Governança de IA
O EU AI Act já é lei, e suas obrigações chegam em etapas até 2030. O Complyanz mantém o inventário dos seus sistemas de IA, confronta cada um com as práticas proibidas, propõe quais obrigações se aplicam conforme o nível de risco e o seu papel, e conduz o NIST AI RMF e a ISO 42001 com as mesmas evidências.
Seus sistemas de IA, o que se aplica a cada um e a partir de quando
O que o AI Act exige, e a partir de quando
Estas são as datas alteradas pelo Omnibus Digital sobre IA, o Regulamento (UE) 2026/1744, que adiou as obrigações de risco elevado. O Complyanz acompanha cada uma em relação aos sistemas de IA que ela afeta.
| Aplica-se a partir de | O que se aplica | Quem é afetado |
|---|---|---|
| 2 fev. 2025 | Práticas de IA proibidas (artigo 5) e letramento em IA (artigo 4) | Todos os prestadores e responsáveis pela implantação |
| 2 ago. 2026 | Obrigações de transparência (artigo 50): informar as pessoas de que estão interagindo com um sistema de IA, marcar conteúdo sintético e rotular deepfakes | Prestadores e responsáveis pela implantação de sistemas que interagem com pessoas ou geram conteúdo |
| 2 dez. 2026 | Marcação de conteúdo sintético para sistemas generativos colocados no mercado antes de 2 de agosto de 2026, e duas novas proibições: imagens íntimas não consentidas e material de abuso sexual infantil | Prestadores de sistemas de IA generativa e, para as novas proibições, todos |
| 2 dez. 2027 | Obrigações de risco elevado para os casos de uso do anexo III, como recrutamento, avaliação de crédito, educação e acesso a serviços essenciais | Prestadores, responsáveis pela implantação, importadores e distribuidores desses sistemas |
| 2 ago. 2028 | Obrigações de risco elevado para a IA em produtos abrangidos pela legislação de produtos da UE (anexo I), como brinquedos e dispositivos médicos | Fabricantes de produtos e prestadores desses sistemas |
| 2 ago. 2030 | Sistemas de risco elevado já colocados no mercado e destinados a ser usados por autoridades públicas (prazo para sistemas existentes) | Prestadores e autoridades públicas responsáveis pela implantação |
Um sistema de risco elevado que já estava no mercado antes da sua data passa a ser abrangido quando sofre alterações significativas. Os sistemas existentes destinados a autoridades públicas têm até 2 de agosto de 2030.
Tudo o que o AI Act pede que você demonstre
Um framework de riscos que vai aonde você for
O NIST AI Risk Management Framework é voluntário, amplamente usado nos Estados Unidos e cada vez mais pedido por clientes de outros países. Suas 72 subcategorias de Govern, Map, Measure e Manage estão no Complyanz palavra por palavra. O Perfil de IA Generativa, NIST AI 600-1, acrescenta ações sugeridas para os riscos próprios da IA generativa, como confabulação, privacidade de dados e integridade da informação, e você o ativa quando trabalha com modelos generativos.
Comece por qualquer framework e adicione os outros depois
As obrigações do AI Act, as subcategorias do NIST AI RMF e os controles da ISO 42001 se sobrepõem bastante. O Complyanz mantém uma tabela de correspondência entre eles, então, ao adicionar um framework, você vê quais requisitos já estão cobertos em outro lugar e pode reaproveitar as evidências que já tem. Reaproveitar é sempre uma decisão sua: nada muda de status sozinho.
Incluído no plano Completo ou como adicional
O módulo de Governança de IA cobre o EU AI Act, o NIST AI RMF e o Perfil de IA Generativa. Está incluído no plano Completo e pode ser adicionado a qualquer outro plano, com preço pelo número de pessoas no escopo, como os próprios planos.
Perguntas frequentes sobre governança de IA
Precisamos da ISO 42001?
Não. A ISO 42001 é uma norma voluntária e certificável, e o AI Act não a exige. Você pode conduzir o AI Act ou o NIST AI RMF no Complyanz sem ela. Muitas empresas a adicionam depois porque um certificado é uma evidência que seus clientes pedem, e a tabela de correspondência leva boa parte do trabalho junto.
Quando se aplicam as obrigações de risco elevado?
Depois do Omnibus Digital sobre IA: a partir de 2 de dezembro de 2027 para os casos de uso do anexo III, como recrutamento, avaliação de crédito e educação; a partir de 2 de agosto de 2028 para a IA em produtos abrangidos pela legislação de produtos da UE (anexo I); e, para sistemas de risco elevado já colocados no mercado e destinados a autoridades públicas, até 2 de agosto de 2030 no máximo. As proibições originais e o letramento em IA se aplicam desde 2 de fevereiro de 2025, e as obrigações de transparência desde 2 de agosto de 2026.
O NIST AI RMF é obrigatório?
Não. É um framework voluntário publicado pelo National Institute of Standards and Technology dos Estados Unidos. As organizações o usam para estruturar a gestão de riscos de IA, e clientes norte-americanos e compradores do setor público o pedem cada vez mais. O Complyanz inclui suas 72 subcategorias literalmente, com o Perfil de IA Generativa como opção.
O AI Act se aplica se apenas usamos ferramentas de IA?
Muitas vezes, sim. O responsável pela implantação, ou seja, qualquer organização que usa um sistema de IA sob sua própria autoridade, tem obrigações próprias: letramento em IA, as práticas proibidas, transparência perante as pessoas afetadas e, para sistemas de risco elevado, supervisão humana, monitoramento e manutenção de registros de eventos. Quais se aplicam depende do nível de risco de cada sistema e do seu papel, que é exatamente o que o inventário propõe.
Como funciona a notificação de incidentes graves?
Quando um sistema de IA de risco elevado está envolvido em um incidente grave, o prestador o notifica à autoridade de fiscalização do mercado em até 15 dias após tomar conhecimento dele, 10 dias se uma pessoa tiver morrido e dois dias em caso de infração generalizada ou de perturbação grave de infraestrutura crítica. O Complyanz inicia o relógio quando você declara o incidente e acompanha a notificação até ela ser enviada.
Vocês cobrem as obrigações dos modelos de IA de finalidade geral?
Não. Os artigos 53 a 55 se aplicam às empresas que treinam e disponibilizam modelos de IA de finalidade geral. O Complyanz foi feito para as organizações que criam produtos sobre esses modelos ou os usam, e registra quando um sistema é baseado em um deles.
Monte seu programa de governança de IA
Crie uma organização, adicione seu primeiro sistema de IA e veja quais obrigações se aplicam a ele, e a partir de quando.