O Código de Prática da União Europeia para modelos de inteligência artificial de propósito geral entrou em uma fase mais concreta. O documento continua sendo voluntário, mas as obrigações legais que ele ajuda a cumprir não são. A Comissão Europeia informa que, desde 2 de agosto de 2026, pode exigir conformidade integral dos provedores alcançados pelas regras e aplicar as medidas previstas no AI Act.
A distinção é importante. Assinar o código oferece uma rota organizada para demonstrar conformidade em transparência, direitos autorais, segurança e proteção. Não assinar também é possível, desde que o provedor apresente meios alternativos adequados. Em nenhum dos casos a adesão funciona como certificado automático de que todo modelo, produto ou uso está em conformidade.
Capa: ilustração editorial original do Bastidores da IA. Não é captura da Comissão Europeia, documento oficial, interface real, selo de conformidade nem prova de aprovação regulatória.
O que mudou agora
O código foi publicado em 10 de julho de 2025 para detalhar uma forma de atender obrigações do AI Act aplicáveis a provedores de modelos de propósito geral. Durante o primeiro ano de aplicação dessas regras, o AI Office informou que colaboraria de perto com provedores, especialmente os signatários, para apoiar a implementação.
Esse período inicial terminou. A página oficial de perguntas e respostas, atualizada em julho de 2026, afirma que a partir de 2 de agosto de 2026 a Comissão passa a fiscalizar a conformidade integral com as obrigações para esses provedores, inclusive com possibilidade de multas. Isso não transforma o código em lei. Torna mais relevante provar, por uma rota verificável, como a lei está sendo cumprida.
Para quem integra modelos em produtos, a mudança também importa. A documentação técnica e as informações sobre capacidades e limitações precisam chegar à cadeia posterior. Sem isso, uma empresa pode receber uma API poderosa, mas não os elementos necessários para avaliar riscos, registrar responsabilidades ou cumprir suas próprias obrigações.
Quando isso aconteceu
O AI Act entrou em vigor em 2024 e adotou um calendário escalonado. O Código de Prática para modelos de propósito geral foi publicado em 10 de julho de 2025. As obrigações do capítulo dedicado a esses modelos passaram a ser aplicáveis em 2 de agosto de 2025. A Comissão definiu o primeiro ano como uma fase de colaboração para implementação.
Em 2 de agosto de 2026 começou a fase de fiscalização integral descrita pela Comissão para provedores de modelos de propósito geral. Há uma transição separada para modelos colocados no mercado antes de 2 de agosto de 2025: o texto do regulamento estabelece 2 de agosto de 2027 como prazo para que esses modelos anteriores tomem as medidas necessárias.
Esta é, portanto, uma pauta histórica com efeito atual. O fato original é a publicação do código em julho de 2025. O motivo para revisitá-lo em agosto de 2026 é o fim da primeira fase de implementação e a diferença de prazo entre modelos novos e anteriores.
Código voluntário e lei obrigatória são coisas diferentes
O código não cria obrigações adicionais. A própria Comissão o descreve como uma ferramenta voluntária preparada por especialistas independentes em um processo com várias partes interessadas. Sua função é traduzir certas obrigações do AI Act em compromissos e medidas que possam ser documentados e acompanhados.
A adesão foi considerada um meio adequado de demonstrar conformidade, mas não concede presunção automática de conformidade. Essa nuance impede uma leitura promocional. Um signatário precisa implementar os compromissos e pode ser supervisionado. Um não signatário continua sujeito à lei e deve justificar por que suas medidas alternativas são adequadas.
O paralelo com uma certificação de gestão também exige cuidado. O artigo do Bastidores sobre a ISO/IEC 42001 e seus limites mostra por que um processo organizado não prova, sozinho, que cada modelo ou saída é segura. O código europeu atua como rota de conformidade para obrigações específicas, não como selo universal de qualidade.
Três capítulos, com alcances diferentes
O código foi dividido em Transparência, Direitos Autorais e Segurança e Proteção. Os dois primeiros tratam de obrigações relevantes para provedores de modelos de propósito geral em geral. O terceiro é direcionado ao grupo menor de provedores de modelos classificados como de risco sistêmico.
Essa separação evita que toda organização seja tratada como se operasse o mesmo nível de capacidade e alcance. Também exige que o leitor identifique a camada correta. Um modelo pode ser de propósito geral sem estar classificado como de risco sistêmico. Um sistema que usa esse modelo pode, por sua vez, ter obrigações próprias conforme o contexto em que é implantado.
O código não reúne todas as regras europeias de IA. Ele se concentra na camada dos modelos de propósito geral. Obrigações de transparência para chatbots, deepfakes e conteúdo gerado no nível do sistema pertencem a outra parte do AI Act, já explicada no Bastidores em uma matéria específica sobre o artigo 50.
Transparência significa documentação utilizável
O AI Act exige que provedores preparem e mantenham documentação técnica sobre o modelo, inclusive informações sobre treinamento, testes e avaliações. Parte desse material deve estar disponível às autoridades quando solicitado. Outra parte precisa ser fornecida a quem pretende integrar o modelo em sistemas posteriores.
O objetivo não é apenas formar um arquivo para fiscalização. Um integrador precisa compreender capacidades, limitações e condições de uso antes de colocar o modelo em um produto. Sem documentação suficiente, fica mais difícil decidir quais testes executar, quais riscos monitorar e quais controles humanos manter.
O capítulo de transparência do código oferece uma estrutura para documentar essas informações. Separadamente, o AI Office publicou um modelo para o resumo público do conteúdo usado no treinamento. O código não elimina essa obrigação nem transforma o resumo em uma lista completa de cada obra. O regulamento pede um resumo suficientemente detalhado, preservando ao mesmo tempo regras sobre informações confidenciais e segredos comerciais.
Direitos autorais exigem política e execução
O artigo 53 do AI Act exige uma política para cumprir a legislação de direitos autorais da União Europeia. Isso inclui identificar e respeitar reservas de direitos feitas nos termos da legislação europeia aplicável a mineração de texto e dados. O capítulo de direitos autorais do código descreve medidas práticas para essa obrigação.
Ter uma política publicada não encerra o trabalho. O provedor precisa ligar a política à seleção de fontes, coleta de dados, tratamento de reservas, resposta a titulares e documentação do processo. A Comissão não afirma que o AI Office fará uma avaliação obra por obra de todo o conjunto de treinamento. Ainda assim, a existência e a aplicação da política podem ser examinadas.
Para usuários finais, isso não significa que toda saída do modelo venha com uma garantia de licença. Equipes que publicam texto, imagem, áudio, vídeo ou código continuam responsáveis por revisar origem, semelhança, atribuição e permissões aplicáveis ao uso concreto.
Segurança e proteção miram risco sistêmico
O terceiro capítulo trata dos modelos de propósito geral com risco sistêmico. Para esse grupo, o AI Act prevê obrigações adicionais, como avaliações do modelo, testes adversariais, análise e mitigação de riscos sistêmicos, registro e comunicação de incidentes graves e proteção de cibersegurança do modelo e de sua infraestrutura física.
A classificação não deve ser deduzida apenas pelo nome comercial ou pelo tamanho percebido do produto. O regulamento estabelece critérios e uma presunção ligada à quantidade acumulada de computação usada no treinamento, além de permitir que a Comissão designe modelos com impacto equivalente. O estado da arte pode mudar, e a própria Comissão reconhece que a lista relevante pode evoluir.
Por isso, o código não deve ser lido como um checklist genérico de segurança para qualquer chatbot. Ele detalha medidas na camada do provedor do modelo. Produtos que integram esses modelos ainda precisam avaliar seu próprio contexto, permissões, dados, usuários e consequências.
Assinar ajuda, mas não encerra a avaliação
A lista oficial de signatários inclui provedores conhecidos e pode ser atualizada à medida que novas assinaturas são confirmadas. A presença de uma empresa nessa lista mostra que ela assumiu os compromissos correspondentes. Não mostra, por si só, que cada versão de modelo, integração ou produto posterior passou por uma aprovação individual.
A Comissão informa que o AI Office pode considerar a adesão ao monitorar a implementação efetiva e a conformidade. Compromissos assumidos também podem ser considerados como fator de mitigação na definição de multas, dependendo das circunstâncias. Isso cria incentivo real para aderir, mas preserva a necessidade de evidência.
Quem não assina não recebe uma dispensa. A rota alternativa exige demonstrar meios adequados e justificar por que eles atendem às obrigações. A pergunta correta deixa de ser apenas “assinou ou não?” e passa a ser “quais medidas foram implementadas, quais registros existem e como os limites são comunicados?”.
A fiscalização tem instrumentos próprios
O AI Office supervisiona as obrigações para provedores de modelos de propósito geral. O regulamento permite solicitar informações e documentos, realizar avaliações, exigir medidas corretivas e, em determinadas circunstâncias, pedir a retirada de um modelo do mercado.
A Comissão também pode aplicar multas de até 3% do faturamento mundial anual do exercício anterior ou 15 milhões de euros, prevalecendo o valor maior, quando as condições do artigo 101 estiverem presentes. Esse teto não significa que qualquer falha produzirá automaticamente a multa máxima. O regulamento prevê análise das circunstâncias e do comportamento do provedor.
Esta matéria não substitui interpretação jurídica. O próprio Q&A do AI Office avisa que não constitui posição oficial da Comissão e que a interpretação autoritativa do AI Act cabe ao Tribunal de Justiça da União Europeia. O texto oficial do regulamento continua sendo a referência central.
Modelos novos e anteriores seguem prazos diferentes
Modelos colocados no mercado a partir de 2 de agosto de 2025 entraram no regime aplicável aos provedores de modelos de propósito geral. A Comissão descreve a fiscalização integral a partir de 2 de agosto de 2026. Já modelos colocados no mercado antes de 2 de agosto de 2025 têm até 2 de agosto de 2027 para tomar as medidas necessárias.
Essa diferença impede uma conclusão simples baseada apenas no nome do modelo. Uma família pode ter versões lançadas em datas diferentes, atualizações relevantes ou formas distintas de distribuição. Provedores e integradores precisam identificar qual artefato foi colocado no mercado, quando isso ocorreu e qual papel cada organização ocupa na cadeia.
Também não basta olhar a data de uma interface. Um produto pode trocar o modelo subjacente sem alterar o nome visível ao usuário. Registro de versão, documentação do fornecedor e termos da integração se tornam parte da evidência operacional.
Quem integra modelos também precisa se preparar
O código é dirigido aos provedores de modelos, mas a documentação produzida por eles deve apoiar provedores posteriores de sistemas de IA. Uma empresa que cria atendimento, análise de documentos ou automação com uma API depende de informações sobre capacidades, limites e condições para cumprir obrigações próprias.
Na prática, vale registrar fornecedor, modelo, versão, data de adoção, região, tratamento de dados, avaliações executadas e limitações conhecidas. Se uma informação necessária não estiver disponível, a lacuna deve aparecer no registro de risco, não ser preenchida por suposição.
A documentação também ajuda em trocas de fornecedor. Quando a equipe conhece os testes e controles exigidos, pode comparar modelos pelo mesmo conjunto de critérios. Sem esse inventário, a mudança de API vira apenas uma comparação de respostas visíveis e deixa de lado governança, segurança e rastreabilidade.
Código aberto não cria uma exceção total
O AI Act prevê uma exceção limitada para determinados modelos disponibilizados sob licença livre e de código aberto, com parâmetros, pesos, arquitetura e informações de uso públicos. Nessas condições, algumas obrigações de documentação dos itens 53(1)(a) e 53(1)(b) podem não se aplicar.
A exceção não elimina a política de direitos autorais nem o resumo público do conteúdo de treinamento. Também não se aplica a modelos de propósito geral com risco sistêmico. Portanto, chamar um modelo de “aberto” não resolve automaticamente a análise regulatória.
Para quem baixa ou modifica pesos, existe outra questão. Uma modificação ou ajuste fino pode, em certas condições, transformar a organização em provedora de um novo modelo. A Comissão publicou diretrizes e critérios indicativos, mas o enquadramento depende dos fatos. Pequenas empresas não devem presumir que toda adaptação cria a mesma responsabilidade, nem que nenhuma cria.
O que o código não cobre
O código não define sozinho o que é um modelo de propósito geral, não altera o limiar de risco sistêmico, não descreve todo o processo de fiscalização e não decide multas ou responsabilidade. Esses temas pertencem ao regulamento, às diretrizes, a atos posteriores e às decisões das autoridades competentes.
Também não substitui a análise do sistema que usa o modelo. Um modelo pode alimentar uma ferramenta de baixo impacto ou uma aplicação com consequências relevantes para pessoas. O contexto de uso, os dados processados, as decisões apoiadas e a supervisão humana continuam determinantes em outras partes do AI Act e em leis setoriais.
Por fim, o código não prova qualidade factual. Um provedor pode documentar o processo e ainda entregar uma resposta errada. O perfil do NIST discutido em outra notícia do Bastidores reforça a mesma cautela: governança e gestão de risco organizam o trabalho, mas não transformam cada saída em verdade.
Fatos confirmados e análise editorial
Fato confirmado: o código foi publicado em 10 de julho de 2025, é voluntário, possui três capítulos e foi considerado um meio adequado para demonstrar conformidade com obrigações específicas do AI Act.
Fato confirmado: as obrigações para provedores de modelos de propósito geral passaram a ser aplicáveis em 2 de agosto de 2025. A Comissão afirma que fiscaliza a conformidade integral a partir de 2 de agosto de 2026. Modelos colocados no mercado antes do marco de 2025 têm prazo até 2 de agosto de 2027.
Análise editorial: o valor do código está menos no rótulo de signatário e mais na capacidade de transformar obrigações amplas em registros, responsáveis, avaliações e medidas que possam ser verificados. A fragilidade aparece quando uma empresa usa a assinatura como mensagem de marketing sem mostrar implementação e limites.
Por que isso ainda importa
Modelos de propósito geral sustentam uma cadeia extensa de produtos. Uma decisão tomada no treinamento, na documentação ou na política de direitos autorais pode afetar centenas de integrações posteriores. O código tenta criar uma linguagem comum para essa camada antes que cada integrador precise reconstruir as mesmas perguntas do zero.
Agosto de 2026 muda o foco da conversa. Já não basta anunciar intenção de cumprir. Provedores precisam demonstrar conformidade, e integradores precisam saber quais evidências podem exigir. O código oferece uma rota, não um atalho.
Para o público, a consequência esperada é indireta: documentação melhor, riscos sistêmicos tratados de forma mais explícita e maior clareza na cadeia entre modelo e produto. Para empresas, o trabalho imediato é inventariar modelos, versões, documentos recebidos, lacunas e responsabilidades. Nenhuma dessas tarefas depende de aceitar uma promessa de segurança sem teste.
O que acompanhar
- atualizações na lista de signatários e no conteúdo dos três capítulos;
- orientações do AI Office sobre fiscalização e medidas alternativas adequadas;
- modelos designados como de risco sistêmico e alterações nos critérios aplicáveis;
- resumos públicos de conteúdo de treinamento e políticas de direitos autorais dos provedores;
- documentação entregue a integradores sobre capacidades, limitações e avaliações;
- decisões, investigações ou medidas corretivas publicadas pelas autoridades competentes.
Esses sinais permitem distinguir conformidade demonstrável de uma declaração genérica. Também ajudam a identificar mudanças que exigem nova avaliação de fornecedores, contratos e produtos.
Fontes primárias
- Comissão Europeia, Código de Prática para modelos de IA de propósito geral, publicado em 10 de julho de 2025 e atualizado em 31 de julho de 2026
- Comissão Europeia, perguntas e respostas sobre o código, atualizadas em 20 de julho de 2026
- AI Office, perguntas e respostas sobre modelos de propósito geral no AI Act
- EUR-Lex, Regulamento (UE) 2024/1689, texto oficial do AI Act