AI Act: as obrigações de transparência das empresas em 2026

As empresas que atuam no mercado europeu vivem uma mudança de paradigma. A adoção de IA nos processos operacionais cresce em ritmo sem precedentes: segundo o relatório State of AI da McKinsey, 88% das organizações já usam IA em pelo menos uma função de negócio. Só na Itália, os dados do ISTAT mostram que a adoção de IA nas empresas dobrou, de 8,2% em 2024 a 16,4% em 2025.

A partir de agosto de 2026, porém, o Regulamento (UE) 2024/1689, conhecido como AI Act europeu, torna plenamente exigíveis obrigações rigorosas de transparência a quem desenvolve ou opera sistemas de IA, incluída a certificação dos dados de agentes de IA. O art. 50 impõe obrigações específicas de rotulagem do conteúdo gerado por IA, de documentação da proveniência dos dados e de informação ao usuário. O problema: a maior parte das empresas não está pronta.

A resposta não está em remendos de conformidade de última hora. Está em construir uma infraestrutura de proveniência digital que certifica a origem e a autenticidade do conteúdo digital na fonte e transforma a conformidade de um ônus reativo em vantagem competitiva estrutural.

AI Act: a primeira regulação abrangente da inteligência artificial

O AI Act é o primeiro marco regulatório abrangente do mundo dedicado à inteligência artificial. Em vigor desde 1º de agosto de 2024, introduz obrigações de modo progressivo, ao longo de três anos.

As datas que importam:

• Fevereiro de 2025: obrigações de alfabetização em IA (art. 4) e proibição das práticas de risco inaceitável (art. 5), já em vigor
• Agosto de 2025: obrigações dos provedores de modelos de IA de uso geral (GPAI), designação das autoridades nacionais competentes e ativação do regime sancionatório, com multas de até 35 milhões de euros ou 7% do faturamento global
• Agosto de 2026: as obrigações de transparência (art. 50) e os requisitos dos sistemas de IA de alto risco (Anexo III) tornam-se plenamente exigíveis

A fiscalização cabe às autoridades nacionais competentes de cada Estado-membro, coordenadas pelo Comitê Europeu de Inteligência Artificial. As sanções alcançam tanto as empresas europeias quanto as de fora da União, brasileiras incluídas, que ofereçam sistemas de IA no mercado europeu: a regra é extraterritorial e tem dentes.

Art. 50: os requisitos de transparência em detalhe

O art. 50 do AI Act cria obrigações distintas para quem fornece e para quem opera sistemas de IA, com atenção especial ao conteúdo gerado por inteligência artificial.

Obrigações de quem fornece sistemas de IA

Quem desenvolve sistemas de IA precisa garantir três requisitos fundamentais:

• Os sistemas de IA que interagem diretamente com pessoas devem informar o usuário de que ele está se comunicando com uma inteligência artificial, salvo quando isso já estiver claro pelo contexto
• O conteúdo gerado (texto, áudio, imagens, vídeo) deve ser marcado em formato legível por máquina e detectável como artificialmente gerado
• Interfaces gratuitas, APIs ou ferramentas de verificação de acesso público devem ser disponibilizadas, de modo que terceiros consigam verificar a proveniência do conteúdo

Obrigações de quem opera os sistemas

As organizações que colocam sistemas de IA nos próprios processos têm responsabilidades igualmente específicas:

• Declarar que um conteúdo deepfake foi gerado ou manipulado artificialmente
• Rotular o texto gerado por IA quando publicado sobre assunto de interesse público
• Implementar indicadores visuais persistentes em imagens e vídeos, avisos de abertura no vídeo ao vivo e avisos sonoros no conteúdo de áudio
• Treinar a equipe na identificação de conteúdo gerado por IA e estabelecer mecanismos de supervisão humana

O código de conduta sobre transparência

A Comissão Europeia está finalizando um código de conduta sobre transparência e marca d’água no conteúdo de IA. O primeiro rascunho, publicado em dezembro de 2025, descreve uma abordagem em camadas: metadados embarcados com padrões de proveniência (entre eles o C2PA), marca d’água imperceptível no nível do pixel e sistemas de registro onde as outras técnicas não bastarem. A versão final é esperada entre maio e junho de 2026, pouco antes do início da exigibilidade.

O atraso de preparo das empresas europeias

Os dados sobre o preparo das empresas europeias revelam uma lacuna preocupante. Uma pesquisa da Deloitte com 500 gestores apurou que apenas 35,7% se consideram adequadamente preparados diante do AI Act, enquanto 19,4% se descrevem como mal preparados. Somente 26,2% de fato iniciaram atividades concretas de conformidade.

As lacunas estruturais são generalizadas:

• Mais de 50% das organizações não têm sequer um inventário básico dos próprios sistemas de IA
• Apenas 18% implementaram um modelo completo de governança de IA
• 70% não têm nenhum modelo formalizado de governança de IA
• Só 28% têm supervisão da IA no nível do CEO e 17% no nível do conselho

O regime sancionatório, já ativo quanto às práticas proibidas, prevê multas de até 35 milhões de euros ou 7% do faturamento anual global nas violações mais graves, até 15 milhões de euros ou 3% nos demais descumprimentos (entre eles as obrigações de transparência) e até 7,5 milhões de euros ou 1% quando se prestam informações inexatas às autoridades.

O desafio das pequenas e médias empresas

Enquanto as grandes corporações aceleram a adoção de IA (53,1% na Itália, segundo o ISTAT), as pequenas e médias empresas ficam bem atrás, em 15,7%. A distância aumentou 12 pontos percentuais em um único ano. Nas PMEs, a soma de pouca competência técnica em IA com a complexidade da conformidade cria um ambiente particularmente difícil. Entre as empresas que avaliaram investir em IA e desistiram, 60% apontam a falta de competências adequadas como barreira principal.

Proveniência dos dados: a abordagem estrutural da conformidade

Cumprir o AI Act não é colar rótulos no conteúdo gerado por IA depois que ele já circulou. Exige uma infraestrutura capaz de rastrear, verificar e certificar a origem de cada conteúdo digital ao longo de todo o seu ciclo de vida.

Essa abordagem, ancorada na proveniência digital, segue uma lógica clara: num mundo em que qualquer conteúdo pode ter sido gerado ou manipulado por IA, tentar descobrir o que é falso fica cada vez mais inútil. O que funciona é garantir o que é autêntico na origem, tornando cada dado imediatamente verificável e confiável.

Como isso funciona na prática

TrueScreen opera exatamente nessa direção. Como plataforma de autenticidade dos dados, permite que as organizações adquiram, verifiquem e certifiquem qualquer conteúdo digital (fotos, vídeos, documentos, e-mails, páginas web) com valor jurídico e admissível em juízo.

O processo se apoia em uma metodologia forense alinhada aos princípios das normas ISO/IEC 27037 e ISO/IEC 27001. No momento da aquisição, cada arquivo é selado com selo eletrônico e carimbo do tempo qualificado emitidos por um prestador qualificado de serviços de confiança (QTSP) no regime do Regulamento eIDAS (UE 910/2014), que vale em Portugal e nos demais Estados-membros. Algoritmos criptográficos de hash garantem que qualquer alteração posterior seja imediatamente detectável.

O resultado certificado é um pacote completo: os arquivos originais, um relatório em PDF legível por pessoas, um relatório em JSON legível por máquina e um arquivo XML com a certificação do QTSP, assinatura digital e carimbo do tempo. Esse pacote produz uma trilha de auditoria completa e verificável: exatamente o tipo de documentação de proveniência que o art. 50 exige.

Da conformidade reativa à infraestrutura proativa

A diferença essencial entre a conformidade de superfície e uma estratégia estrutural está na sustentabilidade. Acrescentar marca d’água ou metadados caso a caso é frágil, gera custo crescente e deixa lacunas de cobertura. Integrar a certificação na origem aos fluxos operacionais já existentes por meio de APIs e SDKs transforma a conformidade em um processo automatizado e escalável.

TrueScreen já sustenta a conformidade com os principais marcos regulatórios europeus e internacionais: AI Act, eIDAS, GDPR, NIS2, DSA e Data Act. Uma única infraestrutura de proveniência que cobre requisitos regulatórios diversos e reduz a fragmentação das ferramentas de conformidade dentro da organização.

Roteiro operacional: o que fazer antes de agosto de 2026

Faltam meses até a exigibilidade plena das obrigações de transparência. Estes são os cinco passos concretos que cabem a qualquer organização.

1. Mapeie todos os sistemas de IA em uso: monte um inventário completo dos sistemas de IA usados na organização. De cada um, identifique: o fornecedor, o tipo de saída gerada (texto, imagens, áudio, vídeo), o nível de risco e os processos de negócio envolvidos. Mais de 50% das organizações europeias ainda não concluíram esse primeiro passo fundamental.

2. Classifique por nível de risco: o AI Act distingue quatro níveis de risco: inaceitável (proibido), alto, limitado e mínimo. Os sistemas de alto risco (Anexo III) exigem documentação técnica, registro automático e supervisão humana. Os de risco limitado caem nas obrigações de transparência do art. 50. Classificar corretamente os sistemas é o pré-requisito de qualquer ação de conformidade.

3. Implante a rastreabilidade do conteúdo: em cada conteúdo gerado ou modificado por IA, garanta a rastreabilidade da origem. Adote soluções de proveniência dos dados que certifiquem essa origem com metadados verificáveis, assinatura digital e carimbo do tempo qualificado. Integre essas soluções aos fluxos já existentes por meio de API, o que torna a conformidade escalável e automatizada.

4. Construa governança interna e treinamento: o art. 4 do AI Act já impõe obrigações de alfabetização em IA ao pessoal. Defina papéis e responsabilidades claros, implemente políticas internas de uso da IA, treine as equipes na gestão do conteúdo gerado por IA e estabeleça mecanismos de supervisão humana.

5. Acompanhe a evolução regulatória sem interrupção: o cenário normativo continua se movendo. O código de conduta sobre transparência será finalizado até o meio de 2026 e o pacote Digital Omnibus da Comissão pode ajustar alguns prazos. No Brasil não existe hoje obrigação equivalente: o PL 2338/2023 está ainda em tramitação no Congresso e, se aprovado, mudará esse quadro. Uma postura proativa exige monitoramento contínuo e adaptação tempestiva dos processos.