Regulamentação da IA: o que muda no início de agosto?.

Embora o regulamento europeu sobre inteligência artificial (IA) tenha entrado em vigor em 1 de agosto de 2024, estamos chegando a um estágio crucial em sua implementação.

Um lembrete útil do cronograma de aplicação das disposições do Regulamento, que leva em consideração as recentes alterações introduzidas pelo "Regulamento Omnibus Digital", pode ser encontrado no site da Comissão Europeia.

• As disposições gerais do regulamento (definições e cultura da IA) e a proibição de sistemas de IA que apresentem riscos inaceitáveis estão em vigor desde 2 de fevereiro de 2025.
• Desde 2 de agosto, a maioria das disposições entrou em vigor: as regras de transparência e as medidas de apoio à inovação já são aplicáveis, e o acompanhamento da implementação pode ser realizado relativamente a modelos de IA de uso geral, proibições, regras de transparência e cultura de IA. O Gabinete de IA da Comissão Europeia será responsável por isso, em colaboração com as autoridades nacionais.
• A partir de 2 de dezembro, os sistemas de IA que geram "deepfakes" sexuais não consensuais e pornografia infantil serão regulamentados, e a partir do final de 2027 e meados de 2028, os sistemas de IA de alto risco incluídos respectivamente no Anexo III (áreas sensíveis como emprego e policiamento) e no Anexo I (produtos como dispositivos médicos) também serão regulamentados.

Mais especificamente, desde este verão, as novas regras de transparência do Artigo 50 exigem que certos sistemas de IA, como chatbots, informem os usuários quando eles interagem com a IA e quando o conteúdo foi gerado ou modificado por ela.

Além disso, os fornecedores de conteúdo editado ou gerado por IA precisarão ser identificados como tal.

Este conteúdo também deve conter marcadores legíveis por máquina para ser detectado mais facilmente.

Foram previstas algumas exceções no contexto criminal, bem como para textos cujo conteúdo é controlado por um ser humano, e existem adaptações para criações artísticas.

A Comissão também propôs três ícones para identificar conteúdo gerado total ou parcialmente por meio de IA.

Para ajudar as empresas a cumprirem essas obrigações, a Comissão Europeia publicou, em 20 de julho, orientações esclarecendo quem é afetado por essas regras e qual conteúdo deve ser divulgado.

Um "código de boas práticas sobre transparência de conteúdo gerado por IA", já assinado por mais de 180 organizações, incluindo OpenAI e Google, visa ajudar as empresas a demonstrarem sua conformidade com o Regulamento.

Quem na França é responsável por implementar e monitorar o cumprimento da regulamentação?

A supervisão está distribuída por diversas entidades, sob a liderança da DGE e da DGCCRF, que supervisionarão as obrigações gerais de informação e rastreabilidade.

• A CNIL desempenha um papel central nos sistemas de IA que envolvem o processamento de dados pessoais, incluindo dados sensíveis e biométricos. A autoridade oferece guias práticos e uma ferramenta de autoavaliação para ajudar as empresas a verificarem sua conformidade com os requisitos legais, além de fornecer consultoria para PMEs e microempresas.
• A ARCOM intervém em conteúdo digital e audiovisual, incluindo "deepfakes".
• A ANSSI irá intervir em aspectos de cibersegurança.
• O HAS será competente para sistemas de IA utilizados na área médica.

Essa constelação de responsabilidades, que inevitavelmente levará a sobreposições, exige uma cooperação reforçada entre as partes interessadas. A DGCCRF desempenha o papel de ponto de contato único no nível operacional.

Os riscos em caso de delito podem ser significativos.

As sanções variam de acordo com o nível de risco: até 35 milhões de euros ou 71 TP4T de faturamento global para IA proibida, 15 milhões de euros ou 31 TP4T para IA não conforme de alto risco e 7,5 milhões de euros ou 11 TP4T por falta de transparência.

Para PMEs e microempresas, as penalidades são limitadas ao menor valor entre o limite absoluto e a porcentagem do faturamento.

A regulamentação aplica-se de forma modulada a cada sistema de IA utilizado por uma organização, e não à organização como um todo.

Recomenda-se, portanto, mapear todos os sistemas utilizados (incluindo IA de terceiros e subcontratação) e avaliar seu nível de risco para adequar a conformidade.

Na França

A França é o primeiro país europeu a adotar uma lei que proíbe o acesso às redes sociais para menores de 15 anos.

O texto de compromisso adotado pelo parlamento em 21 de julho impõe aos prestadores de serviços a obrigação de implementar um sistema confiável de verificação de idade, sem especificar um mecanismo.

A partir de 1º de setembro de 2026, menores de quinze anos não poderão mais criar novas contas nessas plataformas.

Para contas existentes, a proibição será aplicada após um período de quatro meses, ou seja, em 1º de janeiro de 2027. A ARCOM será responsável por garantir o cumprimento dessa proibição.

Note-se que o texto levanta questões de proporcionalidade, pois exige que todos os usuários de redes sociais comprovem sua idade, e a eficácia do mecanismo é questionada por seus detratores, que citam os resultados mistos obtidos pela Austrália nessa área.

O Conselho Constitucional foi incumbido de rever o texto por dois grupos de parlamentares. Além disso, a Comissão Europeia pretende apresentar uma proposta sobre o assunto neste outono, priorizando mecanismos de verificação de idade que preservem o anonimato.

A partir de 11 de agosto e em virtude de um decreto de 23 de julho, ao contrário do sistema Bloctel, que exige uma opção ativa de exclusão, a telemarketing será proibida, em princípio, para empresas de todos os setores de atividade, exceto em circunstâncias excepcionais:

• Quando a chamada se refere a um contrato celebrado com a empresa para oferecer, por exemplo, produtos ou serviços complementares, ou uma oferta destinada a melhorar o serviço prestado ou o seu desempenho.
• Quando a empresa em questão tiver obtido consentimento prévio para ser contatada para fins de marketing, esse consentimento deve ter sido expresso "livremente", "de forma informada" e "por meio de uma ação afirmativa inequívoca".

O não cumprimento expõe as empresas a multas de até 375.000 euros para pessoas jurídicas, bem como à nulidade dos contratos celebrados na sequência de solicitações irregulares.

Em abril passado, a CNIL adotou uma posição firme em relação aos pixels de rastreamento em e-mails, dando às empresas três meses para se adequarem às disposições legais que protegem as comunicações eletrônicas.

Desde então, inúmeras mensagens chegaram às caixas de entrada de todos, solicitando consentimento para rastrear quando as mensagens são abertas. Em 22 de julho, a CNIL (Autoridade Francesa de Proteção de Dados) publicou uma série de perguntas e respostas para esclarecer as condições para a implementação de sua recomendação.

A CNIL e o CIANum (Conselho de IA e Digital) realizaram uma reflexão conjunta e publicaram uma nota exploratória sobre as questões levantadas pela IA agente para a proteção de dados pessoais.

Este trabalho reflete as discussões realizadas sobre este tema pela CNIL com as suas congéneres internacionais, em particular no âmbito do G7 das autoridades de proteção de dados.

O documento observa uma mudança na escala do uso da IA, que está se tornando mais disseminada, e levanta questões sobre responsabilidade e perda de controle sobre dados pessoais. Embora o atual arcabouço legal se aplique a esses sistemas, a CNIL destaca um desafio na adaptação dos métodos de sua implementação.

No início de julho, a Doctolib anunciou por e-mail aos seus 60 milhões de usuários que, a partir de agosto, a menos que eles se oponham, usaria alguns de seus dados de saúde para treinar e aprimorar suas ferramentas de inteligência artificial, como parte de projetos de pesquisa em colaboração com o Inria, o Inserm e a Université Paris Cité.

A empresa afirma que os dados em questão são pseudonimizados e que sua utilização é regida pelas normas da CNIL (Comissão Nacional de Informática e Liberdades).

Este projeto de pesquisa gerou diversas reações, inclusive da Liga dos Direitos Humanos, que, em um comunicado à imprensa datado de 16 de julho, critica a inscrição automática de usuários no projeto e o fato de ele estar sendo conduzido por uma empresa privada (cujos dados são armazenados por uma empresa sujeita à legislação dos EUA) em vez de por um órgão público.

Na Europa

Instituições e órgãos europeus

O Parlamento Europeu votou em 9 de julho a prorrogação do programa "Chat Control 1.0", que permite às empresas digitais analisar mensagens privadas voluntariamente, sem necessidade de mandato.

Essa "derrogação temporária" das normas relativas à privacidade e às comunicações eletrônicas, destinada a detectar o abuso sexual infantil online, permaneceria em vigor até 3 de abril de 2028.

Este texto, rejeitado pelo parlamento em março, foi reinserido na pauta durante uma segunda leitura, na qual a rejeição da proposta exige maioria absoluta de todos os membros.

Entretanto, os legisladores estão negociando uma estrutura atualizada, o "Chat Control 2.0", que poderia permitir o acesso ao conteúdo de comunicações criptografadas, um projeto considerado por mais de 800 pesquisadores de segurança cibernética como uma ameaça à criptografia e à confidencialidade das comunicações.

Em 7 de julho, a Comissão Europeia apresentou um plano de ação sobre cibersegurança e inteligência artificial com o objetivo de "promover o uso seguro e responsável da IA, ao mesmo tempo que reforça a cibersegurança da Europa".

O plano de ação complementa o atual quadro jurídico da UE em matéria de IA e cibersegurança, incluindo o Regulamento de IA, o Regulamento de Ciber-Resiliência, a Diretiva NIS2, o Regulamento de Resiliência Operacional Digital (DORA) e o Regulamento de Ciber-Solidariedade.

Em 23 de julho, a Comissão Europeia emitiu duas decisões considerando que o Google violou o Regulamento dos Mercados Digitais (DMA) ao favorecer os seus próprios serviços na Pesquisa Google e ao impor restrições às empresas para as impedir de direcionar os utilizadores do Google Play para outros canais de compra, muitas vezes mais baratos. O Google foi multado em 460 milhões de euros e 430 milhões de euros, respetivamente.

Em 8 de julho, o Conselho Europeu de Proteção de Dados (EDPB) publicou novas diretrizes com o objetivo de esclarecer a aplicação do RGPD a duas questões principais:

• Anonimização de dados
• Extração de dados da web no contexto da IA generativa.

Em relação à anonimização, o comitê especifica que os dados só podem ser considerados verdadeiramente anônimos se não houver possibilidade razoável de reidentificação, com base, em particular, em três critérios: ausência de isolamento, vinculação e dedução.

As diretrizes levam em consideração, em particular, a sentença proferida pelo Tribunal de Justiça da União Europeia no Processo C-413/23 P, CEPD contra SRB, de 4 de setembro de 2025.

Em relação à extração de dados da web, o CEPD salienta que a coleta automatizada de dados pessoais para treinar modelos de IA continua sujeita ao RGPD, em particular aos requisitos de base jurídica, transparência e limitação da finalidade.

Estas duas versões preliminares das diretrizes estão abertas para consulta pública até 30 de outubro de 2026. Além disso, as diretrizes para blockchain foram adotadas em sua versão final.

Em 31 de julho de 2026, o CEPD também enviou uma carta à Comissão Europeia solicitando que esta examinasse se a decisão da Suprema Corte dos EUA no caso Trump v. Slaughter poderia afetar a validade do quadro de proteção de dados UE-EUA.

O Tribunal de Justiça da União Europeia (TJUE) decidiu, em 16 de julho, que os emails profissionais constituem comunicações protegidas pelos artigos 7.º e 8.º da Carta dos Direitos Fundamentais da União Europeia, mas que podem ser apreendidos por uma autoridade da concorrência no contexto de uma investigação sem autorização judicial prévia, desde que exista um quadro jurídico rigoroso e salvaguardas adequadas contra o abuso e a arbitrariedade (Processos Apensos C-258/23 a C-260/23).

Em seu acórdão de 14 de julho (C 474/24 – NADA Áustria e Outros), considerou que a publicação dos nomes de atletas profissionais que violaram as regras antidoping poderia ser lícita.

No entanto, a entidade responsável pela publicação deve ser capaz de equilibrar os interesses concorrentes, a fim de respeitar o princípio da proporcionalidade. Reconheceu-se também que uma queixa poderia ser apresentada como medida preventiva.

O Tribunal de Justiça da UE decidiu finalmente, num acórdão de 9 de julho (C-199/24 ND v Legal Newsdesk Sweden AB), que a publicação de informações relativas a condenações penais em bases de dados de acesso público não constitui atividade jornalística e não pode beneficiar de uma isenção ao abrigo do RGPD por força de leis nacionais que transponham o artigo 85.º, n.º 2.

Notícias dos países membros da União Europeia.

Na Áustria, após sete anos de processo, o Supremo Tribunal Administrativo manteve a multa de 13 milhões de euros imposta aos Correios Austríacos.

A empresa havia coletado dados sobre as afinidades políticas de mais de dois milhões de pessoas e vendido essas informações a empresas terceirizadas para fins de marketing direto.

Embora a empresa tenha argumentado de boa-fé e citado pareceres de consultores que validaram suas práticas, a Suprema Corte rejeitou esses argumentos, afirmando que "nenhuma ação ou conhecimento por parte dos órgãos diretivos é necessário para que uma pessoa jurídica seja sancionada". A Corte decidiu ainda que pareceres jurídicos "indefensáveis" não devem ser considerados atenuantes, nem mesmo como fator exculpatório.

Em 14 de julho, o CEPD (Comitê Europeu para a Proteção de Dados) emitiu uma decisão ordenando à Autoridade Belga de Proteção de Dados (APD) que processasse a queixa apresentada pela ONG Noyb, queixa essa que a APD havia considerado inadmissível. Em uma decisão vinculativa, o Comitê examinou se a queixa deveria ser rejeitada por abuso de direito e confirmou que delegar a uma entidade, organização ou associação sem fins lucrativos a apresentação de uma queixa em nome de um reclamante estava em conformidade com o RGPD (Regulamento Geral sobre a Proteção de Dados).

A Autoridade Espanhola de Proteção de Dados (APD) multou uma empresa de genômica e biotecnologia em 2,4 milhões de euros por não proteger adequadamente dados genéticos e de saúde e por comunicar uma violação de dados pessoais à autoridade de proteção de dados após o prazo de 72 horas.

A APD também multou a Vodafone em € 1.050.000 por medidas insuficientes de proteção de dados.

A Autoridade Italiana de Proteção de Dados (APD) multou uma fornecedora de energia em 5,8 milhões de euros por não divulgar classificações de crédito ou explicar como elas foram calculadas, por compartilhar ilegalmente dados de dívidas dentro de seu grupo, por reter dados de crédito por dez anos sem justificativa suficiente e por reutilizá-los para fins incompatíveis.

A Autoridade Italiana de Proteção de Dados aplicou uma multa de 2 milhões de euros à Lusha Systems Inc., uma corretora de dados americana que, por meio de sua plataforma, fornece informações "enriquecidas" sobre indivíduos, como sua situação profissional, endereços de e-mail e números de telefone, mediante pagamento.

A Lusha coleta esses dados de diversas fontes (extração de dados de redes sociais, compras de outros corretores de dados, etc.) e os disponibiliza aos seus clientes para fins comerciais ou para combater fraudes.

A empresa também realiza atualizações que envolvem o monitoramento online do comportamento dos indivíduos em questão, o que está em conformidade com o RGPD (Regulamento Geral de Proteção de Dados). A Autoridade Italiana de Proteção de Dados (APD) proibiu o tratamento de dados relativos a indivíduos localizados na Itália e ordenou a sua eliminação.

A APD também sancionou a operadora de telecomunicações TIM por inúmeras violações de regulamentos relacionados à privacidade e ao telemarketing.

Diversos de seus call centers, atuando como subcontratados, realizavam ligações promocionais em nome da empresa, utilizando números que não pertenciam à rede oficial de vendas, com o objetivo de coletar dados de usuários ilegalmente.

A autoridade salienta que a adesão a um código de conduta não exime o responsável da obrigação de monitorizar as atividades dos seus subcontratados e de verificar a aplicação efetiva das medidas de proteção de dados em toda a cadeia de telemarketing.

Internacionalmente

No Canadá, um projeto de lei de 15 de junho propõe remover os poderes da Autoridade de Proteção de Dados (DPA) para monitorar o setor privado e criar um único órgão responsável por regulamentar danos online, redes sociais, chatbots baseados em inteligência artificial e proteção da privacidade no setor privado.

Nos Estados Unidos, a Seção 702 da Lei de Vigilância de Inteligência Estrangeira (FISA) expirou em junho.

Desde 2008, essa disposição permitia que as agências de inteligência dos EUA coletassem comunicações de cidadãos estrangeiros fora dos Estados Unidos sem mandado judicial.

Durante vários anos, um número crescente de parlamentares vinha condicionando a renovação do Artigo 702 à exigência de um mandato obrigatório. Finalmente, obtiveram os votos necessários para que sua posição fosse ouvida.

No entanto, as autorizações do Tribunal de Vigilância de Inteligência Estrangeira (FISC, na sigla em inglês), renovadas em março para o programa da Seção 702, permanecem em vigor e "continuarão a ser aplicadas sem alterações, pelo menos até 17 de março de 2027", de acordo com o deputado Jamie Raskin.

Alguns operadores alertaram em privado que cessarão a cooperação assim que a lei expirar, temendo responsabilidade legal na ausência de uma lei vigente que ampare as exigências do governo.

Assim, as agências de inteligência e as empresas de telecomunicações enfrentam incertezas quanto a quais atividades de coleta de dados podem continuar legalmente.

Também nos Estados Unidos, o acordo amigável alcançado com a empresa 23andMe após o ataque cibernético de 2023, que afetou aproximadamente 6,4 milhões de clientes, foi definitivamente aprovado por um tribunal americano.

No entanto, a indenização ainda não foi paga às vítimas americanas cujos dados genéticos foram comprometidos, devido ao processo de falência da empresa.

O fundo de compensação totaliza US$ 46,75 milhões, mas a maioria dos beneficiários receberá apenas uma compensação limitada, sendo os valores mais altos reservados para as vítimas que puderem comprovar danos significativos.

A "Declaração de Roma por uma Paz sem Armas e Baseada no Desarmamento na Era da Inteligência Artificial, das Armas Nucleares e Autônomas, dos Novos Protocolos Digitais e dos Padrões Emergentes de Desenvolvimento Digital" foi assinada na quinta-feira, 16 de julho, no Capitólio, em Roma, marcando o ponto culminante da Assembleia Mundial de Laureados com o Prêmio Nobel sobre Inteligência Artificial e Guerra Nuclear.