Uma agência brasileira pode usar IA para pesquisa, texto, mídia, atendimento ou análise e ainda assim entrar no perímetro do AI Act quando seu trabalho chega a pessoas ou mercados da União Europeia. O ponto de partida não é “a empresa está no Brasil?”, mas o uso concreto: qual sistema é utilizado, para qual finalidade, por quem e com qual efeito para pessoas na UE. O regulamento alcança, em situações definidas, operadores fora da União quando o resultado do sistema é usado nela. Regulamento (UE) 2024/1689, artigo 2
Este é um guia operacional, não aconselhamento jurídico. O contrato com o cliente, o papel de cada parte, o caso de uso e a legislação aplicável precisam de avaliação jurídica própria. A utilidade do roteiro é criar evidência, reduzir improviso e levar perguntas melhores ao jurídico e aos fornecedores.
Comece pelo escopo, não pela ferramenta
“Usamos ChatGPT” não é um escopo. Um mesmo modelo pode apoiar brainstorming interno, responder a um consumidor, resumir uma chamada de vendas ou influenciar uma seleção de candidatos. As finalidades e os riscos não são iguais. O AI Act organiza obrigações a partir de uma abordagem baseada em risco; a classificação depende da finalidade pretendida e de como o sistema é colocado em uso. Visão oficial do AI Act
Para cada cliente europeu, responda primeiro a quatro perguntas: a agência fornece o sistema, integra um sistema de terceiro, opera o sistema em nome do cliente ou apenas entrega uma peça produzida com IA? Depois, registre onde o resultado será usado e quem pode ser afetado. Uma agência pode ser apenas usuária em uma campanha, mas pode assumir responsabilidades mais amplas se disponibiliza uma solução sob sua marca, altera de forma relevante um sistema ou define sua finalidade para o cliente.
Não trate o rótulo comercial do produto como classificação. Revise a finalidade real: um chatbot de pré-venda, por exemplo, interage diretamente com pessoas; uma ferramenta que ranqueia currículos pode tocar área de emprego; uma solução que analisa emoção ou classifica pessoas exige atenção específica. As categorias e os anexos do Regulamento são a referência para a triagem, não uma lista informal da agência. Regulamento (UE) 2024/1689
Monte um inventário que sobreviva à reunião com o cliente
O inventário é a base do programa. Não precisa começar como uma plataforma complexa: uma planilha versionada, com responsável e revisão periódica, já é melhor que conhecimento disperso no Slack. A regra é registrar sistemas, não apenas assinaturas compradas.
Para cada uso de IA, mantenha ao menos: nome do sistema e fornecedor; cliente, país e unidade atendida; finalidade e público; entradas e saídas; canais em que opera; data de início; equipe responsável; grau de autonomia; revisão humana; material de treinamento ou instruções relevantes; e links para contrato, documentação e avaliações internas. Inclua experimentos em curso. É comum que o risco nasça em uma automação “temporária” que nunca foi formalizada.
Crie também um campo de papel: fornecedor, deployer/operador, distribuidor, importador ou outro papel contratual que precise ser confirmado. Não force uma conclusão jurídica na planilha. Marque “a validar” e atribua dono e prazo. Essa separação evita o erro de copiar obrigações do fornecedor de modelo para uma agência que apenas o utiliza — e evita o erro contrário de ignorar obrigações de quem coloca uma solução em uso para um cliente.
Faça uma triagem de risco orientada à finalidade
Depois do inventário, classifique cada caso em uma fila operacional. Primeiro, verifique se a finalidade pode se aproximar de prática proibida. Em seguida, avalie se há hipótese de alto risco ligada a produtos regulados ou aos usos listados no Anexo III, como certos contextos de emprego, educação, acesso a serviços essenciais, aplicação da lei, migração ou justiça. Não basta dizer que a ferramenta é “de marketing”; o que importa é o que ela faz e em qual decisão entra. Regulamento (UE) 2024/1689, artigos 5 e 6
Para a maior parte dos fluxos editoriais e de marketing, a triagem pode apontar risco limitado ou mínimo, mas isso não dispensa controles. Um texto gerado por IA que vai a público pode exigir transparência dependendo do contexto; um assistente que conversa com leads pode exigir que as pessoas saibam que interagem com IA. Casos que interferem em decisões sobre pessoas, usam dados sensíveis ou combinam perfis merecem escalonamento interno antes de ir ao ar.
O resultado da triagem deve ser curto e verificável: finalidade; fatos observados; categoria preliminar; obrigações ou dúvidas identificadas; decisão; responsável; data da próxima revisão. Evite uma pontuação decorativa. Se o escopo mudar — novo público, novo país, nova integração ou mais autonomia — refaça a triagem.
Transforme letramento em rotina de trabalho
O artigo 4 exige que fornecedores e deployers adotem medidas para assegurar um nível suficiente de letramento em IA das pessoas que operam e usam sistemas em seu nome, considerando conhecimento, experiência, treinamento, contexto e pessoas afetadas. Isso não é um certificado genérico para toda a empresa. Regulamento (UE) 2024/1689, artigo 4
Para uma agência, a medida proporcional é um treinamento por função. Redação precisa saber quando não publicar uma saída sem revisão; mídia paga precisa entender que não pode deixar uma automação alterar uma campanha fora das alçadas definidas; atendimento precisa identificar quando informar o uso de IA e quando transferir a conversa; liderança precisa saber escalar um caso que possa afetar direitos ou decisões relevantes.
Registre conteúdo, público, data, presença e cenário de aplicação. Complete com uma instrução acessível de incidentes: quem interrompe a campanha, quem comunica o cliente e onde se registra o ocorrido. Letramento sem procedimento de exceção vira apresentação; procedimento sem pessoas preparadas vira documento esquecido.
Seja transparente no ponto em que a pessoa precisa saber
O artigo 50 trata de transparência para sistemas que interagem diretamente com pessoas e para determinados conteúdos gerados ou manipulados por IA. A implementação depende do caso, mas a prática da agência deve começar simples: identificar interfaces conversacionais, avatares, conteúdo sintético e fluxos que chegam ao público europeu; então definir aviso, canal de contato e responsável pela aprovação. Regulamento (UE) 2024/1689, artigo 50
Em um chatbot, o aviso deve aparecer de modo compreensível no início ou antes da interação relevante, sem esconder que o interlocutor é uma máquina. Para conteúdo visual, áudio ou vídeo sintético, trabalhe com o cliente para avaliar marcação e rotulagem conforme a finalidade e o canal. Para conteúdo editorial relacionado a tema de interesse público sem revisão ou controle editorial humano, não presuma que um rodapé genérico resolve: encaminhe o fluxo para revisão jurídica e de compliance.
A regra de ouro é ligar o aviso ao inventário. Cada aviso deve apontar para um caso de uso, uma versão do fluxo e um responsável. Assim, uma alteração de fornecedor ou de roteiro dispara revisão real, em vez de deixar uma política desatualizada em uma pasta.
Supervisão humana precisa de poder real de intervenção
Supervisão não é adicionar a frase “revisado por humano” no processo. Para sistemas de alto risco, o Regulamento exige medidas de supervisão humana adequadas e proporcionais aos riscos, ao nível de autonomia e ao contexto. A pessoa designada deve conseguir compreender limites relevantes, monitorar a saída e intervir ou interromper o sistema quando necessário. Regulamento (UE) 2024/1689, artigo 14
Mesmo nos fluxos de marketing que não sejam alto risco, use o mesmo princípio em escala menor. Defina quais saídas podem ser publicadas automaticamente, quais requerem aprovação e quais são proibidas sem especialista. Liste gatilhos de pausa: resposta fora da base aprovada, pedido sensível, alegação não comprovada, alucinação de fato, conteúdo potencialmente discriminatório, desvio de tom ou falha de integração.
Também separe revisão de responsabilidade. Quem aprova uma campanha precisa ter autoridade para bloqueá-la, acesso ao contexto de origem e tempo suficiente para revisar. Se a equipe só vê o texto final depois de publicado, não há supervisão; há auditoria tardia.
Documente decisões e cobre documentação dos fornecedores
Documentação é o elo entre inventário, contrato e operação. Guarde versões de prompts ou instruções relevantes, configurações, testes, critérios de aprovação, evidências de revisão, avisos exibidos, incidentes e decisões de mudança. O objetivo não é coletar tudo indiscriminadamente; é conseguir explicar por que o fluxo foi considerado adequado, quem aprovou e o que aconteceu quando algo saiu do esperado.
Nos contratos e na homologação, peça ao fornecedor documentação aplicável ao seu papel e ao caso de uso: descrição do sistema, finalidade, limitações conhecidas, instruções de uso, mudanças relevantes e mecanismos de contato. Para fornecedores de modelos de IA de propósito geral, o AI Act prevê documentação técnica, informação a provedores posteriores e outras obrigações; o Código de Prática de GPAI oferece um instrumento voluntário voltado a transparência, direitos autorais e, para modelos com risco sistêmico, segurança. Obrigações oficiais para GPAI Código de Prática de GPAI
Não confunda adesão do fornecedor ao Código com garantia de que a agência ou o cliente está em conformidade. Use-a como um sinal para orientar diligência e pedidos de evidência, não como substituto da análise do sistema final e de seu uso.
Plano de 30 dias para sair do improviso
Na primeira semana, congele novos usos externos de IA que não estejam inventariados e nomeie um responsável por cliente europeu. Na segunda, complete a triagem dos fluxos públicos, conversacionais e de decisão sobre pessoas. Na terceira, implemente avisos, alçadas de aprovação e treinamento por função. Na quarta, revise contratos e documentação de fornecedores, teste um incidente simulado e leve os pontos pendentes ao cliente e ao jurídico.
O resultado esperado não é um carimbo de “AI Act compliant”. É uma operação capaz de mostrar seu mapa de usos, suas decisões, seus responsáveis e seus limites — e de reagir quando o escopo muda.
Conclusão
Para agências brasileiras, o AI Act não deve ser tratado como uma questão distante do fornecedor de modelo. A exposição aparece no serviço entregue, no público afetado e na forma como a IA influencia a experiência do cliente europeu. Inventário, triagem, letramento, transparência, supervisão e documentação formam um sistema simples de governança. Comece pelos fluxos que já estão em produção e mantenha a avaliação jurídica para as decisões que ela realmente exige.
FAQ
Uma agência no Brasil pode entrar no escopo do AI Act?
Pode, conforme a situação prevista no artigo 2, inclusive quando a saída de um sistema é usada na União Europeia. O local da sede, isoladamente, não responde à questão; avalie o papel desempenhado e o efeito do uso. Regulamento (UE) 2024/1689, artigo 2
Usar uma ferramenta de IA popular torna a agência fornecedora do modelo?
Não necessariamente. O papel depende de como a agência coloca o sistema no mercado ou em uso, de mudanças realizadas e da finalidade definida. Registre a situação e valide a conclusão com o jurídico, especialmente em soluções com marca própria ou integrações customizadas.
Todo conteúdo criado com IA precisa ter rótulo?
Não use uma resposta única para todos os casos. O artigo 50 estabelece obrigações específicas para determinadas situações, incluindo interação direta com pessoas e certos conteúdos gerados ou manipulados. Avalie finalidade, formato, canal e contexto antes de publicar. Regulamento (UE) 2024/1689, artigo 50
O Código de Prática de GPAI substitui uma política interna?
Não. Ele é um instrumento voluntário dirigido a provedores de modelos de IA de propósito geral e pode ajudar na diligência de fornecedores. A agência ainda precisa governar seu próprio uso, seus fluxos com o cliente e suas comunicações ao público. Código de Prática de GPAI
