AI Act da UE vs. ordem executiva dos EUA sobre IA: calendário para compradores

Compradores de TI, MSPs e responsáveis por conformidade que acompanham a regulação de IA dos dois lados do Atlântico lidam com dois sistemas que não partilham calendário, âmbito nem desenho de base. Confundi-los pode significar travar um projeto que continua legal, ou aceitar uma alegação de conformidade de um fornecedor que não se sustenta. Este guia mostra em que ponto estão realmente, em setembro de 2026, o AI Act da UE e a ordem executiva dos EUA sobre IA, o que mudou e o que verificar antes de assinar.

O que já está em vigor na UE

As obrigações de transparência do artigo 50 do AI Act — dever de informação para chatbots e rotulagem de conteúdo gerado por IA — aplicam-se desde 2 de agosto de 2026, e o Serviço de IA da Comissão Europeia já tem poderes de fiscalização sobre as obrigações dos modelos de IA de finalidade geral, em vigor desde um ano antes. As práticas proibidas do artigo 5.º e as obrigações de literacia em IA do artigo 4.º aplicam-se há ainda mais tempo, desde fevereiro de 2025. Nada disto mudou com o Digital Omnibus de 2026.

O que mudou em 2026

O que mudou foi o calendário para o alto risco. O Digital Omnibus sobre IA da UE, aprovado pelo Parlamento Europeu em 16 de junho de 2026 e pelo Conselho em 29 de junho de 2026, adiou as obrigações substantivas para sistemas de alto risco. Os sistemas autónomos do anexo III — que abrangem usos como emprego, educação e biometria — aplicam-se a partir de 2 de dezembro de 2027, em vez de agosto de 2026, e os sistemas integrados em produtos do anexo I passam para agosto de 2028.

O motivo apresentado é que as normas técnicas harmonizadas necessárias para conferir aos sistemas de alto risco uma presunção de conformidade ainda não estavam prontas. O conteúdo das regras não mudou, apenas a data em que passam a valer.

O que a ordem executiva dos EUA realmente faz

Os EUA seguiram um caminho diferente. O presidente Trump assinou a Executive Order 14409, “Promoting Advanced Artificial Intelligence Innovation and Security”, em 2 de junho de 2026. Aplica-se a agências federais e não diretamente a empresas privadas, e enquadra a IA sobretudo como uma questão de cibersegurança e inovação, e não como um regime de conformidade baseado em risco.

A ordem determina que as agências priorizem a ciberdefesa dos sistemas federais civis no prazo de 30 dias após a assinatura, com a CISA a emitir orientações para acelerar esse trabalho, e cria um centro de partilha de informação sobre cibersegurança de IA — coordenado pelo Tesouro, a NSA e a CISA — para partilhar informação sobre vulnerabilidades e correção associada a sistemas de IA. Separadamente, cria um regime voluntário através do qual os criadores podem partilhar “modelos de fronteira abrangidos” com o governo para avaliação antes do lançamento público.

A ordem exclui explicitamente o licenciamento obrigatório: a secção 3(c) determina que nada nela autoriza a criação de um requisito governamental obrigatório de licença, autorização prévia ou permissão para desenvolver, publicar ou distribuir novos modelos de IA. Trata-se de um compromisso político incluído nesta ordem, não de uma proibição legal permanente, já que uma futura ordem ou lei ainda poderia criar esse requisito. Também não existe um sistema de classificação semelhante ao anexo III nem um equivalente às obrigações da UE para quem implementa sistemas de alto risco.

O que isso significa para quem compra

A postura de um fornecedor nos EUA ao abrigo da EO 14409 nada diz sobre a sua preparação para o AI Act da UE, e o inverso também é verdade: os dois regimes cobrem assuntos diferentes, para intervenientes diferentes, com calendários diferentes. Para os responsáveis de TI europeus, a ordem não tem força legal direta, mas indica o ambiente em que operam os fornecedores de IA norte-americanos — revisão voluntária antes do lançamento em vez de obrigatória, com obrigações de cibersegurança que recaem sobre as agências federais e não sobre os produtos comerciais dos fornecedores.

Procure evidências de que um fornecedor participa no regime voluntário de modelos de fronteira, em vez de presumir que isso equivale a uma revisão equivalente ao AI Act da UE. Quem já está a reunir evidências para NIS2 e DORA pode aplicar a mesma disciplina aos prazos do AI Act: a Auris Comply disponibiliza apoio à conformidade NIS2/DORA e registo de auditoria para este tipo de documentação.

O que fazer

Antes de considerar assente a declaração de conformidade em IA de um fornecedor, vale a pena percorrer esta lista:

• Pergunte qual o artigo ou anexo específico que o fornecedor declara cumprir, e confirme a partir de que data essa disposição entrou realmente em vigor — alguns prazos da UE mudaram, outros não.
• Trate o adiamento do anexo III para dezembro de 2027 como tempo extra, não como isenção: as obrigações de transparência do artigo 50 já se aplicam, independentemente de quando o anexo III entrar em vigor.
• Junto de fornecedores dos EUA, pergunte se partilharam modelos através do regime voluntário da EO 14409, em vez de presumir que houve uma revisão governamental formal.
• Não interprete a ausência de licenciamento obrigatório na ordem dos EUA como prova de preparação para o AI Act da UE: os dois textos regulam questões completamente diferentes.
• Mantenha os calendários da UE e dos EUA separados em contratos e dossiês de auditoria, porque um adiamento de um lado não altera os prazos do outro.

Fontes: artificialintelligenceact.eu, A Casa Branca, Congressional Research Service.