O regulamento europeu de inteligência artificial entrou em vigor em agosto de 2024 e passou a valer em etapas. Segundo a Comissão Europeia, as proibições de práticas consideradas de risco inaceitável começaram em fevereiro de 2025; as obrigações para os modelos de uso geral, em agosto do mesmo ano. A parte mais pesada, voltada a sistemas classificados como de alto risco, estava marcada para agosto de 2026 — mas dias antes do prazo o Parlamento e o Conselho da União Europeia aprovaram um pacote que adiou essa etapa específica para dezembro de 2027.
Quem lê essa notícia de longe pode achar que ganhou fôlego. Ganhou só uma parte: as proibições e as obrigações para modelos de uso geral já valem desde 2025, e o texto do regulamento é explícito sobre quem ele alcança. O artigo 2 do regulamento estende as regras a fornecedores e operadores "estabelecidos ou localizados em um país terceiro, quando o resultado produzido pelo sistema é usado na União Europeia" — não importa onde a empresa tem sede.
Na prática, isso inclui uma fatia grande de empresas brasileiras que nunca abriram escritório na Europa. Uma reportagem da Euronews de julho de 2026 mostra o tamanho do alcance: 47% das empresas que já citam o regulamento europeu em seus relatórios ficam fora da União Europeia, e empresas americanas respondem sozinhas por 35% desse grupo. É a mesma lógica que, uma década antes, transformou a lei europeia de proteção de dados em referência mundial mesmo para quem nunca teve um cliente na Europa.
Uma lei europeia que já alcança quem nunca foi à Europa
O gatilho da norma não é onde a empresa tem sede. É onde o resultado do sistema é usado. Uma empresa brasileira que presta um serviço analisado por IA para um cliente europeu, mantém uma filial na União Europeia ou fornece para uma companhia que opera lá dentro pode estar no alcance do regulamento mesmo sem nenhum funcionário do outro lado do oceano.
O alcance da norma vai além das próprias fronteiras da União Europeia, valendo para qualquer organização cujos sistemas de IA sejam usados no bloco ou cujos resultados afetem cidadãos, empresas ou instituições públicas europeias.
As multas acompanham o tamanho do alcance: até 35 milhões de euros ou 7% do faturamento global anual da empresa para as infrações mais graves, segundo a mesma reportagem — o teto vale igualmente para empresa europeia e para empresa de fora.
E o preparo real está muito atrás do risco. Levantamento citado pela Euronews mostra que apenas 13% das empresas no mundo têm algum programa formal de governança de IA, e só 12,4% delas exigem que uma pessoa revise decisões individuais tomadas por um sistema de IA. Menos de uma em cada quatro avalia se o próprio uso de IA pode afetar direitos de quem trabalha ali.
O padrão que aparece nesses números é conhecido: a lei já existe, o alcance já é internacional, mas a estrutura interna para responder a ela ainda não foi montada na maioria das empresas — inclusive nas que decidem por IA todos os dias.
O adiamento que trouxe alívio pela metade
O adiamento aprovado em 2026 é real e específico. Segundo a análise do escritório Gibson Dunn, as obrigações para sistemas de alto risco autônomos (a categoria que cobre a maior parte dos usos corporativos de IA) passaram de agosto de 2026 para 2 de dezembro de 2027; para sistemas de IA embutidos em produtos já regulados, o novo prazo é agosto de 2028.
O que não mudou é o resto do calendário. As proibições de fevereiro de 2025 continuam valendo, e as obrigações para modelos de uso geral, em vigor desde agosto de 2025, também. A lei não foi suspensa: só o capítulo mais pesado ganhou mais tempo.
O erro comum é tratar dezembro de 2027 como se fosse o dia em que o assunto começa a importar. Não é. O trabalho que a norma cobra — descobrir onde a IA está sendo usada na empresa, para quê, com qual informação e sob qual aprovação — não se monta da noite para o dia. Uma empresa que só começar a mapear isso perto do novo prazo vai descobrir tarde demais que o inventário não existe.
E "não temos escritório na Europa" continua sendo a suposição mais perigosa da lista, porque o artigo 2 do regulamento nunca dependeu disso.
O que está realmente em jogo
Tirando a camada jurídica, o que o regulamento europeu pede é bem concreto: uma empresa precisa saber onde a IA é usada, classificar esse uso por risco, garantir que uma pessoa responda por decisões mais sensíveis e manter registro do que aconteceu.
Essas quatro coisas são exatamente o que falta quando o uso de IA na empresa acontece em ferramentas pessoais escolhidas por cada colaborador, sem inventário e sem responsável definido. O problema deixa de ser só jurídico: sem esse mapeamento, a empresa também não sabe quais decisões importantes já estão apoiadas em IA hoje, dentro ou fora do alcance da norma europeia.
O que precisa existir na prática
Um ambiente de IA corporativo responde a essas exigências por construção, não por promessa depois de uma auditoria.
Inventário vivo do uso de IA. Cada agente, prompt ou fluxo criado na empresa fica registrado — quem criou, para qual área, com qual conhecimento conectado. Sem esse registro, "onde a IA é usada aqui" é uma pergunta sem resposta verificável.
Classificação por risco antes de liberar um uso. Nem toda tarefa de IA pede o mesmo nível de controle; uma que toca decisão sobre crédito, contratação ou dado sensível de cliente pede mais camada de revisão do que um resumo de reunião interna.
Aprovação humana conforme o risco. Ações mais sensíveis param e pedem confirmação de uma pessoa antes de seguir, dentro da própria conversa — e documentos críticos podem exigir revisão e aprovação em duas etapas, com quem escreve separado de quem aprova.
Trilha de auditoria. Criar um agente, aprovar um conteúdo, mudar uma permissão: tudo registrado. Numa fiscalização ou numa investigação de incidente, é a diferença entre reconstruir o que aconteceu em minutos e não conseguir reconstruir.
É assim que a Skyller foi desenhada: identidade vinda do diretório da empresa, aprovação e registro como padrão de fábrica, não como configuração que alguém precisa lembrar de ligar.
De risco de multa a vantagem de largada
Empresa que só olha para essa norma como risco de multa perde a outra metade da história. O mesmo inventário que a lei europeia cobra também é o que permite à empresa responder, em qualquer auditoria interna ou de cliente, uma pergunta cada vez mais comum: "como vocês usam IA aí dentro?"
Quem já opera num ambiente com identidade corporativa, aprovação por risco e registro por padrão chega em dezembro de 2027 com o trabalho pesado feito havia meses. Quem ainda depende de conta pessoal e planilha avulsa vai gastar o tempo que sobrar até lá só reconstruindo o que já deveria existir.
Há também um ganho que não aparece em nenhuma exigência regulatória: uma empresa que já reúne o uso de IA num único lugar consegue responder "quantos agentes de IA temos, e para quê" em minutos — em vez de perguntar em cada área e esperar a resposta chegar por e-mail.
Um roteiro para levar à próxima reunião
Antes de tratar isso como projeto de 2027, vale levar estas perguntas para a próxima conversa com jurídico, TI e lideranças de operação:
- Algum uso de IA aqui toca cliente, filial ou fornecedor que opera na União Europeia? Se a resposta for "não sei", essa é a primeira lacuna a fechar — o artigo 2 do regulamento não exige presença física na Europa para alcançar a empresa.
- Existe hoje um inventário de onde a IA é usada na empresa, e por quem? Sem essa lista, não há como classificar risco nem provar, depois, que algo foi revisado.
- Quem aprova uma decisão de IA antes que ela vire ação sobre um cliente ou um contrato? Se a resposta for "ninguém, por enquanto", essa é a lacuna mais cara de deixar para depois.
- Se um fiscal ou um cliente pedisse hoje o histórico de uso de IA da empresa, ele existiria? A resposta a essa pergunta diz mais sobre o preparo real do que qualquer prazo no calendário.
