EU AI Act em vigor e PL 2338 a caminho: o checklist de engenharia da governança de IA

Em 2 de agosto de 2026, passaram a valer as sanções do EU AI Act para sistemas de IA de alto risco: até € 35 milhões ou 7% do faturamento global anual, o que for maior. No Brasil, o PL 2338/2023 — o Marco Legal da IA — segue na Câmara depois de aprovado pelo Senado em dezembro de 2024, com desenho parecido: classificação por nível de risco, lista de direitos do usuário, governança proporcional e a ANPD no arranjo institucional.

O que o EU AI Act cobra na prática

A lei europeia organiza sistemas de IA por risco. O peso das obrigações acompanha a classificação:

A lista de alto risco é onde mora o susto: análise de crédito e triagem de currículo estão nela. Muita empresa brasileira usa LLM nessas duas coisas hoje, sem saber que entrou na categoria mais regulada.

O que o PL 2338 acrescenta ao cenário brasileiro

O projeto adota abordagem baseada em risco, semelhante à europeia, com nuances locais: uma lista explícita de direitos de quem é afetado por decisões automatizadas, exigência de governança proporcional ao risco, arranjo de regulação envolvendo a ANPD e medidas de incentivo à inovação. A votação final depende de articulação política, mas a direção está dada — e a LGPD já cobra hoje boa parte disso quando há dado pessoal envolvido. Fizemos um panorama do projeto em Marco Legal da IA no Brasil.

O checklist de engenharia (o que dá para fazer nesta semana)

1. Inventário de sistemas de IA

Liste todo lugar onde um modelo influencia uma decisão: chatbot de atendimento, triagem de currículo, classificação de risco, sugestão de preço, moderação. Para cada um, registre finalidade, dado usado, modelo, versão e quem é o responsável humano. Sem esse inventário, nenhuma das outras obrigações é atendível.

2. Rastreabilidade: guarde entrada, saída e versão

Registro de eventos é obrigação explícita para alto risco. Na prática, significa conseguir reconstruir, meses depois, por que o sistema decidiu o que decidiu. O mínimo viável:

import json, uuid, datetime
from openai import OpenAI

cliente = OpenAI(api_key=CHAVE, base_url="https://gpubrasil.com.br/v1")

MODELO = "gpub-plus"          # versao registrada junto com a decisao

def decidir(texto, id_caso):
    r = cliente.chat.completions.create(
        model=MODELO,
        messages=[{"role": "user", "content": texto}],
        temperature=0,          # determinismo ajuda auditoria
        max_tokens=256,
    )
    registro = {
        "id": str(uuid.uuid4()),
        "caso": id_caso,
        "quando": datetime.datetime.now().isoformat(),
        "modelo": MODELO,
        "entrada_hash": hash(texto),      # guarde o hash se o texto for sensivel
        "saida": r.choices[0].message.content,
        "tokens": r.usage.total_tokens,
        "custo_brl": r.usage.cost_brl,
        "revisado_por": None,             # preenchido na supervisao humana
    }
    with open("trilha_ia.jsonl", "a", encoding="utf-8") as f:
        f.write(json.dumps(registro, ensure_ascii=False) + "\n")
    return registro

Repare em três decisões deliberadas: temperature=0 para reduzir variação, o nome do modelo gravado junto com a decisão, e um campo de revisão humana que começa vazio. Isso é 80% do que um auditor vai pedir.

3. Supervisão humana onde a decisão afeta pessoas

"Humano no circuito" não é um carimbo: é fluxo. Defina limiar de confiança, fila de revisão e o direito de a pessoa afetada pedir explicação e revisão. Sistemas que decidem sozinhos sobre crédito, emprego ou benefício são justamente os que a lei mira.

4. Reprodutibilidade — e por que pesos abertos ajudam

Aqui há uma vantagem técnica real dos modelos abertos que raramente entra na conversa jurídica: você pode congelar a versão. Se uma decisão de janeiro for contestada em novembro, você reconstrói o ambiente com os mesmos pesos e a mesma configuração e mostra o resultado. Com um serviço fechado que atualiza o modelo sem aviso, essa reprodução pode simplesmente não existir mais.

É por isso que, para sistema de alto risco, faz sentido rodar o modelo numa instância dedicada: os pesos ficam com você, a versão é sua, e o que é registrado em log é decisão sua.

Como montar isso na nossa infraestrutura

Preços de catálogo em 15/08/2026, por hora, em reais.

O contexto econômico, para dimensionar a urgência

O investimento global em IA chegou a US$ 2,59 trilhões em 2026, alta de 47% sobre o ano anterior, segundo a IDC. Regulação não vem para frear isso — vem porque a escala já é essa. Empresa que trata governança como projeto de engenharia sai na frente; empresa que trata como parecer jurídico arquivado descobre o custo no primeiro incidente.

Perguntas frequentes

Leia também: Marco Legal da IA no Brasil · Soberania de dados e LGPD · LLM privado para empresas