O prazo de alto risco da EU AI Act foi adiado. O que não mudou, mais SDAIA e PL 2338

As obrigações de alto risco da EU AI Act, aquelas para as quais todo mundo corria rumo a 2 de agosto de 2026, foram adiadas pelo Digital Omnibus: os sistemas Annex III autônomos passam a valer a partir de 2 de dezembro de 2027, e a IA embutida em produtos regulados a partir de 2 de agosto de 2028. O Parlamento Europeu aprovou o adiamento em 16 de junho de 2026, e o Conselho deu a adoção final em 29 de junho de 2026. Isso não é uma trégua: as proibições valem desde fevereiro de 2025 e as obrigações de GPAI desde agosto de 2025. Só o prazo mais duro mudou.

O ponto que muita gente perde: a AI Act não se preocupa com quem escreveu o modelo. Se você comprou uma ferramenta de IA e a usa em áreas como seleção de pessoal, crédito, acesso a serviços ou qualquer outro item na lista de alto risco, a obrigação recai sobre você como deployer, não só sobre o fornecedor. "Só usamos ChatGPT / uma funcionalidade SaaS" não é defesa. É a lacuna mais comum que vejo.

Três regimes, três relógios, e não estão sincronizados

A EU AI Act acabou de mudar sua data mais dura, mas não é a única regra sobre IA que importa este ano.

No Golfo, ainda não existe uma lei única sobre IA, mas o stack regulatório está se fechando: a UAE Charter for AI, as diretrizes do banco central sobre IA/ML para instituições financeiras, e o Padrão de Garantia da Informação, que já inclui IA no escopo. Na Arábia Saudita, a SDAIA gere a governança nacional de IA com ISO 42001 e uma lei dedicada esperada nos próximos anos. A Arábia Saudita declarou 2026 como seu "Ano da IA".

No Brasil, o PL 2338, um framework baseado em risco parcialmente modelado na EU AI Act, passou pelo Senado e avança na Câmara dos Deputados. E você não pode esperar que vire lei: a LGPD já rege os dados que seus sistemas de IA processam.

O que fazer concretamente agora

Construa o inventário primeiro. Catalogue cada sistema de IA que você desenvolve, compra ou incorporou silenciosamente em um produto SaaS, incluindo a "shadow AI" que suas equipes adotaram sem avisar. Geralmente leva alguns dias e é o passo individualmente mais valioso.

Classifique por risco, não por hype. A maioria do que você usa é de baixo risco e requer pouco mais que transparência. Um número pequeno de casos de uso, qualquer coisa que toque direitos, meios de vida ou segurança das pessoas, carrega as obrigações reais.

Coloque um humano no loop onde importa. Para usos de alto risco, documente quem revisa o output, quando e como pode anulá-lo.

Guarde os registros que você pode entregar. Logging, documentação técnica básica e uma nota sobre os dados que cada sistema de alto risco usa.

Revise os contratos com fornecedores. Seus fornecedores de IA devem dizer como eles cumprem a AI Act. Se um contrato está silencioso sobre a AI Act, é uma conversa a ter na próxima renovação.

Conclusão

Trate isso como um programa, não como uma emergência. As empresas que lidarão bem com a AI Act não serão as que mais gastaram, serão as que inventariaram cedo, dimensionaram o esforço ao risco real e transformaram "podemos provar que nossa IA é governada" em algo que um comprador enterprise nervoso realmente quer ouvir.

---

The Tek Atelier constrói programas de governança de IA proporcionais e prontos para o board no Golfo, América Latina e Europa. Entre em contato.