Em 1865, o Parlamento britânico aprovou o Locomotives Act, que a história batizaria de Red Flag Act. A lei determinava que todo veículo autopropelido nas estradas andasse a no máximo 3 quilômetros por hora nas cidades e 6 no campo, levasse uma tripulação de três pessoas e, o detalhe que ficou famoso, tivesse um homem caminhando à frente com uma bandeira vermelha. Era a tecnologia mais disruptiva da época andando no ritmo de quem carregava a bandeira. A norma só foi revogada em 14 de novembro de 1896, quando o motor a combustão já engatinhava para valer.

O Red Flag Act virou o símbolo perfeito do regulador que chega cedo demais e no lugar errado, protegendo contra um risco que mal entende e travando aquilo que não consegue acompanhar. Cento e sessenta anos depois, a Europa descobriu o problema oposto e igualmente incômodo. Ela escreveu a bandeira vermelha da inteligência artificial, o EU AI Act, e então percebeu, na véspera de fazê-la valer, que não tinha quem segurasse a bandeira.

O dia que mudou de data

Vale um resumo rápido, porque os fatos são recentes. Em 24 de julho de 2026, a União Europeia publicou o Regulamento (UE) 2026/1744, apelidado de Digital Omnibus on AI, que entrou em vigor em 27 de julho. Na prática, o texto reabriu o artigo 113 do EU AI Act, justamente aquele que define quando cada pedaço da lei começa a valer, e empurrou as datas mais duras para frente.

As obrigações para sistemas de alto risco do Anexo III, que deveriam entrar em vigor hoje, foram adiadas para 2 de dezembro de 2027. São dezesseis meses de folga. Os produtos embarcados do Anexo I ganharam outros doze meses, saindo de agosto de 2027 para agosto de 2028. (Se você achou essa sopa de anexos e datas confusa, imagine o profissional de compliance que precisa explicá-la ao conselho.)

O que não foi adiado

Aqui está a parte que quase ninguém leu com atenção. Nem tudo saiu do prazo. As obrigações de transparência do artigo 50, aquelas que exigem avisar quando um conteúdo foi gerado por máquina, continuam valendo a partir de hoje. E as regras para os modelos de propósito geral, os General Purpose AI (GPAI), aqueles grandes modelos de fundação que servem de base para quase tudo, seguem em vigor sem alteração. O AI Office, o órgão europeu que fiscaliza esses modelos, mantém o poder de multar.

E as multas não são simbólicas. Pelo artigo 101 do EU AI Act, a Comissão pode aplicar a um fornecedor de modelo de propósito geral uma penalidade de até 3 por cento do faturamento mundial anual ou 15 milhões de euros, o que for maior. A mensagem europeia é clara na sua contradição. Adiaram o exame do aluno mediano, mas mantiveram a régua apertada sobre os gigantes.

O juiz que não apareceu

Por que adiar? A resposta é menos ideológica e mais constrangedora. Em junho de 2026, apenas nove dos vinte e sete Estados membros da União Europeia tinham designado plenamente as autoridades nacionais competentes que deveriam fiscalizar a lei. Nove em vinte e sete. A partida estava marcada, o estádio cheio, e faltava o juiz em dois terços do campo.

O despreparo não é só do Estado. Do lado das empresas, ele é gêmeo. Uma pesquisa da Deloitte Legal Alemanha, feita em setembro de 2024 com 500 tomadores de decisão em IA, mostrou que 53,8 por cento não tinham adotado nenhuma medida de conformidade, e apenas 26,2 por cento haviam iniciado algum processo. Pior: um levantamento da Cloud Security Alliance (CSA) apontou que, em fevereiro de 2026, mais da metade das organizações ainda não tinha sequer um inventário sistemático dos próprios sistemas de IA. É difícil pôr bandeira vermelha num carro que você nem sabe que está na garagem.

O elefante brasileiro na sala

Enquanto a Europa recalcula o relógio, o Brasil ainda ajusta o despertador. O Projeto de Lei 2338, de 2023, o nosso Marco Legal da Inteligência Artificial, foi aprovado por unanimidade no Senado em dezembro de 2024 e segue em análise numa comissão especial da Câmara dos Deputados. Como o europeu, ele é baseado em risco, com direitos de contestação e previsão de multas que, segundo o texto em tramitação, podem chegar a 50 milhões de reais por infração.

A Autoridade Nacional de Proteção de Dados (ANPD) já sinalizou que a IA é prioridade do seu ciclo regulatório de 2026 e 2027, apoiada em sandbox regulatório e no artigo 20 da Lei Geral de Proteção de Dados (LGPD). A lição europeia, para nós, é barata porque veio de graça. Difícil é ter autoridade designada, orçamento, gente técnica e empresas com inventário na mão no dia em que o prazo chega. Se o Brasil aprovar o PL 2338 sem antes montar o juiz, vamos repetir o roteiro de Bruxelas, só que com sotaque.

Qual deve ser nosso foco então?

A primeira é de inventário.

Se você lidera a TI de uma empresa de médio ou grande porte, o projeto inicial não é comprar uma ferramenta de governança, e sim saber o que você já tem. Vale mapear onde a IA entrou, quem a contratou, com que dado ela foi alimentada e que decisão ela toma. Mais da metade das empresas europeias travou exatamente nesse ponto.

A segunda é de transparência.

A parte do EU AI Act que não foi adiada é justamente a de avisar o usuário quando ele fala com uma máquina ou consome conteúdo gerado por ela. Se a sua empresa exporta, atende clientes europeus ou usa modelos de fornecedores globais, essa régua já vale hoje, e é o piso mínimo que o Brasil vai copiar.

A terceira é de fornecedor.

As multas europeias miram os modelos de propósito geral, ou seja, os fornecedores que você contrata. Vale exigir em contrato a documentação de conformidade, o resumo dos dados de treino e a cláusula que devolve a responsabilidade a quem construiu o modelo. Governança de IA, em 2026, é também gestão de terceiros.

A pergunta que fica

O Red Flag Act durou trinta e um anos porque ninguém teve coragem de admitir que a bandeira já não fazia sentido. A Europa, para seu crédito, teve a coragem de admitir o contrário, que a bandeira estava pronta e o carregador, não. Adiar não é fraqueza automática. Às vezes é o único jeito honesto de não transformar a lei em teatro.

A pergunta que fica para o Brasil não é quando teremos a nossa lei de IA, e sim se teremos o juiz pronto no dia em que o apito soar, ou se vamos, mais uma vez, aprovar a bandeira sem contratar quem vai carregá-la.

• • •

Até o próximo Café com Bytes, com ceticismo saudável e café bem passado.

Ricardo Brasil

Especialista em IA Responsável e Diretor de TI na GWS Engenharia

Colunista Café com Bytes  |  Tecnologia  |  Inteligência Artificial

Sobre o Autor

Ricardo Brasil é Diretor de TI e Gestão Corporativa da GWS Engenharia, especialista em IA Responsável, transformação digital e governança de TI. É colunista da série Café com Bytes, onde escreve semanalmente sobre tecnologia, inteligência artificial e seus impactos no ambiente corporativo brasileiro.

Fontes

Forkast News, EU’s AI Act ‘Teeth Pulled’ by Digital Omnibus Deferring High-Risk Obligations 16 Months (29 de julho de 2026); JD Supra, EU AI Act Amendments Defer and Clarify Obligations (30 de julho de 2026); Regulamento (UE) 2026/1744, Digital Omnibus on AI, publicado em 24 de julho de 2026 e em vigor em 27 de julho de 2026; Comissão Europeia, AI Act Service Desk, artigo 101, sobre multas a fornecedores de GPAI; Deloitte Legal Alemanha, pesquisa com 500 tomadores de decisão em IA (setembro de 2024); Cloud Security Alliance, levantamento sobre inventário de sistemas de IA (fevereiro de 2026); The Leveraged Years, Brazil’s AI Act (PL 2338): Where the Law Now Stands (2026); Confidata, ANPD e Regulação de IA no Brasil: Guia 2026-2027; cobertura do PL 2338 sobre multas de até R$ 50 milhões; Wikipedia e The Open University Law School, Locomotives Act 1865 (Red Flag Act), revogado em 14 de novembro de 1896.

‹ ›