O prazo de alto risco do EU AI Act passa para dezembro de 2027: o que muda para quem compra
O AI Omnibus entrou em vigor a 27 de julho de 2026 e transferiu as obrigações de alto risco do EU AI Act de 2 de agosto de 2026 para 2 de dezembro de 2027[1][2]. Os sistemas nas áreas sensíveis do anexo III — biometria, infraestruturas críticas, educação, emprego, migração, asilo e controlo de fronteiras — ganharam 16 meses. As organizações que tinham construído o calendário de compra de IA em torno da data de agosto de 2026 perderam o seu fator de pressão seis dias antes de este começar a apertar. A nossa posição: trata-se de um adiamento por falta de normas e não de uma alteração daquilo que será exigido no final, e ler esses 16 meses como folga é a interpretação cara.
O que se moveu de facto a 27 de julho
O Omnibus foi proposto a 19 de novembro de 2025, obteve acordo político a 7 de maio de 2026 e entrou em vigor a 27 de julho de 2026 [2]. Altera duas datas. Os sistemas de alto risco nas áreas sensíveis do anexo III passam a aplicar-se a partir de 2 de dezembro de 2027. A IA de alto risco integrada em produtos regulados — os exemplos do próprio regulamento são elevadores e brinquedos — recua ainda mais, para 2 de agosto de 2028 [1].
Três coisas não se moveram. As práticas proibidas e a obrigação de literacia em IA aplicam-se desde 2 de fevereiro de 2025. As obrigações para modelos GPAI e o quadro de governação aplicam-se desde 2 de agosto de 2025. E 2 de agosto de 2026 continua a ser a data em que o AI Office e as autoridades dos Estados-Membros começaram a supervisionar e a aplicar o regulamento [1].
O regulamento está em vigor e está a ser aplicado. Um dos seus capítulos começa mais tarde do que o previsto.
O adiamento é sobre normas, não sobre substância
Foi pedido ao CEN e ao CENELEC que produzissem até agosto de 2025 as normas harmonizadas que sustentam os requisitos de alto risco, e não as entregaram [3]. Essa lacuna é o mecanismo. Sem normas harmonizadas não existe uma base técnica consolidada à qual um implementador possa conformar-se nem nada de concreto contra o qual conduzir uma avaliação, razão pela qual a justificação declarada da Comissão é que as regras avançavam mais depressa do que as normas que as deviam sustentar [3].
O pacote surgiu depois da pressão pública da ASML, Airbus, Ericsson, Nokia, SAP, Siemens e Mistral AI, que argumentavam que a Europa se estava a regular para fora da corrida global da IA. Mas inscreveu novas proibições em vez de apenas retirar encargos: no mesmo instrumento foram acrescentadas proibições a sistemas de IA que produzem deepfakes sexuais não consentidos e material de abuso sexual de menores [3]. Descrever o Omnibus como um afrouxamento geral é lê-lo mal.
A par das normas, as orientações continuam incompletas. A página de orientações de alto risco da Comissão, atualizada pela última vez a 6 de julho de 2026, cobre a classificação — como uma organização determina se um sistema é sequer de alto risco — e refere que as orientações sobre as próprias obrigações estão ainda por chegar [4]; quem se prepara hoje trabalha com material em rascunho.
Quanto valem realmente 16 meses
As obrigações que esperam no fim da prorrogação são as mesmas obrigações. A supervisão humana, a monitorização, a conservação de registos e a capacidade de demonstrar cada uma delas quando solicitado continuam a recair sobre o implementador — o banco, o hospital, o organismo público — e não sobre o fornecedor do modelo. Mapeámos essas obrigações para arquiteturas de implantação em EU AI Act em 2026: o que a implantação on-prem altera em matéria de conformidade.
A armadilha é um desfasamento de prazos. Um documento de política, um registo de riscos e um conjunto de procedimentos internos redigem-se num trimestre. Mudar onde ocorre a inferência não. Retirar um fluxo de produção de uma API gerida e passá-lo para inferência operada pelo implementador, encaminhar a auditoria para o seu próprio SIEM e colocar a identidade atrás do seu IdP é um ciclo de compras seguido de um ciclo de implantação, e em setores regulados só o ciclo de compras tem andado nos nove a doze meses. O padrão que o consome está bem documentado: o piloto técnico passa e depois o processo fica parado na conformidade.
Dezasseis meses dão para uma mudança de arquitetura. Não dão para duas, nem dão para uma mais um ano à espera de que as normas assentem.
O fator que ignora o calendário do regulamento
Os requisitos de residência de dados estão a ser escritos nos projetos independentemente de qualquer data de conformidade. Dario Maisto, analista principal da Forrester, descreve compradores que especificam residência de dados e arquitetura de IA soberana logo na fase de planeamento, em vez de a acrescentarem depois como controlo [5]. Os fornecedores europeus detêm cerca de 15% do mercado de infraestrutura cloud da região, e a Gartner espera que a despesa europeia em cloud soberana mais do que triplique entre 2025 e 2027 [5].
São números de mercado, não prazos legais, e é precisamente esse o ponto. Nada no Omnibus alterou onde uma organização quer que os seus prompts sejam processados.
O que faríamos com esta janela
Fazer a mudança de arquitetura agora, numa carga de trabalho que não seja de alto risco, onde um erro custa uma reconstrução e não uma constatação. Deixar o rasto de auditoria acumular-se em utilização real. Quando uma carga do anexo III tiver de ser evidenciada, o percurso de prova estará a funcionar há um ano e a nota de conformidade descreverá algo que já existe.
A AI Suite da Software Tailor executa inferência em hardware operado pelo implementador, e a AI Admin Console é onde se gerem política, licenciamento e auditoria sem conteúdo. Seis clientes Fortune Global 500 nas áreas farmacêutica, financeira, pública, jurídica, defesa e energia operam com esta forma (clientes anteriores).
Um piloto de uma semana no hardware do próprio implementador chega para responder à pergunta que interessa antes de dezembro de 2027: se a prova que uma equipa de conformidade vai pedir pode realmente ser produzida.
Referências
- Comissão Europeia. «AI Act — Regulatory framework on AI.» digital-strategy.ec.europa.eu. Consultado a 2026-08-04. Página atualizada pela última vez a 3 de agosto de 2026.
- Comissão Europeia. «AI Omnibus enters into force.» digital-strategy.ec.europa.eu. Consultado a 2026-08-04. Página atualizada pela última vez a 31 de julho de 2026.
- The Register. «EU hits snooze on AI Act rules after industry backlash.» theregister.com. Publicado a 7 de maio de 2026. Consultado a 2026-08-04.
- Comissão Europeia. «Guidelines for providers and deployers of AI high-risk systems.» digital-strategy.ec.europa.eu. Consultado a 2026-08-04. Página atualizada pela última vez a 6 de julho de 2026.
- The Register. «Tech buyers are baking in sovereignty from day one, says Forrester.» theregister.com. Publicado a 31 de julho de 2026. Consultado a 2026-08-04.
Artigos relacionados
Dezasseis meses são uma mudança de arquitetura. Comece-a.
Um piloto de uma semana no hardware do próprio implementador coloca inferência, auditoria e identidade dentro do perímetro numa carga de trabalho real, para que a prova das obrigações do implementador exista muito antes de 2 de dezembro de 2027 em vez de ser desenhada contra um prazo.