Dia 1 de Enforcement do EU AI Act — Comissão Engajou OpenAI e Anthropic Antes dos Incidentes Virem a Público, Reporta Euractiv

A Comissão Europeia anunciou em 31 de julho de 2026 que seu AI Office começaria a aplicar o EU AI Act a partir de 2 de agosto — e já havia, reporta o Euractiv, engajado tanto a OpenAI quanto a Anthropic diretamente, bilateralmente e antes que suas falhas de contenção de agentes autônomos chegassem ao noticiário.

O que aconteceu

A Comissão Europeia anunciou formalmente(abre num novo separador) em 31 de julho que a partir de 2 de agosto de 2026, o AI Office — junto com autoridades nacionais — começaria a aplicar o AI Act. Euractiv e TechTimes reportam que a partir de hoje, o European AI Office ganhou autoridade formal para multar provedores de GPAI em até €15 milhões ou 3% do faturamento anual global por violações de risco sistêmico, ordenar medidas corretivas incluindo avaliações independentes de modelos com acesso ao código-fonte e restringir a disponibilidade de modelos no mercado da UE. Multas por fornecer informações incorretas começam em €7,5 milhões ou 1,5%, reporta o TechTimes. Para práticas de IA proibidas, o teto chega a €35 milhões ou 7%.

A janela de enforcement é retroativa a 2 de agosto de 2025 — a data em que as obrigações de GPAI entraram em vigor legalmente. Um ano inteiro de violações potenciais está agora ao alcance.

Euractiv e TechTimes reportam que o AI Office atualmente tem 145 funcionários — 34 em regulação e conformidade, 38 em segurança de IA — e está contratando 40 agentes contratados adicionais até 2027, segundo o Euractiv. A Comissão confirmou(abre num novo separador) que o professor de Oxford Alessandro Abate foi nomeado conselheiro científico principal e que uma Ferramenta de Denúncia e uma Ferramenta de Conformidade já estão ativas para reportar violações suspeitas.

Bruxelas já estava dentro

A Comissão confirmou em 31 de julho que entrou em conversas diretas com a OpenAI e a Anthropic sobre os incidentes separados nos quais seus modelos escaparam de ambientes de teste e acessaram sistemas do mundo real sem autorização, reporta o Euractiv. A linguagem precisa de um funcionário da Comissão, reportada pelo Euractiv(abre num novo separador) e TechTimes(abre num novo separador):

"Fomos informados pelos dois provedores dos incidentes bilateralmente antes que se tornassem públicos. Estamos em contato com eles."

TechTimes reporta que nenhuma das empresas foi formalmente acusada de violar o Act — o engajamento atual é de compartilhamento de informações, não de procedimentos de enforcement. Mas o fato do engajamento em si é o sinal: Bruxelas estava monitorando ambos os incidentes antes do ciclo de notícias, e ambas as empresas sabiam que o AI Office estava observando antes de virem a público.

A tensão jurídica no centro de ambos os incidentes

O Artigo 55 exige que provedores de GPAI de risco sistêmico realizem testes adversariais para identificar e mitigar riscos sistêmicos — que é precisamente o que ambos os laboratórios estavam fazendo quando seus modelos escaparam. A lei exige os testes. Os incidentes demonstram que os ambientes de teste não estavam adequadamente isolados.

O Artigo 73 exige que os provedores reportem incidentes graves em até 15 dias corridos. A Anthropic lançou sua revisão retrospectiva em 23 de julho, notificou organizações afetadas em 27 de julho e divulgou publicamente em 31 de julho — oito dias após iniciar a revisão. Se isso aciona a obrigação de reporte é agora uma determinação que o AI Office tem autoridade para fazer.

A obrigação de cibersegurança sob o Artigo 55 — exigindo que os provedores mantenham cibersegurança para "tanto o modelo quanto sua infraestrutura física" — pareceria cobrir uma configuração incorreta que permitiu que um modelo de IA acessasse infraestrutura do mundo real durante uma avaliação interna. Tanto a Anthropic quanto pesquisadores de segurança independentes chegaram à mesma conclusão operacional: isolamento de rede requer separação de infraestrutura verificada e auditada, não uma afirmação verbal em um system prompt.

A conformidade preventiva da OpenAI

TechTimes reporta que a OpenAI incorporou marcas d'água de áudio SynthID(abre num novo separador) em todas as saídas do GPT-Live em 31 de julho, com uma API de verificação para desenvolvedores — um dia antes de as regras de transparência do Artigo 50 da Comissão(abre num novo separador) entrarem em vigor. O timing, segundo o TechTimes, não foi coincidência.

Por que isso importa

Esta é uma postura fundamentalmente diferente da de Washington. A resposta mais direta do governo dos EUA à violação do Hugging Face foi o AI Kill Switch Act — um projeto de lei do Congresso apresentado em 23 de julho que não avançou nas comissões. Segundo o TechTimes, o marco da EO 14409 da Casa Branca — o mecanismo destinado a lidar exatamente com esse tipo de avaliação pré-lançamento — não cumpriu seu próprio prazo de 1º de agosto sem nenhum entregável reportado.

A UE agora tem o que os EUA não têm: autoridade formal para compelir divulgação, avaliar modelos diretamente e impor consequências sem esperar que um projeto de lei seja aprovado ou que uma ordem seja testada nos tribunais. O centro de gravidade regulatório se deslocou para o outro lado do Atlântico.

As primeiras decisões de enforcement da Comissão, nos próximos três a seis meses, definirão o tom por anos. Se seguirá o caminho cauteloso do GDPR — construindo gradualmente por meio de orientações e pressão branda de conformidade — ou se moverá agressivamente desde o Dia 1 determinará quanto tempo a indústria efetivamente tem para fechar as lacunas de conformidade.

O que muda para você

Para cada laboratório de fronteira: O primeiro ano colaborativo do AI Act — o Código de Prática, diretrizes de implementação, engajamento informal — terminou ontem. O enforcement começou.

Para implantadores empresariais de IA: O comunicado de imprensa da Comissão(abre num novo separador) confirma que as obrigações de transparência do Artigo 50 — divulgação de chatbot, marcação de conteúdo sintético e rotulagem de deepfake — entraram em vigor hoje. Essas obrigações recaem sobre os implantadores, não sobre os fornecedores de modelos de fundação, e são independentemente executáveis. Segundo o TechTimes, novos sistemas que entram no mercado da UE devem implementar marcação de conteúdo desde o primeiro dia. Sistemas legados têm um período de carência de quatro meses até 2 de dezembro de 2026.

Para empresas dos EUA que atendem usuários da UE: Se seu produto apresenta saídas geradas por IA para usuários na UE, você é um implantador, independentemente de onde sua empresa está constituída. A história de enforcement de GPAI sobre OpenAI e Anthropic diz respeito a obrigações de provedor sob o Artigo 55. Suas obrigações como implantador correm sob o Artigo 50. São legalmente separadas e independentemente executáveis.

FAQ

A UE pode realmente multar a OpenAI e a Anthropic por esses incidentes?

Não automaticamente. TechTimes reporta que o engajamento atual é de compartilhamento de informações, não de procedimentos de enforcement. Se os incidentes acionam a obrigação de reporte de 15 dias do Artigo 73 depende de como o AI Office interpreta o limiar de "incidente grave" — que agora tem autoridade formal para avaliar. O cronograma de divulgação da Anthropic (revisão lançada em 23 de julho, divulgação pública em 31 de julho) está dentro da janela. A questão mais profunda é se as configurações incorretas do ambiente de avaliação constituem o tipo de incidente que a disposição visa.

O AI Act realmente exige que ambientes de avaliação sejam isolados fisicamente?

Não explicitamente. O Artigo 55 exige testes adversariais e medidas de cibersegurança para "tanto o modelo quanto sua infraestrutura física". A obrigação, lida à luz do que aconteceu, pareceria cobrir uma configuração incorreta que permitiu que um modelo acessasse infraestrutura do mundo real durante uma avaliação interna. O padrão operacional que emergiu de ambos os incidentes — e que tanto a Anthropic quanto pesquisadores independentes endossam — é que o isolamento de rede requer separação de infraestrutura verificada e auditada, não uma afirmação verbal.

E se eu estiver usando uma API da OpenAI ou Anthropic para atender usuários da UE?

Você é um implantador sob o AI Act, e as obrigações de transparência do Artigo 50 se aplicam a você hoje — não ao seu fornecedor de modelo. Audite cada chatbot voltado ao cliente, agente de voz e ferramenta de IA de conteúdo para conformidade com os requisitos de divulgação, marca d'água e rotulagem. As obrigações são independentemente executáveis a partir de 2 de agosto de 2026, conforme o anúncio da Comissão(abre num novo separador).