As obrigações centrais de transparência aplicam-se: quando as pessoas interagem com chatbots ou agentes de IA, devem ser informadas de que estão interagindo com IA; certos conteúdos gerados por IA, como deepfakes e textos informativos públicos, devem ser claramente identificados. Provedores e implementadores devem manter documentação, registros e supervisão humana adequados aos seus sistemas. O Escritório de IA e as autoridades nacionais podem solicitar informações, avaliar modelos e coordenar ações corretivas. Na prática, isso significa ter uma fonte única de verdade para políticas, documentação técnica e telemetria que conecte as divulgações aos usuários ao comportamento do sistema.

Se você fornece um modelo de IA de uso geral, suas obrigações incluem documentação transparente, um resumo público das fontes de conteúdo de treinamento e avaliação e mitigação de riscos apropriadas — intensificando quando os modelos podem apresentar riscos sistêmicos. As equipes devem operacionalizar fichas técnicas dos modelos, relatórios de avaliação, descobertas de testes de segurança (red team) e recursos de identificação de conteúdo. Direitos autorais e tratamento dos dados de treinamento devem ser documentados, com caminhos claros para respeitar exclusões e usos legais. Use os modelos da Comissão e códigos voluntários como base para institucionalizar lançamentos repetíveis, registros claros de mudanças e testes de alinhamento defensáveis entre versões.

As obrigações para alto risco abrangem gestão de riscos, governança de dados, registro, documentação técnica, supervisão humana, robustez, precisão, cibersegurança e monitoramento pós-mercado. Mesmo que seu sistema só seja classificado como alto risco em 2027–2028, o caminho mais econômico é adotar essas disciplinas agora. Estabeleça um fórum de governança multifuncional, defina limites de aceitação de risco, implemente documentação e controles de qualidade dos conjuntos de dados e construa pipelines contínuos de avaliação. Selecione padrões e controles que possam escalar — antecipando normas harmonizadas assim que estiverem disponíveis — e alinhe compras para exigir que fornecedores forneçam artefatos compatíveis e evidências de testes.

Práticas proibidas de IA — como sistemas manipulativos, direcionamento exploratório de vulnerabilidades, pontuação social, certos usos biométricos e coleta indiscriminada para bancos de dados faciais — são aplicáveis. Uma proibição adicional sobre a geração de conteúdo sexualmente explícito e íntimo não consensual e conteúdos relacionados a CSAM entra em vigor em dezembro de 2026. Desenvolvedores devem implementar camadas de prevenção de abusos agora: classificadores de segurança, restrição de saídas, denúncias de usuários, proveniência rastreável de conteúdo e fluxos rápidos de remoção e gestão de incidentes. Audite seu produto e recursos de marketing para garantir que não facilitem ou incentivem usos proibidos inadvertidamente.

Priorize controles modulares que possam ser entregues rapidamente. Para transparência: implemente indicadores visíveis de IA para usuários e rótulos de deepfake; adote padrões de proveniência de conteúdo e marca d’água quando possível. Para governança: mantenha um registro de modelos com avaliações versionadas, barreiras políticas e aprovações de lançamento. Para dados: capture linhagem, status de consentimento e metadados de licença; aplique versionamento e controles de acesso aos conjuntos de dados. Para monitoramento: centralize registros de inferência, métricas de viés/robustez e tickets de incidentes com rodízio de plantão. Para supervisão: defina pontos claros de intervenção humana e documente quando ocorrer escalonamento. Trate cada artefato como evidência para auditorias futuras.