A União Europeia simplificou a aplicação do Regulamento (UE) 2024/1689 (“AI Act”), principal norma do bloco sobre inteligência artificial. O Parlamento Europeu e o Conselho adotaram o Regulamento (UE) 2026/1744, conhecido como Regulamento Omnibus Digital em matéria de IA, que adia obrigações para sistemas de IA de risco elevado, cria proibições contra deepfakes íntimos e reduz encargos para pequenas e médias empresas — sem reduzir o nível de proteção dos direitos fundamentais dos cidadãos. O regulamento foi adotado em 8 de julho de 2026, publicado no Jornal Oficial da União Europeia em 24 de julho de 2026 e entrou em vigor com caráter de urgência três dias depois, em 27 de julho de 2026.

Novo calendário para sistemas de IA de risco elevado

O AI Act, aprovado pela UE em 2024, é a legislação do bloco que disciplina os sistemas de inteligência artificial, impondo obrigações de conformidade especialmente aos chamados sistemas de IA de risco elevado — aqueles que podem causar danos graves à saúde, à segurança ou aos direitos fundamentais das pessoas. Para esses sistemas, a norma havia fixado 2 de agosto de 2026 como prazo original de conformidade.

Nesse contexto, o Omnibus foi adotado pela UE como pacote de medidas justamente para facilitar a implementação das regras do AI Act, sendo a mudança de maior impacto prático o adiamento das obrigações relacionadas a sistemas de IA de risco elevado. Essa medida decorre do atraso na elaboração de normas técnicas harmonizadas, especificações comuns e orientações, bem como na instituição das autoridades nacionais competentes, cenário em que o legislador europeu reconheceu que manter a data inicial geraria custos de aplicação consideráveis.

A adoção do Omnibus reflete, sobretudo, uma preocupação estratégica da UE com a competitividade do bloco, principalmente com relação à China e aos Estados Unidos: o excesso de encargos no curto prazo poderia afastar investimentos, frear a inovação tecnológica e prejudicar o ecossistema de empresas europeias frente ao mercado global. Assim, as novas datas de implementação de obrigações são:

• 2 de dezembro de 2027 para os sistemas classificados como de risco elevado com base no art. 6° (2) e no anexo III do AI Act (por exemplo, sistemas biométricos); e
• 2 de agosto de 2028 para os sistemas de risco elevado nos casos do art. 6° (1) e do anexo I do AI Act.

O regulamento também esclarece o período de tolerância para sistemas já colocados no mercado: se ao menos uma unidade de determinado tipo e modelo de sistema de IA de risco elevado tiver sido legalmente colocada no mercado antes da data de aplicação, as demais unidades do mesmo tipo e modelo poderão continuar a ser comercializadas, desde que não sofram grandes alterações na concepção.

Ainda, os prestadores de sistemas de IA que geram conteúdo sintético de áudio, imagem, vídeo ou texto — incluindo IA de finalidade geral — e que colocaram seus sistemas no mercado antes de 2 de agosto de 2026 têm até 2 de dezembro de 2026 para cumprir as obrigações de marcação do conteúdo para identificação de que foi gerado por IA, conforme o artigo 50, n° 2, do AI Act.

Novas proibições: deepfakes íntimos e material de abuso infantil

O regulamento altera o artigo 5.° do AI Act para proibir expressamente a colocação no mercado, a colocação em serviço e a utilização de sistemas de IA que gerem ou manipulem: (i) imagens, vídeos ou áudios realistas que representem partes íntimas de pessoa identificável, ou pessoa identificável em comportamento sexualmente explícito, sem consentimento livre, específico, informado, inequívoco e explícito — ou seja, material íntimo não consensual; e (ii) material que configure pornografia infantil ou espetáculo pornográfico, de acordo com o artigo 2°, alíneas ‘c’ e ‘e’, da Diretiva 2011/93/UE.

Para os prestadores, a proibição alcança tanto sistemas concebidos para gerar esse conteúdo quanto aqueles em que tal resultado seja razoavelmente previsível e reprodutível, quando inexistirem medidas técnicas de segurança razoáveis e adequadas para preveni-lo. Já para os responsáveis pela implantação, a proibição incide sobre a utilização do sistema para gerar ou manipular esses conteúdos. As novas proibições aplicam-se a partir de 2 de dezembro de 2026.

Menos encargos para PMEs e pequenas empresas de média capitalização

O regulamento inclui as definições de micro, pequena e média empresa (“PME”) e de pequena empresa de média capitalização e estende a elas diversas medidas de apoio, dentre as quais:

• documentação técnica simplificada, mediante formulário próprio a ser criado pela Comissão;
• cumprimento simplificado do sistema de gestão da qualidade;
• acesso prioritário aos ambientes de testagem regulatória; e
• limitação de multas: para pequenas empresas de média capitalização, as penalidades administrativas não podem exceder as percentagens ou os montantes previstos no art. 99 (4) e (5), consoante o que for mais baixo.

Outras mudanças relevantes

O Omnibus traz ainda outras alterações importantes ao AI Act, entre elas:

• Flexibilização da alfabetização em IA: prestadores e responsáveis pela implantação devem adotar medidas para promover a alfabetização em IA de seu pessoal, mas a norma não exige a garantia de que as pessoas atinjam nível específico de conhecimento;
• Correção de vieses: novo artigo 4°-A cria base jurídica específica para o tratamento excepcional de dados pessoais sensíveis, quando estritamente necessário, para detectar e corrigir vieses. Essa autorização passou a abranger também prestadores e deployers de outros sistemas e modelos de IA;
• Componente de segurança: a definição foi restringida para abranger apenas sistemas destinados a prevenir ou mitigar riscos à saúde e à segurança de pessoas ou bens, excluindo funções de assistência ao deployer, otimização de desempenho, eficiência operacional, conveniência ou fiscalização de qualidade, reduzindo o risco de classificação excessiva de sistemas de IA como de risco elevado;
• Avaliação da conformidade: criação de pedido único e procedimento unificado para organismos sujeitos simultaneamente ao AI Act e a outros atos de harmonização da União; ainda, busca-se evitar duplicidade regulatória ao reconhecer que o cumprimento dos requisitos de cibersegurança previstos no Regulamento de Ciber-Resiliência pode satisfazer os requisitos correspondentes do artigo 15 do AI Act;
• Supervisão reforçada: o Serviço para a IA (AI Office) passa a exercer competência exclusiva sobre sistemas baseados em modelos de finalidade geral desenvolvidos pelo mesmo prestador ou por empresas do mesmo grupo, bem como sobre aqueles integrados a plataformas ou motores de pesquisa em linha de grande dimensão sujeitos ao Digital Services Act; e
• Máquinas: o Regulamento de Máquinas (UE) 2023/1230 foi transferido da seção A para a seção B do Anexo I do AI Act, adotando abordagem setorial para sistemas de IA incorporados em máquinas; a Comissão deverá incorporar, por atos delegados aplicáveis até 2 de agosto de 2028, requisitos equivalentes de saúde e segurança inspirados nas regras do AI Act.

Próximos passos para empresas

O AI Omnibus concede mais tempo, mas não elimina obrigações. Empresas que desenvolvem ou utilizam sistemas de IA com alcance na UE devem aproveitar o novo calendário para estruturar a governança, revisar a classificação de risco de seus sistemas e implementar salvaguardas técnicas contra a geração de conteúdo proibido.

Para acompanhar novas publicações sobre regulação de inteligência artificial e tirar dúvidas, entre em contato com a prática de Direito Digital e Proteção de Dados do Machado Meyer.