Sophie passou quatro meses mapeando os sistemas de IA da organização dela. Documentação dos modelos, rastreabilidade dos dados de treinamento, registros de risco. Tudo isso para estar pronta em 2 de agosto de 2026.
Em 7 de maio, o acordo provisório sobre o Digital Omnibus é anunciado. O prazo para os sistemas de alto risco, os do Anexo III, passa para dezembro de 2027. Dezoito meses a mais.
Sophie fechou o arquivo Excel. E fez exatamente o que a maioria das organizações faz nesse caso.
Ela espera.
"Alto risco": do que a gente está falando, de fato?
O AI Act não diz respeito a todos os sistemas de IA. Ele mira os que influenciam decisões de forte impacto sobre as pessoas. O Anexo III faz a lista: recrutamento, concessão de crédito, precificação em seguros, acesso a serviços públicos, gestão de infraestruturas críticas. Se um sistema de IA pesa sobre uma dessas decisões, ele entra no perímetro.
A lista costuma ser mais curta do que se acredita. E mais crítica do que se imagina. Uma ferramenta de scoring de RH, um algoritmo de precificação, um sistema de priorização de processos: são esses os sistemas visados. Não o chatbot do atendimento.
O que o Digital Omnibus mudou foi só a data. O acordo provisório de 7 de maio de 2026 empurra o prazo dos sistemas do Anexo III de agosto de 2026 para dezembro de 2027. O que o adiamento não muda: as obrigações em si. Rastreabilidade dos dados de treinamento, documentação dos modelos, supervisão humana efetiva, explicabilidade das decisões. Todo o quadro regulatório permanece intacto. Só o relógio se moveu.
| Etapa | Antes | Depois do Digital Omnibus |
|---|---|---|
| Entrada em vigor | Ago. 2024 | Inalterado |
| IA proibidas aplicáveis | Fev. 2025 | Inalterado |
| GPAI e governança | Ago. 2025 | Inalterado |
| Alto risco · Anexo III | Ago. 2026 | Dez. 2027 |
Fonte: acordo provisório Digital Omnibus · 7 de maio de 2026
As três obrigações de dados que o adiamento não elimina
Para cada sistema de alto risco, o AI Act exige provar três coisas. São essas três provas que as equipes de dados e de conformidade precisam estar em condições de produzir em dezembro de 2027.
Que os dados de treinamento eram apropriados. Representativos do caso de uso, documentados, verificados quanto a vieses potenciais. Se o algoritmo de scoring de crédito foi treinado com dados de 2018, é preciso conseguir explicar por que essa escolha era pertinente. E o que se fez para identificar os pontos cegos desse conjunto de dados.
Que o modelo se comporta como previsto em produção. A rastreabilidade cobre as decisões tomadas em produção: quem supervisionou o quê, com base em quê, com qual nível de controle humano efetivo. Um humano precisa conseguir compreender, interpretar e contestar cada decisão produzida pelo sistema.
Que as decisões podem ser explicadas a alguém que não é técnico. Não num notebook Jupyter. Num formato que um responsável de negócio consiga defender diante de um auditor, ou diante de um cliente cuja solicitação foi recusada. A explicabilidade não é uma funcionalidade técnica. É uma obrigação de comunicação.
A gente observa isso na maioria dos clientes: os pipelines de dados existem e funcionam. A documentação desses pipelines está ausente ou incompleta. Ou na cabeça de um consultor que saiu seis meses antes. Três números para enquadrar o que está em jogo: 88% das empresas usam IA em pelo menos uma função (McKinsey, 2025), apenas 33% conseguem implantá-la em escala, e as infrações graves ao AI Act têm teto de 7% do faturamento mundial. O principal freio à implantação em escala raramente é o desempenho do modelo. É a governança do dado que o alimenta. E a incapacidade de prestar contas disso.
O AI Act não cria esse problema. Ele dá nome a ele. E, a partir de dezembro de 2027, ele o torna caro. Para ir mais fundo na documentação dos dados e na rastreabilidade técnica, nosso artigo sobre a rastreabilidade do AI Act e as obrigações de dados detalha as exigências por tipo de sistema.
Conformidade e dados: a ponte que ninguém constrói
É comum haver um Chief Data Officer, um DPO, uma equipe de conformidade e uma equipe de data engineering. Essas quatro entidades precisam colaborar hoje para demonstrar a conformidade com o AI Act nos sistemas de alto risco. Elas falam línguas diferentes. Vocabulário, ferramentas, prioridades: nada vem alinhado por padrão.
A conformidade fala de artigos de lei e de registros de risco. A equipe de dados fala de pipelines, de qualidade de dados e de data lineage. O CDO fala de roadmap e de orçamento. A área de negócio só quer que o sistema continue funcionando.
Quando Sophie mapeou os sistemas no primeiro trimestre de 2026, produziu um excelente trabalho de conformidade. Os data engineers, nesse intervalo, continuavam fazendo os pipelines evoluir. O vínculo entre os dois projetos nunca foi estabelecido. O mapeamento da Sophie já está parcialmente obsoleto.
É aí que trava. Não na técnica. As ferramentas existem: Unity Catalog, Collibra e OpenMetadata permitem automatizar a rastreabilidade e alimentar um catálogo de forma contínua. Sobre a maturidade desses dispositivos do lado dos dados, nosso artigo sobre a confiabilidade automatizada e a Data Observability apresenta os mecanismos concretos, do contrato de dados até o Data Catalog. O problema não é técnico. Está na comunicação entre quem constrói os sistemas e quem tem de prestar contas deles.
Documentar uma decisão algorítmica numa linguagem de decisão. Explicar a rastreabilidade de um dado a um auditor que não é técnico. Criar pontes entre a governança e a engenharia. Isso não são tarefas de data scientist. São tarefas de comunicação. E é aí que as organizações estão mais atrasadas.
A conformidade regulatória expõe o mesmo problema, toda vez. Os dados estão lá. Os sistemas rodam. Ninguém foi designado para fazer a ponte entre quem os constrói e quem tem de prestar contas deles.
O que dá para fazer agora
O adiamento dá tempo. Veja como não desperdiçá-lo. Três ações concretas, sem precisar de um orçamento de conformidade dedicado.
Mapear os sistemas de IA com impacto real sobre a decisão. Não todas as ferramentas. As que influenciam o recrutamento, a precificação, o acesso a um serviço, a concessão de um crédito. A lista dos sistemas realmente de alto risco no sentido do AI Act costuma ser mais curta do que se acredita. E mais crítica do que se imagina. É por aí que começa a conformidade que serve.
Documentar os dados de treinamento enquanto o contexto ainda existe. As pessoas que sabem por que aquele conjunto de dados foi usado em 2021 ainda estão na organização. Em 18 meses, talvez não. A documentação se faz enquanto ainda dá para fazer as perguntas. Não seis semanas antes da data limite.
Construir uma língua comum entre a conformidade e as equipes de dados. Não um treinamento de dois dias. Um glossário de trabalho construído em conjunto, que permita a uma responsável de conformidade fazer as perguntas certas a um data engineer. E obter respostas que um auditor consiga usar. Essa ponte não se constrói na urgência. Nesse ponto específico, nosso artigo sobre a governança federada do dado apresenta o modelo de responsabilização que torna esse diálogo estruturalmente possível.
Essas três ações não dependem do calendário regulatório. Elas constroem uma base útil qualquer que seja a data final. E que vai servir bem além do AI Act.
Sophie reabriu o arquivo Excel no dia seguinte
Não porque o regulamento ainda exigisse isso dela. Porque ela tinha entendido que 18 meses é exatamente o tempo que faz falta. Mapear enquanto as equipes ainda estão lá. Documentar enquanto o contexto existe. Construir a ponte que ela não tinha tido tempo de construir.
O adiamento não é uma vitória. É um parêntese.
A questão é o que a gente coloca dentro.
