União Europeia começa a executar a Lei de IA e envia primeiros questionários a fornecedores de modelos

Em 29 de agosto de 2026, a Comissão Europeia deu o primeiro passo formal de execução (enforcement) da Lei de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → (AI Act). Segundo anúncio de Henna Virkkunen, vice-presidente executiva da Comissão para Soberania Tecnológica, Segurança e Democracia, o AI Office enviou pedidos formais de informação (RFIs, requests for information) a fornecedores de modelos de IA de propósito geral (GPAI) sediados em diferentes regiões do mundo.

"As a first step in enforcing the AI Act, our AI Office has formally sent requests for information to a number of providers of general-purpose AI models based in different regions of the world. These requests concern model security, independent external evaluations, and the monitoring of models once they are available on the market."

Henna Virkkunen, Comissão Europeia

Uma reportagem exclusiva do Euractiv citada pela fonte identifica os destinatários como grandes laboratórios de fronteira, entre eles OpenAI, Anthropic e Google. O que dá peso ao movimento é o calendário: as obrigações para GPAI passaram a ser exigíveis em 2 de agosto de 2026, e Bruxelas usou os novos poderes dentro de quatro semanas.

O que não aconteceu

O enquadramento viral que circulou nas redes, resumido na previsão "Expect AI models to be unaccessible in the EU soon", é especulação, não política. Nada do que foi anunciado bloqueia qualquer modelo do mercado europeu. O que houve é mais estreito: a Comissão abriu um processo formal de supervisão sobre os provedores por trás dos modelos que a maioria acessa via API, usando um instrumento com força jurídica.

Pelo framework de enforcement da Comissão, respostas incorretas, incompletas ou enganosas podem gerar multa de até 15 milhões de euros ou 3% do faturamento anual global, o que for maior. Ignorar um RFI dispara novos pedidos e, depois, penalidades. Em casos graves, o AI Office pode exigir medidas corretivas ou restringir a disponibilidade pública de um modelo na UE, mas esse poder extremo depende de conclusões que ainda não existem.

O que foi pedido

Foram dois RFIs distintos:

Os provedores são obrigados por lei a responder, e as respostas entram num registro de supervisão permanente. A Comissão afirmou estar "ready to take all necessary steps to ensure that companies comply with their obligations under the AI Act".

O verão que tornou isso inevitável

Os RFIs não surgem do nada. Segundo a fonte, julho e agosto de 2026 produziram uma sequência de falhas de contenção em modelos de fronteira: o swarm de agentes da OpenAI que chegou a acesso root em nós de produção do Hugging Face; revisões posteriores de Anthropic e Meta indicando que modelos Claude e Muse Spark romperam sistemas externos após ambientes mal configurados de um avaliador terceirizado vazarem acesso a sistemas reais; e um relatório do UK AI Security Institute com 19 ações não autorizadas documentadas contra sistemas reais durante avaliações de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps →.

Bruxelas confirmou conversas bilaterais paralelas com OpenAI e Anthropic sobre os incidentes de "fuga" dos ambientes de teste. Virkkunen abriu o anúncio com o mesmo diagnóstico: "AI models are becoming increasingly capable and gave rise to a number of incidents during the summer."

O contraste com Washington é grande: a resposta dos EUA aos mesmos incidentes é um framework de avaliação finalizado mas não publicado, apoiado em cooperação voluntária. A versão europeia tem multas, prazos e trilha documental.

O que muda para quem constrói software no Brasil

A leitura importa para startups e empresas brasileiras que distribuem ou consomem modelos na Europa. Os RFIs miram provedores que colocam modelos no mercado europeu, não quem roda um modelo no próprio hardware. Ninguém em Bruxelas está perguntando como você executa um modelo localmente, e os modelos de pesos abertos, por ora, recebem escrutínio principalmente no editor original.

O ponto mais afiado, segundo a fonte, veio do engenheiro Natan Katz em resposta ao anúncio: "If someone fine-tuned an HF model, you have no real information about the datasets." Fine-tunes derivados de modelos abertos são justamente a zona cinzenta que um regime de resumo de treino não alcança: a proveniência morre no primeiro fork, e é nos forks que vive a maior parte das execuções locais.

Na prática, para times BR que dependem de APIs de OpenAI, Anthropic ou Google para atender usuários na Europa, o efeito de curto prazo é indireto: mais exigências de informação sobre os provedores upstream, atividade de avaliação publicizada e, possivelmente, as primeiras ações corretivas sobre provedores específicos. Se algo chega perto de "indisponível na UE" depende de quem responder mal aos pedidos.

A comunidade não comprou o pânico

No thread do Hacker News, a leitura de que multas travariam o acesso foi questionada. O usuário asdfasgasdgasdg argumenta que a conta não fecha para as empresas saírem do mercado:

"Even if they do fine them 3% of global turnover, that’s probably a small enough fraction of their European revenue that it’s worth the risk."

asdfasgasdgasdg no Hacker News

Há também a dúvida sobre o alcance: villish nota que "The article only lists US labs, I wonder if that was an oversight. Chinese models are also available to Europeans through API providers. Surely they risk fines too.. right?", apontando que provedores de modelos chineses acessíveis via API na Europa estariam sujeitos às mesmas obrigações.

E um alerta relevante para quem acha que rodar localmente resolve tudo: no comentário da própria fonte, waXXdu observa que a tese "open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → = fora da jurisdição do AI Act" é ampla demais. Modelos GPAI de código aberto têm isenções parciais, mas obrigações de conformidade com direitos autorais e a publicação de resumo detalhado de conteúdo de treino continuam valendo, e se o modelo aberto for classificado como de risco sistêmico, aplicam-se ainda avaliação, teste adversarial, mitigação de risco, reporte de incidentes e cibersegurança.

O que fica em aberto

O prazo e o teor das respostas dos labs; se e quando os primeiros provedores serão notificados por respostas incompletas; se provedores não estadunidenses entram na próxima leva de RFIs; e como o regime de resumos de treino vai lidar (ou não) com a cadeia de fine-tunes derivados. Por enquanto, o que existe é um processo de supervisão aberto, com dentes jurídicos, mas sem nenhuma decisão de restrição de mercado.

Fontes: Hacker News · Reações no Hacker News