Por que classificar o risco dos seus sistemas de IA agora

A regulamentacao da inteligencia artificial deixou de ser tema de seminarios academicos e se tornou urgencia operacional. Com o AI Act europeu (Regulamento UE 2024/1689) ja em vigor e o PL 2.338/2023 avancando no Congresso brasileiro, toda empresa que desenvolve, implanta ou simplesmente utiliza sistemas de IA precisa responder a uma pergunta aparentemente simples: meus sistemas sao de alto risco?

A resposta, como veremos, raramente e simples. Um chatbot de atendimento ao cliente pode ser classificado como risco minimo em um contexto e alto risco em outro — basta que ele passe a recomendar tratamentos medicos ou influenciar decisoes de credito. Um algoritmo de recomendacao de produtos e inofensivo ate o momento em que comeca a filtrar candidatos em processos seletivos.

Este guia oferece uma arvore de decisao pratica para que gestores de tecnologia, compliance officers e CTOs consigam classificar cada sistema de IA da sua organizacao conforme as duas regulamentacoes mais relevantes para empresas brasileiras. Ao final, voce tera clareza sobre quais obrigacoes se aplicam a cada caso — e o que fazer a partir de agora.

O cenario e urgente: segundo o IBGE (2026), 41,9% das empresas brasileiras com 100 ou mais funcionarios ja utilizam inteligencia artificial. No entanto, a Pesquisa Panorama de IA 2026 revela que apenas 23,7% possuem politicas claras de uso de IA, e 72% ainda estao em estagios iniciais ou experimentais de maturidade. Isso significa que a maioria das empresas esta operando sistemas de IA sem sequer saber se eles se enquadram como alto risco.

AI Act vs. PL 2.338: dois frameworks, logicas diferentes

Antes de classificar seus sistemas, e fundamental entender as diferencas estruturais entre as duas regulamentacoes. Embora ambas adotem uma abordagem baseada em risco, a granularidade e os criterios divergem de formas importantes.

O AI Act europeu: quatro niveis de risco

O Regulamento UE 2024/1689, mais conhecido como AI Act, estabelece quatro niveis de risco para sistemas de IA:

1. Risco inaceitavel (proibido) — Sistemas que violam direitos fundamentais de forma tao grave que sao completamente banidos. Exemplos: social scoring governamental (como o sistema de credito social chines), manipulacao subliminar que cause danos, exploracao de vulnerabilidades de grupos especificos (criancas, idosos, pessoas com deficiencia) e identificacao biometrica remota em tempo real em espacos publicos para fins de policiamento (com excecoes restritas).

2. Alto risco — Sistemas que impactam significativamente a seguranca ou os direitos fundamentais das pessoas. O Anexo III do AI Act lista os dominios especificos, incluindo: infraestrutura critica (energia, transporte, agua), educacao e formacao profissional (admissao, avaliacao), emprego e gestao de trabalhadores (recrutamento, promocao, demissao), servicos essenciais (credito, seguros, servicos publicos), aplicacao da lei, gestao de migracao e administracao da justica. Estes sistemas devem cumprir requisitos rigorosos de gestao de risco, governanca de dados, documentacao tecnica, supervisao humana e transparencia.

3. Risco limitado — Sistemas com obrigacoes de transparencia especificas. Chatbots devem informar que o usuario esta interagindo com uma maquina. Sistemas que geram deepfakes devem rotular o conteudo como artificialmente gerado. Sistemas de reconhecimento de emocoes devem informar sobre essa funcionalidade.

4. Risco minimo — A grande maioria dos sistemas de IA cai nesta categoria. Filtros de spam, recomendadores de conteudo de entretenimento, assistentes de escrita — nenhuma obrigacao regulatoria especifica, apenas boas praticas voluntarias.

O PL 2.338/2023: tres categorias de risco

O projeto de lei brasileiro adota uma estrutura mais enxuta com tres categorias:

1. Risco excessivo (proibido) — Semelhante ao “risco inaceitavel” europeu, inclui social scoring por poder publico, sistemas que explorem vulnerabilidades de grupos especificos para induzir comportamento prejudicial, e armas autonomas que selecionem alvos sem supervisao humana significativa.

2. Alto risco — Sistemas de IA utilizados em areas criticas onde erros ou vieses podem causar danos significativos. O PL 2.338 lista como dominios de alto risco: infraestrutura critica, educacao e formacao profissional, recrutamento e selecao de pessoal, avaliacao de credito (credit scoring), saude, administracao da justica e veiculos autonomos. Estes sistemas devem atender a obrigacoes de avaliacao de impacto algoritmica, documentacao, supervisao humana e auditoria.

3. Risco nao-alto — Todos os demais sistemas de IA. Obrigacoes basicas de transparencia se aplicam: o usuario deve ser informado de que esta interagindo com IA, e os desenvolvedores devem manter documentacao minima. Note que o PL brasileiro nao distingue entre “limitado” e “minimo” como o AI Act — tudo que nao e alto risco entra na mesma categoria.

Tabela comparativa: AI Act vs. PL 2.338

Criterio	AI Act (UE)	PL 2.338 (Brasil)
Niveis de risco	4 (inaceitavel, alto, limitado, minimo)	3 (excessivo, alto, nao-alto)
Proibicoes	Social scoring, manipulacao subliminar, biometria remota em tempo real (com excecoes)	Social scoring publico, exploracao de vulneraveis, armas autonomas sem supervisao
Dominios de alto risco	Listados no Anexo III (infraestrutura critica, educacao, emprego, credito, justica, migracao, aplicacao da lei)	Infraestrutura critica, educacao, recrutamento, credit scoring, saude, justica, veiculos autonomos
Obrigacoes alto risco	Gestao de risco, governanca de dados, documentacao tecnica, supervisao humana, transparencia, ciberseguranca	Avaliacao de impacto algoritmica, documentacao, supervisao humana, auditoria, registro
Transparencia	Nivel “limitado”: obrigatorio informar interacao com IA, rotular deepfakes	Nivel “nao-alto”: obrigatorio informar interacao com IA, documentacao basica
Prazo de conformidade (alto risco)	Ago/2027 (adiado para Ago/2028 pelo Digital Omnibus – UE 2026/1744)	Dependente da aprovacao final e vacatio legis
Escopo territorial	Qualquer sistema oferecido ou que produza efeitos na UE	Qualquer sistema oferecido ou que produza efeitos no Brasil
Penalidades maximas	Ate 35 milhoes de euros ou 7% do faturamento global	Ate 2% do faturamento (teto de R$ 50 milhoes por infracao)
Orgao regulador	AI Office (UE) + autoridades nacionais	Autoridade Nacional de Protecao de Dados (ANPD) como referencia

A arvore de decisao: como classificar cada sistema de IA

Na pratica, classificar um sistema de IA requer uma analise sistematica que considere nao apenas o que o sistema faz, mas onde e como ele e utilizado. A arvore de decisao abaixo pode ser aplicada a qualquer sistema de IA da sua organizacao:

Passo 1: O sistema envolve praticas proibidas?

Verifique se o sistema se enquadra em alguma das proibicoes absolutas:

– O sistema atribui pontuacoes de comportamento social para acesso a servicos publicos?
– Ele manipula pessoas de forma subliminar ou explora vulnerabilidades de grupos especificos (criancas, idosos, pessoas com deficiencia) para alterar comportamento de modo prejudicial?
– Utiliza identificacao biometrica remota em tempo real em espacos publicos para fins de policiamento (AI Act)?
– Funciona como arma autonoma sem supervisao humana significativa (PL 2.338)?

Se SIM para qualquer item: o sistema e de risco inaceitavel/excessivo. Deve ser descontinuado imediatamente. Nao ha caminho de conformidade — a pratica e proibida.

Se NAO: avance para o Passo 2.

Passo 2: O sistema opera em dominio de alto risco?

Compare a finalidade do sistema com os dominios listados nas regulamentacoes. As areas de sobreposicao entre AI Act e PL 2.338 sao:

– Infraestrutura critica: sistemas de controle ou gestao de redes de energia, agua, gas, transporte, telecomunicacoes.
– Educacao: sistemas que determinam admissao, avaliacao, atribuicao de nivel ou deteccao de plagio com consequencias formais.
– Emprego/recrutamento: triagem de curriculos, avaliacao de candidatos, monitoramento de desempenho, decisoes de promocao ou demissao.
– Credit scoring: avaliacao de credito, analise de risco financeiro, decisoes de concessao de emprestimos ou seguros.
– Justica: avaliacao de risco de reincidencia, priorizacao de investigacoes, analise de provas.
– Saude (PL 2.338): diagnostico assistido por IA, recomendacao de tratamento, triagem de pacientes.
– Veiculos autonomos (PL 2.338): sistemas de direcao autonoma em qualquer nivel de automacao.
– Migracao (AI Act): analise de pedidos de asilo, controle de fronteiras, deteccao de documentos falsos.

Se SIM: o sistema e potencialmente de alto risco. Avance para o Passo 3 para confirmar.

Se NAO: avance para o Passo 4.

Passo 3: O sistema impacta direitos ou seguranca de forma significativa?

Mesmo operando em dominio de alto risco, o AI Act reconhece que nem todo sistema em um dominio listado no Anexo III e automaticamente alto risco. Conforme o Artigo 6(3), um sistema em dominio de alto risco pode nao ser classificado como tal se:

– Desempenha uma tarefa processual estreita (ex.: converter dados de um formato para outro sem alterar seu significado).
– Serve para melhorar o resultado de uma atividade humana ja concluida (ex.: revisar gramaticalmente um relatorio ja escrito por um juiz).
– Detecta padroes de decisao sem substituir a avaliacao humana (ex.: sinalizar inconsistencias em formularios para revisao humana).
– Realiza uma tarefa preparatoria para uma avaliacao que sera feita por humanos.

Se o sistema NAO se encaixa em nenhuma dessas excecoes: e alto risco confirmado. Devera cumprir todas as obrigacoes regulatorias aplicaveis.

Se se encaixa nas excecoes: o sistema pode ser classificado como risco limitado ou nao-alto, mas documente essa analise formalmente.

Passo 4: O sistema interage diretamente com pessoas?

Para sistemas que nao sao de alto risco, verifique se ha obrigacoes de transparencia:

– O sistema interage com usuarios de forma conversacional (chatbot, assistente virtual)?
– Gera conteudo sintetico (texto, imagem, audio, video) que pode ser confundido com producao humana?
– Reconhece emocoes ou faz categorizacao biometrica?

Se SIM: classificado como risco limitado (AI Act) ou nao-alto com obrigacoes de transparencia (PL 2.338). Deve informar o usuario sobre a natureza artificial da interacao ou do conteudo.

Se NAO: risco minimo. Nenhuma obrigacao regulatoria especifica, mas recomenda-se seguir codigos de conduta voluntarios e boas praticas.

Os casos cinzentos: quando a classificacao nao e obvia

A teoria regulatoria e elegante. A realidade dos negocios, nem tanto. Existem dezenas de cenarios onde a classificacao de risco e ambigua e depende de detalhes de implementacao que mudam de empresa para empresa. Vamos analisar os mais comuns:

Chatbots: do risco minimo ao alto risco em uma atualizacao

Um chatbot de suporte geral — aquele que responde perguntas sobre horario de funcionamento, status de pedidos ou politica de devolucao — e claramente de risco nao-alto. Sua unica obrigacao e informar o usuario de que esta interagindo com uma inteligencia artificial.

Agora considere o mesmo chatbot em uma clinica medica, configurado para recomendar tratamentos ou triagem de sintomas. A partir do momento em que as respostas do sistema influenciam decisoes de saude, ele migra para o dominio de alto risco — tanto pelo AI Act (servicos essenciais) quanto pelo PL 2.338 (saude).

O perigo esta na evolucao incremental. Uma empresa implanta um chatbot simples e, ao longo dos meses, a equipe de produto adiciona funcionalidades: recomendacoes personalizadas, avaliacao de perfil de risco, sugestoes financeiras. Cada incremento isolado parece inofensivo, mas o acumulado pode cruzar a fronteira do alto risco sem que ninguem perceba.

Regra pratica: sempre que um chatbot passa a influenciar decisoes sobre saude, credito, emprego, educacao ou acesso a servicos essenciais, reclassifique-o como alto risco e avalie a conformidade.

Sistemas de recomendacao: entretenimento vs. decisoes criticas

Algoritmos de recomendacao estao em toda parte. O que diferencia um risco minimo de um alto risco e o impacto da recomendacao na vida do usuario:

– Risco minimo: recomendar filmes na Netflix, produtos no e-commerce, musicas no Spotify. A consequencia de uma recomendacao ruim e assistir a um filme entediante.
– Risco limitado: recomendar noticias ou conteudo politico — pode influenciar opiniao publica, exige transparencia sobre o uso de IA na curadoria.
– Alto risco: recomendar candidatos para vagas de emprego, sugerir perfis de credito, priorizar pacientes em filas de atendimento medico. Aqui, a recomendacao afeta diretamente o acesso a direitos e oportunidades.

Um caso particularmente complexo e o de recomendadores em plataformas de educacao. Se o algoritmo sugere cursos complementares de forma nao vinculante, e risco limitado. Se ele determina o nivel do aluno, seleciona conteudo obrigatorio ou influencia notas, e alto risco.

Credit scoring e deteccao de fraude

Estes sao casos claros de alto risco em ambas as regulamentacoes, mas a implementacao pratica gera duvidas:

– Credit scoring tradicional: alto risco, sem ambiguidade. Determina acesso a credito, seguros e servicos financeiros.
– Deteccao de fraude em transacoes: alto risco. Pode bloquear acesso a recursos financeiros de pessoas legitimas (falsos positivos) e impacta diretamente o exercicio de direitos economicos.
– Deteccao de fraude em e-commerce (chargebacks): zona cinzenta. Se apenas sinaliza transacoes suspeitas para revisao humana, pode ser considerado tarefa preparatoria (excecao do AI Act). Se bloqueia automaticamente a transacao, e alto risco.

A distincao critica e: o sistema toma a decisao final ou apenas subsidia uma decisao humana? Se ha um ser humano revisando cada caso antes da decisao, o sistema pode ser descaracterizado como alto risco pelo AI Act (Art. 6(3)). Mas atencao: se o volume de decisoes e tao alto que a supervisao humana se torna meramente formal (o humano aprova 99% das recomendacoes da maquina sem analise real), a supervisao nao e genuina e o sistema continua sendo alto risco.

Ferramentas de RH e recrutamento: o caso mais sensivel

Sistemas de IA aplicados a recursos humanos sao universalmente classificados como alto risco, e por bons motivos. Um estudo da Harvard Business School estimou que 27 milhoes de candidatos qualificados foram eliminados por vieses algoritmicos nos EUA — sistemas que rejeitavam automaticamente curriculos com gaps de emprego, mudancas frequentes de carreira ou ausencia de diplomas especificos, filtrando candidatos perfeitamente capazes.

Ate 2026, estima-se que 30-40% da triagem inicial em grandes empresas e mediada por algoritmos. O impacto e desproporcional sobre grupos historicamente desfavorecidos no mercado de trabalho: mulheres, pessoas negras, profissionais acima de 45 anos, PCDs.

Exemplos de sistemas de RH de alto risco:

– Triagem automatica de curriculos (ATS com IA)
– Avaliacao de video-entrevistas por IA (analise de expressoes faciais, tom de voz)
– Scoring de candidatos com base em dados de redes sociais
– Monitoramento de produtividade com decisoes automatizadas (promocao, demissao)
– Ferramentas de people analytics que influenciam alocacao de equipes

Exemplos que podem nao ser alto risco (por se enquadrarem nas excecoes de tarefa processual):

– IA que agenda entrevistas automaticamente (tarefa processual)
– Chatbot que responde perguntas dos candidatos sobre beneficios (transparencia)
– IA que formata curriculos em um template padrao (conversao de formato)

IA generativa: o coringa regulatorio

Modelos de IA generativa como GPT-4, Claude e Gemini criam um desafio unico para classificacao de risco. O modelo em si e de proposito geral — nao e intrinsecamente alto risco. Mas a aplicacao especifica dele pode ser.

O AI Act trata modelos de IA de proposito geral (GPAI) em capitulo separado, com obrigacoes proporcionais ao “risco sistemico” do modelo. Para empresas que utilizam esses modelos (em vez de desenvolve-los), a classificacao depende da aplicacao:

– Usar GPT-4 para gerar textos de marketing: risco limitado (obrigacao de rotular conteudo como gerado por IA).
– Usar GPT-4 para analisar curriculos e recomendar candidatos: alto risco.
– Usar Claude para auxiliar juizes na analise de jurisprudencia: alto risco.
– Usar Gemini para recomendar investimentos personalizados: alto risco (servicos financeiros).
– Usar IA generativa para gerar relatorios internos resumindo dados: risco minimo.

A mensagem e clara: a classificacao de risco e da aplicacao, nao da tecnologia. O mesmo modelo pode ser risco minimo em um contexto e alto risco em outro.

O que muda com o Digital Omnibus: prazos adiados, nao obrigacoes

Em junho de 2026, a Uniao Europeia publicou o Regulamento UE 2026/1744, conhecido como Digital Omnibus, que ajustou os prazos de conformidade de diversas regulamentacoes digitais, incluindo o AI Act. As obrigacoes para sistemas de alto risco, originalmente previstas para agosto de 2027, foram adiadas para agosto de 2028.

E fundamental entender o que isso significa — e o que nao significa:

O que mudou: empresas tem mais tempo para se adequar aos requisitos tecnicos e operacionais (gestao de risco, documentacao, sistemas de supervisao humana, auditorias). O prazo anterior era considerado agressivo demais, especialmente para PMEs.

O que NAO mudou: as proibicoes de praticas de risco inaceitavel ja estao em vigor desde fevereiro de 2025. As obrigacoes de transparencia para sistemas de risco limitado continuam validas desde agosto de 2025. E, crucialmente, a classificacao de risco nao mudou — o que e alto risco continua sendo alto risco.

Para empresas brasileiras, o adiamento europeu representa uma janela de oportunidade: tempo para fazer o inventario de sistemas, classificar riscos e iniciar o programa de conformidade antes que tanto o AI Act quanto o PL 2.338 exijam a implementacao completa. Quem comeca agora tera vantagem competitiva — e evitara a corrida de ultima hora que inevitavelmente inflaciona custos de consultoria e implementacao.

Guia pratico: como fazer o inventario e classificacao de IA na sua empresa

Identificar se um sistema de IA especifico e alto risco e apenas o primeiro passo. O desafio real para a maioria das organizacoes e saber quantos e quais sistemas de IA existem em operacao. O fenomeno da “shadow AI” — uso de ferramentas de IA por funcionarios sem conhecimento ou aprovacao da TI — torna o inventario particularmente complexo.

Fase 1: Descoberta e inventario

O primeiro passo e mapear todos os sistemas de IA em uso na organizacao, incluindo:

– Sistemas desenvolvidos internamente: modelos de ML treinados pela equipe de dados, algoritmos proprietarios, automacoes com componentes de IA.
– Sistemas terceirizados: APIs de IA contratadas (OpenAI, Google Cloud AI, AWS SageMaker), plataformas SaaS com funcionalidades de IA embarcada (CRM com lead scoring, ERP com previsao de demanda).
– Shadow AI: uso informal de ChatGPT, Copilot, Midjourney e similares por funcionarios para tarefas do dia a dia.
– Sistemas legados: algoritmos de decisao automatizada que podem nao ser chamados de “IA” mas se enquadram na definicao regulatoria (regras de negocio complexas com componentes estatisticos).

Para cada sistema identificado, registre: nome, fornecedor, area de negocio que utiliza, tipo de dados processados, finalidade, nivel de automacao da decisao (sugestao vs. decisao autonoma), volume de pessoas afetadas e data de implantacao.

Fase 2: Classificacao de risco

Com o inventario em maos, aplique a arvore de decisao descrita anteriormente a cada sistema. Para casos cinzentos, documente a justificativa da classificacao adotada, incluindo a analise de qual excecao do Art. 6(3) do AI Act se aplica (se aplicavel).

Organize os resultados em uma matriz que cruza a classificacao sob o AI Act com a classificacao sob o PL 2.338. Empresas que operam tanto no Brasil quanto na Europa — ou que atendem clientes europeus — devem considerar a classificacao mais restritiva.

Fase 3: Gap analysis e priorizacao

Para cada sistema classificado como alto risco, avalie quais obrigacoes regulatorias ja sao atendidas e quais demandam acao. As principais dimensoes de conformidade sao:

– Gestao de risco: existe um processo documentado de identificacao, avaliacao e mitigacao de riscos especificos do sistema?
– Governanca de dados: os dados de treinamento sao documentados? Houve avaliacao de vieses? Os criterios de selecao e limpeza estao registrados?
– Documentacao tecnica: existe documentacao atualizada sobre arquitetura, desempenho, limitacoes e instrucoes de uso?
– Supervisao humana: ha mecanismos efetivos para que humanos monitorem, intervenham e sobreponham decisoes do sistema?
– Transparencia: usuarios e afetados sao informados sobre o uso de IA e seus impactos?
– Avaliacao de impacto algoritmica: foi realizada uma avaliacao formal do impacto do sistema sobre direitos fundamentais (exigida pelo PL 2.338)?

Priorize a remediacao pelos sistemas com maior impacto potencial (volume de pessoas afetadas x gravidade da consequencia de erro) e pelo gap de conformidade (quantas obrigacoes ainda nao sao atendidas).

Fase 4: Implementacao e monitoramento continuo

A classificacao de risco nao e um exercicio pontual. O AI Act exige que provedores de sistemas de alto risco implementem um sistema de gestao de risco continuo — atualizado ao longo de todo o ciclo de vida do sistema de IA. Isso inclui:

– Reavaliacao periodica de risco (recomendado: a cada 6 meses ou apos mudancas significativas no sistema).
– Monitoramento pos-implantacao com metricas de desempenho, fairness e drift.
– Registro de incidentes e reclamacoes.
– Atualizacao da documentacao tecnica a cada nova versao do modelo.
– Auditoria independente (interna ou externa) para sistemas de maior criticidade.

A norma ISO/IEC 42001:2023, publicada em dezembro de 2023, oferece um framework de referencia para sistemas de gestao de IA que se alinha naturalmente com os requisitos do AI Act e do PL 2.338. Empresas que buscam certificacao ISO 42001 estarao, na pratica, atendendo a grande parte das obrigacoes regulatorias de alto risco.

Exemplos reais de classificacao: do chatbot ao veiculo autonomo

Para consolidar os conceitos, vamos classificar sistemas de IA comuns no mercado brasileiro usando a arvore de decisao:

Sistema de IA	AI Act	PL 2.338	Justificativa
Chatbot de suporte ao cliente (FAQ, status de pedido)	Risco limitado	Nao-alto	Interacao com usuario, mas sem impacto em direitos. Deve informar que e IA.
Chatbot que recomenda tratamentos medicos	Alto risco	Alto risco	Dominio de saude. Decisoes podem impactar integridade fisica.
Recomendador de produtos no e-commerce	Risco minimo	Nao-alto	Impacto limitado. Recomendacao ruim = experiencia ruim, nao violacao de direitos.
Credit scoring para concessao de emprestimos	Alto risco	Alto risco	Listado explicitamente em ambas regulamentacoes. Impacta acesso a credito.
Triagem automatica de curriculos (ATS com IA)	Alto risco	Alto risco	Dominio de recrutamento. 27M de candidatos eliminados por vieses nos EUA.
IA de deteccao de fraude em cartao de credito	Alto risco	Alto risco	Pode bloquear acesso a recursos financeiros. Falsos positivos causam danos reais.
Filtro de spam em e-mail corporativo	Risco minimo	Nao-alto	Tarefa processual. Impacto limitado. Nao afeta direitos fundamentais.
IA para diagnostico de imagens medicas	Alto risco	Alto risco	Dominio de saude. Erro pode retardar tratamento critico.
Assistente de escrita (sugestoes de texto)	Risco limitado	Nao-alto	Conteudo gerado por IA, obrigacao de transparencia. Impacto limitado.
Sistema de direcao autonoma (nivel 3+)	Alto risco	Alto risco	Seguranca fisica. Listado explicitamente no PL 2.338.
People analytics com decisao de promocao	Alto risco	Alto risco	Dominio de emprego. Decisao automatizada sobre carreira do trabalhador.
Gerador de imagens para marketing	Risco limitado	Nao-alto	Conteudo sintetico. Obrigacao de rotular como gerado por IA.

O papel da software house na conformidade de IA

A complexidade da classificacao de risco expoe uma realidade incomoda: a maioria das empresas nao tem, internamente, a combinacao de competencias tecnicas e juridicas necessarias para conduzir esse processo de forma robusta. O inventario de IA exige conhecimento profundo de arquiteturas de software, pipelines de dados e modelos de ML. A classificacao regulatoria demanda interpretacao juridica das normas. A implementacao de conformidade requer engenharia de software especializada — logging, auditoria, mecanismos de supervisao humana, documentacao tecnica estruturada.

E nesse ponto que uma software house com experiencia em IA e regulamentacao se torna um parceiro estrategico. Diferente de uma consultoria puramente juridica (que sabe o que a lei exige mas nao como implementar) ou de uma equipe interna de TI generalista (que sabe programar mas pode nao dominar os nuances regulatorios), uma software house como a Mind Group reune as duas capacidades.

A Mind Group, como software house brasileira especializada em projetos sob medida com integracao de inteligencia artificial, ja conduziu inventarios e classificacoes de IA para clientes de diferentes setores. Essa experiencia pratica — construindo sistemas como o LawrAI (plataforma de IA juridica com mais de 20.000 usuarios) e integrando IA em projetos para grandes corporacoes — permite uma classificacao mais precisa, porque a equipe entende a engenharia por tras de cada sistema e sabe distinguir, na pratica, quando um algoritmo ultrapassa a fronteira do alto risco.

Jose Goncalves, CEO da Mind Group, explica: “A classificacao de risco nao e um exercicio teorico — e uma decisao de engenharia. Quando construimos um sistema de IA para um cliente, a primeira pergunta que fazemos e: qual decisao esse sistema vai influenciar? Se a resposta envolve credito, emprego, saude ou seguranca, todo o projeto precisa ser desenhado desde o inicio com os requisitos de alto risco em mente. Retrofitar conformidade em um sistema que ja esta em producao custa tres vezes mais do que construir certo desde o comeco.”

Checklist executivo: proximos passos para sua empresa

Com base no que foi apresentado, aqui esta um roteiro pratico para gestores e CTOs que precisam iniciar o processo de classificacao de risco dos sistemas de IA:

Curto prazo (proximo mes):

1. Forme um grupo de trabalho multidisciplinar (TI, juridico, compliance, areas de negocio que usam IA).
2. Inicie o inventario de sistemas de IA — comece pelas areas de maior risco regulatorio (RH, credito, saude, atendimento ao cliente).
3. Mapeie o uso de shadow AI na organizacao (pesquisa interna sobre ferramentas usadas sem aprovacao formal).

Medio prazo (1-3 meses):

4. Aplique a arvore de decisao a cada sistema identificado e documente a classificacao.
5. Conduza uma gap analysis para sistemas de alto risco: quais obrigacoes ja sao atendidas? Quais demandam implementacao?
6. Priorize a remediacao por impacto e gap.
7. Avalie a necessidade de parceiro externo (software house ou consultoria) para implementacao tecnica.

Longo prazo (3-12 meses):

8. Implemente mecanismos de supervisao humana, logging e auditoria para sistemas de alto risco.
9. Desenvolva documentacao tecnica conforme requisitos regulatorios.
10. Estabeleca processo de reavaliacao periodica (semestral).
11. Considere certificacao ISO/IEC 42001:2023 como framework estruturante.
12. Monitore a evolucao legislativa — tanto o PL 2.338 no Brasil quanto o AI Act apos o Digital Omnibus.

Conclusao: classificar e o primeiro passo, nao o ultimo

A regulamentacao de IA nao e uma ameaca — e um framework que traz previsibilidade. Empresas que classificam seus sistemas de IA corretamente, implementam governanca desde a concepcao e documentam suas decisoes estarao em posicao privilegiada: nao apenas em conformidade com a lei, mas com uma vantagem competitiva real, porque seus clientes e parceiros sabem que a IA da organizacao foi construida com responsabilidade.

O pior cenario nao e descobrir que voce tem um sistema de alto risco — e nao saber que tem. Com 41,9% das empresas brasileiras ja usando IA e apenas 23,7% com politicas claras, a janela para se antecipar a regulamentacao esta aberta, mas nao ficara assim para sempre.

Se sua empresa precisa de apoio para realizar o inventario de IA, classificar riscos e implementar conformidade regulatoria desde a arquitetura dos seus sistemas, a Mind Group pode ajudar. Como software house especializada em projetos sob medida com IA, combinamos a competencia tecnica de quem constroi sistemas complexos com o conhecimento regulatorio de quem acompanha a evolucao do AI Act e do PL 2.338 desde o inicio.

Fale com a Mind Group e inicie o processo de classificacao e conformidade de IA da sua organizacao.

Perguntas frequentes

Minha empresa usa ChatGPT internamente. Isso e considerado alto risco?

Depende de como o ChatGPT e utilizado. Se os funcionarios usam para redigir e-mails, resumir documentos ou gerar ideias de marketing, o uso e classificado como risco limitado (obrigacao de transparencia sobre conteudo gerado por IA) ou minimo. No entanto, se o ChatGPT e integrado a processos de decisao sobre credito, recrutamento, saude ou educacao — por exemplo, analisando curriculos ou gerando laudos medicos —, a aplicacao se torna alto risco, independentemente de ser uma ferramenta de terceiros. A classificacao de risco e sobre a aplicacao, nao sobre a ferramenta.

O PL 2.338 ja esta em vigor no Brasil?

Ate agosto de 2026, o PL 2.338/2023 ainda esta em tramitacao no Congresso Nacional. Ja foi aprovado pelo Senado e esta em analise na Camara dos Deputados. Mesmo antes da aprovacao final, preparar-se e estrategico por tres razoes: primeiro, a LGPD (Lei 13.709/2018) ja impoe obrigacoes sobre decisoes automatizadas (Art. 20); segundo, o texto do PL 2.338 esta relativamente consolidado e as categorias de risco provavelmente serao mantidas; terceiro, o AI Act europeu ja esta em vigor e afeta qualquer empresa que atende clientes na UE ou processa dados de cidadaos europeus.

Qual a diferenca entre o AI Act e o PL 2.338 na classificacao de risco?

A principal diferenca estrutural e que o AI Act tem quatro niveis de risco (inaceitavel, alto, limitado e minimo), enquanto o PL 2.338 tem tres (excessivo, alto e nao-alto). Na pratica, o PL brasileiro unifica os niveis “limitado” e “minimo” do AI Act em uma unica categoria “nao-alto”, simplificando a classificacao, mas tornando as obrigacoes de transparencia menos granulares. Outra diferenca importante: o PL 2.338 inclui explicitamente saude e veiculos autonomos como dominios de alto risco, enquanto o AI Act trata esses temas de forma mais indireta (atraves do Anexo III e da legislacao setorial europeia de produtos). Por fim, o PL brasileiro nao tem um capitulo separado para modelos de proposito geral (GPAI), que e uma inovacao do AI Act.

Preciso contratar uma consultoria externa para fazer a classificacao de risco?

Nao necessariamente, mas depende da complexidade do seu portfolio de IA e da maturidade interna da sua organizacao. Se sua empresa tem poucos sistemas de IA, todos claramente em dominios de baixo risco, o processo pode ser conduzido internamente com apoio juridico. No entanto, se voce tem sistemas em dominios de alto risco (credito, recrutamento, saude), multiplos fornecedores de IA, ou precisa implementar mecanismos tecnicos de conformidade (logging, auditoria, supervisao humana), contar com uma software house especializada em IA e regulamentacao acelera significativamente o processo e reduz o risco de classificacoes incorretas. Lembre-se: uma classificacao errada — especialmente subestimar o risco de um sistema — pode resultar em multas de ate 35 milhoes de euros (AI Act) ou R$ 50 milhoes (PL 2.338).

Fontes e referencias

Parlamento Europeu e Conselho da Uniao Europeia. Regulamento (UE) 2024/1689 — Artificial Intelligence Act. Jornal Oficial da UE, 2024.

Senado Federal do Brasil. Projeto de Lei n. 2.338/2023 — Marco Legal da Inteligencia Artificial. Brasilia, 2023.

Parlamento Europeu e Conselho da Uniao Europeia. Regulamento (UE) 2026/1744 — Digital Omnibus. Jornal Oficial da UE, 2026.

IBGE — Instituto Brasileiro de Geografia e Estatistica. Pesquisa de Inovacao Tecnologica: adocao de IA por empresas brasileiras, 2026.

Pesquisa Panorama de IA 2026. Maturidade e politicas de uso de inteligencia artificial nas empresas brasileiras, 2026.

Fuller, J.; Raman, M.; et al. “Hidden Workers: Untapped Talent.” Harvard Business School, 2021.

ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system. International Organization for Standardization, 2023.

AI Act, Artigo 6(3) — Excecoes para classificacao de sistemas de alto risco. Regulamento (UE) 2024/1689.

AI Act, Anexo III — Lista de dominios de alto risco. Regulamento (UE) 2024/1689.