O EU AI Act pode alcançar sua empresa sem escritório na Europa

O endereço da sede não é o que decide

Sou auditor de sistemas críticos, e a primeira coisa que preciso desfazer quando alguém me pergunta se o EU AI Act vale para uma empresa brasileira é essa ideia de que a lei pede escritório na Europa. Não pede. O Artigo 2 define o escopo territorial por três gatilhos, e nenhum deles é o endereço da sede.
O primeiro gatilho: você coloca um sistema de IA ou um modelo de propósito geral no mercado europeu, direto ou por distribuidor. Se sim, você é fornecedor sob o regulamento, esteja onde estiver. O segundo, mais esquecido: o resultado produzido pelo seu sistema é usado dentro da União Europeia, mesmo que a venda, o contrato e o pagamento aconteçam inteiramente fora dela. O critério é o uso do resultado, não o local da transação.
Existe uma terceira situação que não está escrita no Artigo 2, mas produz o mesmo efeito na mesa de quem decide: você fornece um modelo, um dataset ou um componente que um cliente europeu integra num sistema que ele próprio coloca no mercado da União. Quem está formalmente no escopo, nesse caso, é o cliente, não você. Só que ele, para cumprir a própria obrigação de due diligence, vai exigir de você evidência de conformidade por contrato.

O contrato chega antes da multa

Aqui está o ponto central que eu vejo confundido com mais frequência: para quem opera fora da União Europeia, o EU AI Act funciona por pressão contratual antes de funcionar por fiscalização direta. A Comissão Europeia fiscaliza quem está na União. Quem está fora sente o regulamento através de quem compra.
Isso não torna o risco menor. Torna o risco mais difícil de nomear, porque ele chega disfarçado de cláusula contratual, não de autuação. E o custo real quase nunca é a multa do Artigo 99, que chega a 7% do faturamento global no papel, mas que a Comissão só executa fora da União por cooperação internacional, quando existe bem ou representante para alcançar. Cobrar isso de quem não tem nenhum dos dois é outra história. O custo que eu vejo acontecer de verdade é o cliente europeu que não renova porque a due diligence não teve resposta, ou o fornecedor que perde a concorrência porque o concorrente já tinha a política e o inventário documentados.

O prazo mudou, e isso também muda a conversa

O terceiro ponto que entra em toda decisão sobre isso é o calendário, porque ele mudou em 2026. O Regulamento (UE) 2026/1744, o Digital Omnibus, entrou em vigor em 27 de julho de 2026 e empurrou a aplicação plena das obrigações de alto risco do Anexo III, sistema autônomo, de agosto de 2026 para dezembro de 2027. Para IA embutida em produto já regulado, o prazo foi para agosto de 2028. As obrigações de transparência do Artigo 50 não foram adiadas, e isso costuma passar batido em quem só leu a manchete do adiamento.
Eu trataria esse prazo extra como tempo para organizar inventário e política com calma, não como motivo para adiar o começo do trabalho. Quem só começa a levantar os próprios sistemas em 2027 vai correr o mesmo risco de sempre, só que com menos tempo de sobra.

A quarta situação: quem distribui modelo sem saber quem vai usar

Existe um caso que eu trato separado dos outros três, porque a confusão nele é maior: o fornecedor de modelo de propósito geral, o chamado GPAI, que licencia o próprio modelo para quem quiser integrar, sem saber de antemão quem vai usar o quê nem onde. Para esse fornecedor, o Artigo 2 se aplica no momento em que ele coloca o modelo no mercado europeu, por canal próprio ou por qualquer distribuidor, independente de quantos passos existam entre ele e o usuário final dentro da União. Uma empresa brasileira que licencia um modelo de linguagem para qualquer integrador que queira pagar por ele pode descobrir, meses depois, que uma fração relevante do uso comercial vem de integradores europeus que nem existiam quando o contrato original foi fechado.

EU AI Act e PL 2338: dois calendários diferentes

Confundir essas duas leis leva a decisão errada nos dois sentidos. O EU AI Act já está em vigor, por fases, desde 2024, com o efeito extraterritorial que descrevi acima. O PL 2338 foi aprovado pelo Senado em dezembro de 2024 e, em novembro de 2026, continua tramitando na Câmara dos Deputados, sem data definida para votação em plenário. Nada nele obriga ninguém hoje, porque projeto de lei não é lei. Quem só olha o calendário brasileiro para decidir quando organizar a própria operação de IA está lendo o calendário errado: o que já cobra por contrato, hoje, é o europeu.

O exemplo que mostra o mecanismo inteiro

Uma empresa brasileira de médio porte vende um modelo de classificação de risco para um banco europeu, que o integra num sistema de concessão de crédito classificado como alto risco pelo próprio AI Act. O banco está diretamente no escopo. A empresa brasileira não está, pelo Artigo 2. Mas recebe do banco um questionário de due diligence com data de resposta: documentação de dados de treino, registro de testes, avaliação de viés.
Nenhuma multa europeia chega à empresa brasileira nesse cenário. O contrato chega primeiro, e decide se o pedido do ano seguinte existe. É esse mecanismo, repetido em setores diferentes, que faz o EU AI Act alcançar quem nunca vendeu diretamente para a Europa.

O que eu faria antes de qualquer coisa

Antes de discutir multa ou advogado europeu, eu começaria pelo levantamento: listar os sistemas de IA em uso na empresa, marcar quais produzem resultado consumido na União Europeia ou alimentam cliente de lá, e só depois decidir se o esforço é jurídico, contratual ou os dois. Isso vale tanto para quem já sabe que vende para a Europa quanto para quem acha que não vende e nunca checou.
Se um cliente europeu te mandasse hoje um questionário de due diligence sobre IA, a lista de sistemas já estaria pronta, ou alguém precisaria descobrir na hora quais deles decidem algo que chega lá?
Este texto é uma versão condensada de uma análise mais longa que publiquei em https://iso42001.com.br/artigos/eu-ai-act-empresa-brasileira/