AI Act europeu: Quais são as conexões com a LGPD no Brasil?

A Inteligência Artificial já faz parte da rotina das empresas, mas sua adoção vem acompanhada de novos desafios relacionados à privacidade, segurança, transparência, propriedade intelectual e direitos fundamentais. Na Europa, uma das principais respostas regulatórias a esse cenário é o AI Act, primeiro marco regulatório abrangente da União Europeia especificamente direcionado à Inteligência Artificial.

O movimento acontece em um momento de forte aceleração da tecnologia. Segundo a TIC Empresas, do Cetic.br/NIC.br, a proporção de empresas brasileiras utilizando IA passou de 13% em 2024 para 17% em 2025, chegando a 50% entre as grandes empresas. Na União Europeia, dados do Eurostat mostram que 20% das empresas utilizavam IA em 2025, ante 13,5% no ano anterior.

Esses números ajudam a explicar por que governança de IA, LGPD e segurança da informação precisam ser tratadas como temas de negócio, e não apenas como preocupações jurídicas.

O que é o AI Act?

O EU AI Act, formalmente denominado Regulamento (UE) 2024/1689, estabelece regras harmonizadas para o desenvolvimento, fornecimento e utilização de sistemas de Inteligência Artificial na União Europeia. O regulamento foi publicado em 2024 e entrou em vigor em 1º de agosto de 2024.

O texto completo pode ser consultado no EUR-Lex, portal oficial da legislação da União Europeia.

Sua principal característica é uma abordagem baseada em risco. Em vez de considerar toda utilização de IA igualmente perigosa, o AI Act estabelece diferentes níveis de requisitos conforme o potencial impacto da tecnologia sobre pessoas, segurança e direitos fundamentais.

Entre as categorias estão práticas proibidas, sistemas de alto risco, aplicações sujeitas a requisitos específicos de transparência e soluções de risco mínimo ou inexistente. O regulamento também estabelece obrigações específicas para modelos de Inteligência Artificial de finalidade geral — os chamados General-Purpose AI Models, ou GPAI.

A Comissão Europeia mantém uma visão geral do marco regulatório em sua página oficial sobre o AI Act e o framework europeu de Inteligência Artificial.

Na prática, uma ferramenta utilizada para filtrar spam possui riscos muito diferentes de um algoritmo usado para selecionar candidatos a emprego, determinar acesso a crédito, apoiar uma decisão médica ou realizar identificação biométrica.

Quando o AI Act começou a valer?

Embora tenha entrado em vigor em agosto de 2024, o AI Act possui implementação progressiva.

As regras relacionadas às práticas proibidas e à AI Literacy, ou alfabetização em Inteligência Artificial, passaram a ser aplicáveis em 2 de fevereiro de 2025. As regras de governança e determinadas obrigações para modelos de IA de finalidade geral começaram a valer em 2 de agosto de 2025.

Em 2 de agosto de 2026, novas disposições tornaram-se aplicáveis, incluindo poderes de fiscalização relacionados aos modelos GPAI. Entretanto, o cronograma original sofreu mudanças após ajustes regulatórios promovidos no âmbito europeu.

As regras para sistemas utilizados em determinadas áreas consideradas de alto risco — como biometria, infraestrutura crítica, educação, emprego, migração e controle de fronteiras — possuem aplicação escalonada, com parte das obrigações projetada para 2 de dezembro de 2027. Para determinados sistemas de IA incorporados a produtos regulamentados, o cronograma pode se estender até 2 de agosto de 2028.

A Comissão Europeia mantém informações atualizadas sobre a implementação do regulamento em seu portal oficial sobre o AI Act.

O que ainda está pendente no AI Act?

O AI Act não deve ser visto como uma regulamentação completamente finalizada do ponto de vista operacional. Sua implementação depende também de guidelines, códigos de prática, normas harmonizadas e interpretações das autoridades europeias.

Um dos pontos mais relevantes envolve justamente os sistemas de alto risco. Organizações europeias de normalização continuam desenvolvendo standards técnicos destinados a facilitar a demonstração de conformidade. A própria Comissão Europeia mantém orientações e perguntas frequentes para ajudar empresas a interpretar essa fase de transição.

Mais informações podem ser encontradas no guia oficial da Comissão Europeia para navegação no AI Act.

Isso traz uma importante lição para empresas brasileiras: governança de IA é um processo contínuo, que deve acompanhar tecnologia, regulamentação e mudanças nos próprios casos de uso.

Qual é a relação entre o AI Act e a LGPD?

O AI Act e a Lei Geral de Proteção de Dados (LGPD) possuem objetivos diferentes, mas inúmeras áreas de interseção.

A LGPD regula o tratamento de dados pessoais, enquanto o AI Act estabelece requisitos relacionados aos sistemas e modelos de Inteligência Artificial e aos riscos decorrentes de sua utilização.

Sempre que uma solução de IA utiliza dados pessoais para treinamento, inferência, personalização, perfilamento ou tomada de decisões, entretanto, essas duas dimensões começam a se encontrar.

No Brasil, princípios da LGPD como finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização podem servir como importantes fundamentos de uma estratégia de AI Governance. Empresas que já possuem um programa estruturado de adequação à LGPD partem, portanto, de uma posição melhor para estabelecer controles sobre IA.

Um dos pontos mais relevantes é o artigo 20 da LGPD, relacionado às decisões tomadas unicamente com base em tratamento automatizado. A própria ANPD mantém Inteligência Artificial entre os temas de sua agenda regulatória, incluindo discussões sobre direitos dos titulares, princípios, bases legais, decisões automatizadas e boas práticas de governança.

A agenda regulatória pode ser acompanhada diretamente no portal da Autoridade Nacional de Proteção de Dados.

Além da LGPD, dependendo do caso de uso, podem coexistir requisitos do Marco Civil da Internet, Código de Defesa do Consumidor, regulamentações setoriais e normas relacionadas a crianças e adolescentes, entre outras.

Apesar disto, não há uma regulamentação específica no Brasil quer trate de Inteligências Artificiais unicamente, como o AI Act.

O papel do DPO na governança de Inteligência Artificial

O DPO ou Encarregado pelo Tratamento de Dados pode (e deve) desempenhar um papel importante na governança de IA, principalmente quando esses agentes, sistemas ou soluções utilizam dados pessoais e propriedade intelectual. Isso não significa transformar o DPO no único responsável pela Inteligência Artificial, mas incorporá-lo às decisões sobre seleção de fornecedores, avaliações de impacto, tratamento de dados, transparência, definição de períodos de retenção, treinamento de modelos e utilização segura de ferramentas pelos colaboradores.

Saiba mais sobre o modelo de DPO-as-a-Service da Macher Tecnologia e como podemos ajudar organizações na estruturação de programas de Governança para IA.

A maturidade aumenta ainda mais quando esse trabalho é multidisciplinar. Jurídico pode avaliar obrigações regulatórias e contratuais além dos riscos de Propriedade Intelectual; Privacidade analisa dados pessoais e direitos dos titulares; Segurança da Informação identifica vulnerabilidades e potenciais riscos de exposição de informações; TI entende integrações, arquitetura e controles; RH avalia impactos sobre colaboradores; e áreas de negócio determinam finalidade, benefício e risco. Governança de IA eficiente surge justamente da combinação dessas perspectivas, evitando que a empresa trate IA exclusivamente como um projeto tecnológico ou exclusivamente como uma questão de compliance, ou, no pior dos casos apenas como uma “necessidade de negócio” ignorando os controles empresariais.

O DPO, deve, também, adotar uma postura de apoio ao combate do AI Sprawl ou do Shadow AI. Estes termos significam adoção acelerada de ferramentas de Inteligência Artificial dentro das empresas, de desorganizado e descentralizado. Na prática, colaboradores e departamentos começam a utilizar diferentes plataformas de IA sem validação adequada, sem avaliação de riscos e, muitas vezes, sem conhecimento das áreas de TI, segurança ou proteção de dados. O DPO deve então, trabalhar treinamento e evangelização acerca dos riscos de Privacidade e Proteção de dados com equipes,  com o objetivo de reduzir os riscos à organização.

AI Governance não significa impedir a inovação

Criar regras para Inteligência Artificial não significa proibir ChatGPT, Copilot, Claude ou outras ferramentas. Significa entender quais soluções estão sendo utilizadas, por quem, para qual finalidade, com quais dados e sob quais controles.

Uma organização pode começar criando inventário de ferramentas e casos de uso, classificação de riscos, políticas de IA, processos de aprovação, critérios para contratação de fornecedores, regras para utilização de dados pessoais e confidenciais, avaliação humana de resultados, evidências e treinamento dos usuários.

O objetivo deve ser permitir que a IA seja utilizada com segurança e responsabilidade, sem eliminar justamente os ganhos de produtividade e inovação que justificaram sua adoção.

A governança de IA surge justamente como uma ferramenta organizacionais destinada a garantir que o uso da Inteligência Artificial aconteça de forma segura, ética, auditável, transparente e alinhada aos objetivos estratégicos da empresa.

Como a Macher Tecnologia pode ajudar?

A Macher Tecnologia apoia empresas na construção dessa jornada integrando Privacidade, Tecnologia, Segurança da Informação e gestão. Podemos atuar desde um assessment e projeto de adequação à LGPD até a criação de políticas para utilização de IA, mapeamento de ferramentas e fornecedores, avaliações de riscos, RIPD/DPIA, treinamentos, revisão de processos e suporte contínuo por meio de nosso DPO-as-a-Service.

Nossa abordagem multidisciplinar ajuda a transformar requisitos regulatórios em controles aplicáveis à rotina, permitindo que colaboradores e equipes de desenvolvimento aproveitem os benefícios da Inteligência Artificial sem perder de vista privacidade, segurança, propriedade intelectual e governança.

O AI Act europeu mostra uma tendência que dificilmente ficará restrita à Europa: a discussão está deixando de ser apenas “podemos usar IA?” para se tornar “como podemos usar IA de maneira responsável, comprovável e segura?”. Para empresas brasileiras, começar essa organização agora pode representar não apenas conformidade, mas maior maturidade, confiança dos clientes e preparação para atuar em mercados cada vez mais regulados.

Se sua organização precisa de apoio com a LGPD, IA e cibersegurança, entre em contato com nosso time de consultores!

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!