São quatro frentes de obrigação. Sistemas que interagem diretamente com pessoas, como chatbots, precisam informar que o interlocutor é uma máquina. Deepfakes em imagem, vídeo e áudio devem ser rotulados. Conteúdo gerado ou alterado por IA precisa carregar marcação legível por máquina, que permita detecção automática. A quarta frente alcança reconhecimento de emoções, categorização biométrica e textos sobre assuntos de interesse público publicados sem revisão humana.

O ponto que mais muda a rotina das empresas não é a lista de obrigações, e sim quem responde por elas. O Artigo 50 é o trecho de aplicação mais ampla de toda a lei, porque alcança não só quem fornece o sistema de IA, mas também quem apenas o utiliza, incluindo empresas, organizações e órgãos públicos. Na prática, qualquer organização que comunique externamente pode ser atingida, de veículos de mídia e anunciantes a agências, marcas e áreas de comunicação corporativa. A responsabilidade pela marcação técnica fica com o fornecedor. A responsabilidade pelo rótulo visível fica com quem publica.

Para reduzir a insegurança sobre como cumprir a regra, a Comissão criou um código de conduta de adesão voluntária. Cerca de 190 organizações assinaram antes da entrada em vigor, e metade são empresas pequenas e recentes. Assinar permite usar o código para demonstrar conformidade com as obrigações de marcação e rotulagem, independentemente do país onde a empresa opera. O texto exige registro da informação em metadados assinados digitalmente e com carimbo de tempo, além de marca d’água imperceptível, e pede que os signatários ofereçam mecanismo público de detecção.

O que vem pela frente

O calendário ainda tem etapas relevantes. Sistemas generativos já disponíveis antes de 2 de agosto têm até dezembro de 2026 para implementar a marcação técnica. Deepfakes gerados antes dessa data não precisam de rotulagem retroativa. Em 2 de dezembro entram em vigor novas proibições, que alcançam sistemas capazes de gerar conteúdo sexual sem consentimento e material de abuso sexual infantil.

A parte mais pesada da lei ficou para depois. O pacote Digital Omnibus, publicado como Regulamento 2026/1744 em 27 de julho, adiou os prazos de alto risco. Sistemas do Anexo III, usados em recrutamento, crédito, educação, segurança pública e fronteiras, têm dezembro de 2027 como novo prazo. Os embarcados em produtos regulados, como dispositivos médicos e veículos, ficaram para agosto de 2028. O adiamento respondeu a dois gargalos de implementação: a demora dos países em designar autoridades nacionais e o atraso das normas técnicas harmonizadas necessárias para provar conformidade. As entidades europeias de normalização miraram o fim de 2026 para entregar esses padrões.

Comparativo com o Brasil

O PL 2338 segue na Câmara aguardando o parecer do relator e adota a mesma arquitetura por camadas de risco do modelo europeu. A diferença de estágio permite ao Brasil observar onde a experiência europeia travou. Um levantamento do serviço de pesquisa do Parlamento Europeu apontou em março que 8 dos 27 países haviam designado seu ponto de contato para a aplicação da lei, apesar de o prazo legal ter vencido em agosto de 2025.

O alcance da regra também interessa a empresas brasileiras. A lei se aplica a qualquer organização cujos sistemas de IA sejam usados no bloco ou cujos resultados afetem cidadãos, empresas e instituições públicas europeias. Exportadores, agências com clientes na Europa e plataformas com usuários no bloco já estão no escopo, independentemente do andamento da regulação nacional.

O post UE começa a exigir identificação de conteúdo gerado por IA apareceu primeiro em Europa | Brasil.