o Escritório de IA da UE (AI Office). Pode fiscalizar, exigir documentação, ordenar a retirada de sistemas não conformes e instaurar processos sancionatórios, inclusive de ofício.
Só em parte, e é uma nuance importante. Ele adia as obrigações de alto risco (Anexo III para dezembro de 2027; Anexo I para agosto de 2028), mas não as proibições, nem as regras dos modelos de propósito geral, nem a transparência do Artigo 50, que continua em 2 de agosto de 2026. E acrescenta novas proibições de deepfakes sexuais, com efeito em dezembro de 2026.
Sim. A organização é responsável pelo uso de IA em sua atividade, incluindo a que seus funcionários usam por conta própria (a chamada “shadow AI”) e os agentes que implantam internamente. Por isso, o inventário também deve abranger essa IA que hoje está fora do radar.
Eles se sobrepõem. Muitos sistemas de IA tratam dados pessoais, por isso é preciso coordenar o AI Act com o RGPD e com o encarregado de proteção de dados (DPO). Na Espanha, a AESIA e a AEPD dividem competências: a AEPD mantém seu papel em dados e biometria.
Sim. Desde agosto de 2026 é preciso informar sobre a interação com IA e marcar o conteúdo sintético (texto, imagem, áudio e vídeo), com obrigações específicas de marcação legível por máquina para os fornecedores a partir de dezembro de 2026. Isso afeta em cheio mídia, marketing, agências e plataformas.
Sim, com nuances. Há documentação simplificada, sanções proporcionais e acesso ao sandbox regulatório da AESIA para testar sistemas de alto risco em um ambiente supervisionado. O Omnibus estende algumas dessas facilidades às “small mid-caps”. Mas nenhuma empresa fica totalmente isenta.
Está a caminho. Em maio de 2026, o Governo espanhol aprovou o projeto de Lei Orgânica para a governança da IA, que adapta o regulamento ao ordenamento jurídico espanhol e define autoridades e sanções nacionais. Ainda está em tramitação, mas as obrigações materiais já são exigíveis pelo regulamento europeu: não é preciso esperar a lei para começar.
O AI Act é uma norma baseada em risco: quanto maior o risco do uso, mais obrigações. Classificar bem cada sistema é o passo que determina todo o resto. Este é o panorama, com o calendário já ajustado pelo Digital Omnibus.
As obrigações, os prazos e as sanções dependem do nível de risco de cada sistema. Um mesmo software pode ser de alto risco ou de risco limitado, conforme a finalidade para a qual você o usa.
Primeiro o inventário, depois a classificação e a análise de lacunas e, por último, a governança e a documentação de que cada sistema precisa conforme sua categoria.
| Nível de risco | Exemplos | Obrigações | Desde quando |
|---|---|---|---|
| Inaceitável (proibido) | Manipulação subliminar, social scoring, certas formas de biometria, deepfakes sexuais | Proibição total | Fev. 2025 (deepfakes sexuais: dez. 2026) |
| Alto risco | Recrutamento e seleção, scoring de crédito, biometria, educação, IA em produtos regulados | Gestão de riscos, documentação, registro, supervisão humana, conformidade | Anexo III: dez. 2027 · Anexo I: ago. 2028 |
| Risco limitado | Chatbots, assistentes, IA generativa, deepfakes não sexuais | Transparência: informar o usuário e marcar o conteúdo | Ago. 2026 (marcação: dez. 2026) |
| Risco mínimo | Filtros antispam, sistemas de recomendação, videogames, a maioria dos usos | Sem obrigações específicas; boas práticas voluntárias | — |
Calendário ajustado pelo Digital Omnibus (acordo de maio de 2026, pendente de publicação formal): os novos prazos de alto risco só produzem efeito após sua publicação no Jornal Oficial da UE. Esta página é informativa e não constitui assessoria jurídica; cada sistema deve ser analisado individualmente.
O adiamento do alto risco dá um fôlego, mas não é desculpa para não fazer nada: o difícil não é o modelo de documentação, e sim encontrar e classificar toda a IA da organização. Isso já pode começar.
Sistemas próprios, integrados, comprados e os que seus funcionários usam por conta própria. Todo o resto depende do inventário.
Da categoria de risco de cada sistema dependem as obrigações e os prazos. Um mesmo modelo muda de categoria conforme o uso.
Políticas, supervisão humana e documentação. Se você não consegue demonstrar o controle, para a AESIA é como se ele não existisse.
Quer integrar isso ao seu programa de compliance? Veja junto com o corporate compliance e o compliance officer externo.
Adequar-se ao AI Act não é assinar um documento: é um processo de inventário, classificação e governança que precisa poder ser demonstrado perante a AESIA. Este é o percurso, desde descobrir que IA você usa até sustentar as evidências ao longo do tempo.
1) InventárioMapeamos todos os sistemas de IA: próprios, integrados, comprados e a “shadow AI” que os funcionários usam, com sua finalidade e os dados que tratam.
2) ClassificaçãoAtribuímos a cada sistema seu nível — proibido, alto, limitado ou mínimo — e o papel da empresa: fornecedor ou responsável pela implantação.
3) LacunasComparamos cada sistema com o que o regulamento exige conforme sua categoria e priorizamos: o que é preciso retirar, corrigir ou documentar, e até quando.
4) Governança + evidênciasImplantamos a política de uso de IA, a supervisão humana, a transparência do Artigo 50 e a documentação de que cada sistema precisa. E deixamos as evidências prontas para comprovar o cumprimento perante a AESIA.
Decisão rápidaRetire ou redesenhe já: as proibições do Artigo 5 estão em vigor desde 2025.
Documentação, registro e supervisão; preparação para dezembro de 2027 / agosto de 2028.
Transparência e marcação do conteúdo sintético desde agosto / dezembro de 2026.
Conhecer todos os sistemas de IA usados ou desenvolvidos, incluindo a shadow AI.
Registro de sistemas com finalidade, dados, papel e fornecedor.
Atribuir nível de risco e papel (fornecedor ou responsável pela implantação).
Matriz de classificação e justificativa por sistema.
Informar sobre a interação com IA e marcar o conteúdo gerado ou manipulado.
Avisos na interface e marcação legível por máquina do conteúdo sintético.
Gestão de riscos, dados, supervisão humana, registro e conformidade.
Documentação técnica, registro na base de dados e avaliação de conformidade.
Coordenar o uso de IA com o RGPD e os direitos dos titulares.
Bases legais, informação aos titulares e coordenação com o DPO.
Identifique-os antes que a AESIA o faça.
Se você está adequando sua empresa ao Regulamento de IA, estes termos aparecem na classificação, na documentação e na relação com a AESIA.
Software que, com certa autonomia, gera resultados (previsões, recomendações, decisões, conteúdos) que influenciam o seu ambiente. É a unidade que se inventaria e classifica.
Usos vetados: manipulação subliminar, social scoring, certas formas de biometria e deepfakes sexuais. Não podem ser oferecidos nem utilizados. Em vigor desde fevereiro de 2025.
Usos que afetam direitos ou a segurança (RH, crédito, biometria, educação). Obrigações reforçadas, com datas adiadas pelo Digital Omnibus.
Modelos como os do ChatGPT ou do Gemini, aptos para múltiplas tarefas. As principais obrigações recaem sobre o seu fornecedor; o usuário assume a transparência e, se for o caso, o alto risco.
Informar que se está interagindo com uma IA e marcar o conteúdo gerado ou manipulado (incluindo deepfakes). Não foram adiadas: em vigor desde 2 de agosto de 2026.
O fornecedor desenvolve ou comercializa o sistema; o responsável pela implantação (deployer) o usa em sua atividade. Cada papel tem obrigações diferentes, e a maioria das empresas é deployer.
Autoridade de fiscalização do mercado de IA na Espanha, com sede em A Coruña e ponto de contato com o Escritório de IA da UE. Fiscaliza e sanciona, inclusive de ofício.
Espaço supervisionado pela AESIA para testar sistemas de IA inovadores — incluindo os de alto risco — antes de lançá-los, especialmente útil para PMEs e startups.
Marca legível por máquina que identifica o conteúdo gerado ou manipulado por IA, para distinguir o real do sintético. Obrigação dos fornecedores desde dezembro de 2026.
Baixe o guia com o essencial para cumprir: a quem se aplica, os quatro níveis de risco, o calendário atualizado após o Digital Omnibus, as obrigações de transparência, a AESIA e o regime sancionatório.
Conte-nos que IA sua empresa usa e diremos se o AI Act se aplica a você, em que nível de risco seus sistemas se enquadram e o que você precisa cumprir, com o calendário atualizado e o menor esforço possível.
O AI Act é o Regulamento (UE) 2024/1689, a primeira legislação abrangente sobre inteligência artificial do mundo, em vigor desde agosto de 2024 e com aplicação escalonada. Adota uma abordagem baseada em risco: classifica os sistemas em quatro níveis e exige obrigações proporcionais. Na Espanha, a autoridade de fiscalização é a AESIA (Agência Espanhola de Supervisão da Inteligência Artificial), com sede em A Coruña, que divide competências com a AEPD e os supervisores setoriais. O regime sancionatório chega a 35 milhões de euros ou 7% do faturamento.
O Digital Omnibus (acordo político de maio de 2026, apoiado pelo Parlamento em junho e pendente de adoção formal) adia as obrigações de alto risco: as do Anexo III, para dezembro de 2027, e as do Anexo I, para agosto de 2028. Por outro lado, as proibições do Artigo 5, as regras dos modelos de propósito geral e a transparência do Artigo 50 (em vigor desde 2 de agosto de 2026) não são adiadas, e acrescentam-se novas proibições de deepfakes sexuais, com efeito em dezembro de 2026. Os novos prazos só produzem efeito após sua publicação no Jornal Oficial da UE.
Em maio de 2026, o Governo espanhol aprovou o projeto de Lei Orgânica para o bom uso e a governança da IA, que adapta o regulamento ao ordenamento jurídico espanhol e define as autoridades e o regime sancionatório nacional. Ainda está em tramitação, mas as obrigações materiais já são exigíveis pelo regulamento europeu: a AESIA já pode emitir advertências e fiscalizar, por isso não convém esperar a aprovação da lei para começar a cumprir.
Você pode consultar a norma e a autoridade competente em suas fontes oficiais: o Regulamento (UE) 2024/1689 (EUR-Lex) e a Agência Espanhola de Supervisão da Inteligência Artificial (AESIA). Esta página é informativa e não constitui assessoria jurídica; cada sistema de IA deve ser analisado individualmente.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .