EU AI Act Artigo 12: o que muda em 2 de agosto de 2026

No dia 2 de agosto de 2026 muita gente esperava um susto regulatório na Europa. O que aconteceu foi mais sutil e, para quem só leu a manchete, mais confuso: parte do que deveria entrar em vigor foi empurrada para 2027, e parte entrou em vigor mesmo assim. Se a sua empresa tem clientes, operação ou efeitos de sistemas de IA na União Europeia, entender essa diferença decide se você está tranquilo com razão ou tranquilo por engano.

O centro da confusão é o Artigo 12 do EU AI Act, a norma que obriga sistemas de IA de alto risco a manter registro automático de eventos durante todo o ciclo de vida. Em maio de 2026, Parlamento Europeu e Conselho da UE fecharam um acordo para simplificar o calendário do regulamento, batizado de Digital Omnibus. O resultado prático: as obrigações de alto risco que valeriam a partir de 2 de agosto de 2026 para sistemas autônomos do Anexo III foram adiadas para 2 de dezembro de 2027. Os sistemas de alto risco embutidos em produtos regulados por legislação setorial (Anexo I, como dispositivos médicos e maquinário) tiveram o prazo empurrado de agosto de 2027 para agosto de 2028.

Isso não significa que 2 de agosto passou em branco. Duas frentes continuam de pé: as obrigações de transparência do Artigo 50, que exigem aviso claro quando alguém interage com um sistema de IA e rotulagem de conteúdo sintético, incluindo deepfake, e o arsenal de fiscalização da Comissão Europeia sobre modelos de propósito geral, que passa a poder pedir informação, acessar o modelo e aplicar multas de até 15 milhões de euros ou 3% do faturamento global do provedor.

Este texto separa o que foi adiado do que ainda vale, explica o que o Artigo 12 exige na prática e argumenta por que esperar até 2027 para montar a infraestrutura de evidências é a decisão errada, mesmo com o novo prazo.

O que o Artigo 12 realmente exige

O Artigo 12 trata de uma coisa específica: registro automático de eventos ao longo de toda a vida útil de um sistema de IA de alto risco, do primeiro deploy até a descontinuação. Não é documentação manual preenchida depois do fato. É o sistema gerando, sozinho, um rastro que permite reconstruir o que aconteceu.

Na prática, isso significa capturar entradas, saídas e pontos de decisão relevantes para identificar situações de risco ou modificações substanciais no comportamento do sistema. O padrão esperado pelos reguladores é que esse registro seja adequado à finalidade pretendida do sistema, o que na leitura de especialistas em compliance se traduz em logs à prova de adulteração, não uma planilha que qualquer pessoa edita depois.

A obrigação recai sobre quem fornece o sistema, mas o operador não escapa dela. Comprar um sistema de alto risco pronto de um fornecedor externo não tira da empresa a responsabilidade de manter e disponibilizar esses registros quando pedidos. Essa é a peça que conecta o Artigo 12 direto à disciplina de auditoria de IA: sem log automático e íntegro, não existe evidência para mostrar depois.

O que foi adiado, e por quê

O adiamento nasceu do pacote de simplificação que a Comissão Europeia chamou de Digital Omnibus, negociado ao longo do primeiro semestre de 2026 em resposta a pressão de empresas e de alguns governos que alegavam falta de tempo, e de padrões técnicos harmonizados, para cumprir as obrigações de alto risco no prazo original. Em maio, negociadores do Parlamento, do Conselho e da Comissão chegaram a um acordo provisório. O Parlamento endossou formalmente em 16 de junho, e o Conselho deu o aval final em 29 de junho de 2026.

O resultado alterou dois prazos. Sistemas de alto risco autônomos, listados no Anexo III (biometria, infraestrutura crítica, educação, emprego, acesso a serviços essenciais, crédito, seguro, aplicação da lei, migração, justiça e processos democráticos), passam a ter as obrigações plenas, incluindo o Artigo 12, exigíveis a partir de 2 de dezembro de 2027, e não mais 2 de agosto de 2026. Sistemas de alto risco embutidos em produtos regulados por legislação setorial (Anexo I) passam de agosto de 2027 para 2 de agosto de 2028.

Vale registrar que é um adiamento de calendário, não uma revogação de exigência. As categorias de alto risco continuam existindo, a lista de obrigações continua a mesma, só a data em que passam a ser cobradas mudou. Empresas que leram apenas a manchete “AI Act adiado” correm o risco de tratar 2027 como se fosse nunca.

O que continua valendo em 2 de agosto de 2026

Duas obrigações escaparam do adiamento e seguem de pé.

A transparência do Artigo 50 é a primeira. Avisar de forma clara quando uma pessoa está interagindo com um sistema de IA, em chatbots, assistentes e agentes de atendimento, e marcar conteúdo sintético (texto, imagem, áudio, vídeo gerado ou manipulado por IA) de forma legível por máquina, incluindo deepfakes, segue obrigatório a partir de 2 de agosto de 2026. É a obrigação que mais afeta produtos voltados a usuário final, mesmo fora da lista de alto risco.

A fiscalização de modelos de propósito geral é a segunda. As obrigações de provedores de GPAI, como documentação técnica, política de direitos autorais e resumo de dados de treinamento, já valiam desde agosto de 2025. O que muda em 2 de agosto de 2026 é o poder de execução da Comissão: pedidos de informação formais, acesso ao modelo para avaliação e poder de recall, com multas de até 15 milhões de euros ou 3% do faturamento global do provedor.

Empresas que usam modelos de terceiros para construir agentes não são o alvo direto dessa fiscalização, mas herdam parte da exposição. Se o modelo por trás do seu agente virar alvo de uma investigação, isso afeta a continuidade do produto construído em cima dele.

Por que esperar até 2027 é a decisão errada

O adiamento comprou tempo, não tirou a obrigação do caminho. E dezesseis meses, a distância entre agosto de 2026 e dezembro de 2027, parecem muitos até você tentar montar, do zero, um sistema de registro automático que cubra todos os agentes em produção, todas as fontes que eles consomem e toda a trilha de decisão de cada resposta.

Há três motivos concretos para não esperar. O primeiro é operacional: montar log automático confiável é trabalho de meses, não de um sprint. Envolve decidir o que registrar, instrumentar cada agente e cada integração, garantir que o registro seja íntegro e testar se ele reconstrói uma interação quando alguém pergunta. Empresas que começam em 2027, quando a data já pesa, correm atrás do prazo em vez de construir com calma.

O segundo é regulatório, mas mais amplo do que o Artigo 12. LGPD, PL 2338 e as práticas emergentes de gestão de IA da família ISO/IEC 42001 convergem no mesmo ponto: saber quais agentes operam, quais dados consomem e como cada resposta foi produzida. Um sistema de evidência construído agora serve para as quatro frentes ao mesmo tempo. Adiar por causa de uma delas significa otimizar para o prazo errado.

O terceiro é de negócio, e independe de qualquer lei europeia. Um agente de IA sem trilha de evidência já é um problema hoje, porque ninguém consegue explicar por que ele respondeu o que respondeu quando um cliente, um auditor interno ou o comitê de IA pergunta. A conformidade legal chega depois; a necessidade operacional já está presente.

Como montar a base de evidência agora

O ponto de partida não muda com o adiamento. Mapear os agentes em operação e as fontes que cada um consome continua sendo o primeiro passo, porque não dá para registrar eventos de um agente que ninguém catalogou.

A partir daí, a base de evidência que atende ao Artigo 12, e simultaneamente à LGPD, ao PL 2338 e à ISO 42001, precisa cobrir no mínimo cinco pontos: entrada e saída de cada interação, com a pergunta recebida e a resposta entregue amarradas a um identificador único; o contexto recuperado, ou seja, quais fontes foram consultadas e citadas para produzir aquela resposta específica; a versão e o status da fonte usada, se estava aprovada, em rascunho ou já obsoleta no momento da resposta; o escopo e a permissão aplicados naquela interação, e se mudaram desde então; e eventos de risco ou de modificação substancial, o sinal específico que o Artigo 12 pede para registrar quando o comportamento do sistema muda de forma relevante.

Nenhum desses pontos depende de o prazo ser 2026 ou 2027. É a mesma disciplina que sustenta a governança de agentes de IA: tratar contexto, fonte e evidência como parte do design do agente, e não como papelada anexada depois que ele já está em produção.

O que priorizar nos próximos meses

Um roteiro realista não tenta cobrir tudo de uma vez. Faz sentido escalonar o trabalho em ondas, começando pelo que já tem prazo confirmado e avançando para o que ainda está a alguns meses de distância.

Na primeira onda, revise a transparência do Artigo 50 nos produtos voltados a usuário final: todo chatbot, assistente ou agente que interage diretamente com uma pessoa precisa deixar claro que é IA, e todo conteúdo sintético gerado ou manipulado precisa de rotulagem legível por máquina. É a obrigação com prazo já vencido e a mais fácil de auditar rapidamente, porque costuma se resumir a um punhado de superfícies de produto.

Na segunda onda, se sua empresa fornece ou opera modelos de propósito geral, revise a documentação técnica e a política de direitos autorais exigidas desde agosto de 2025, porque agora existe fiscalização ativa por trás delas. Não é o momento de descobrir uma lacuna de documentação depois de um pedido de informação da Comissão.

Na terceira onda, mesmo sem prazo imediato, comece o inventário de agentes e fontes que vai sustentar o Artigo 12 quando ele passar a valer. Esse inventário é o alicerce: sem ele, log automático não tem o que registrar de forma organizada, e o trabalho de dezembro de 2027 fica represado para os últimos meses, exatamente o cenário que o adiamento deveria evitar.

Essa sequência tem uma vantagem que vai além do calendário europeu: cada onda entrega valor por si só, independente do desfecho regulatório. Transparência bem feita reduz reclamação de usuário. Documentação de modelo em dia acelera negociação com fornecedores e clientes enterprise. E um inventário de agentes com fontes catalogadas é o que já falta hoje para explicar, sem improviso, por que um agente respondeu o que respondeu.

O calendário completo, para não perder o fio

Este texto foca no Artigo 12, mas ele é uma peça de um calendário maior que envolve EU AI Act, PL 2338 e LGPD, com datas e sanções diferentes para cada frente. Se você precisa da visão completa, o que já vale, o que foi adiado e o que ainda tramita no Congresso brasileiro, o guia de calendário regulatório reúne os prazos atualizados das três regulações lado a lado.

Nada neste texto substitui orientação jurídica. Ele organiza o que muda na prática operacional; a leitura formal do enquadramento da sua empresa, se ela está no escopo, em qual categoria de risco, com qual exposição, precisa passar pelo seu time jurídico.

Próximo passo: comece pelo mapa, não pelo prazo

O adiamento do Artigo 12 tira a pressão de uma data, mas não resolve o problema que ele existe para resolver: a maioria das empresas não consegue hoje reconstruir por que um agente de IA respondeu o que respondeu. Isso já custa caro em confiança, retrabalho e risco operacional, antes mesmo de qualquer fiscalização europeia bater à porta.

Um diagnóstico mapeia os agentes em operação, as fontes que cada um consome, as lacunas de evidência e o roteiro para fechar essas lacunas com controle, seja qual for o prazo regulatório que se aplica ao seu caso.

Faça o diagnóstico gratuito e descubra se sua empresa já tem a trilha de evidência que o Artigo 12, a LGPD e a ISO 42001 vão exigir.

Este conteúdo tem caráter informativo e não constitui aconselhamento jurídico. Consulte seu time jurídico para avaliar o enquadramento específico da sua empresa no EU AI Act.