Em 29 de junho de 2026, o Conselho da União Europeia deu a aprovação final ao Digital Omnibus on AI, adiando as obrigações de alto risco do EU AI Act de 2 de agosto de 2026 para 2 de dezembro de 2027, no caso de sistemas autônomos, e para 2 de agosto de 2028 para a IA incorporada em produtos regulamentados. A votação ocorreu cinco semanas antes do limite original, após o fracasso de dois trílogos em abril e maio de 2026, que deixaram as equipes de conformidade se preparando para um prazo que poderia ou não sobreviver.
O atraso não representa um recuo na aplicação da lei. No mesmo período de 2026, a Comissão Europeia aplicou uma multa de 200 milhões de euros à Temu nos termos do Digital Services Act, o Supremo Tribunal da Irlanda confirmou uma multa de 530 milhões de euros aplicada ao TikTok nos termos do RGPD e os supervisores nacionais passaram do "modo de observação" para inspeções ativas nos termos do DORA nos setores bancário e de seguros. O quadro regulatório da Europa em matéria de IA, dados e plataformas está sendo reescrito e aplicado simultaneamente, em ritmos diferentes que raramente coincidem.
Para os líderes de governança de IA, DPO e responsáveis pela conformidade digital que cobrem a UE, o Reino Unido e a Suíça, esta combinação de prazos variáveis e multas ativas constitui o verdadeiro ambiente de atuação para o resto de 2026.
O prazo para os sistemas de alto risco do EU AI Act continua sendo 2 de agosto de 2026?
Não após a publicação do Digital Omnibus on AI no Jornal Oficial, o que se prevê para julho de 2026, entrando em vigor três dias depois. O Regulamento (UE) 2024/1689 estabeleceu originalmente o dia 2 de agosto de 2026 para os sistemas de alto risco do Anexo III, abrangendo casos de uso em recrutamento, avaliação de crédito, identificação biométrica, educação, migração e aplicação da lei, e 2 de agosto de 2027 para os sistemas integrados em produtos do Anexo I. O Parlamento Europeu aprovou o texto do Omnibus em 16 de junho de 2026 com 423 votos a favor, e a aprovação do Conselho em 29 de junho de 2026 fixou as novas datas em 2 de dezembro de 2027 e 2 de agosto de 2028, respectivamente.
Duas obrigações se movem na direção oposta. O período de carência para a marca d'água e a rotulagem de conteúdos gerados por IA nos termos do Artigo 50 foi reduzido de seis para três meses, antecipando o novo prazo para 2 de dezembro de 2026, no caso de sistemas já no mercado. Além disso, o Omnibus acrescenta uma proibição total de gerar conteúdos sexuais ou íntimos não consensuais e material de abuso sexual de menores gerado por IA, uma disposição sem qualquer atraso associado. Até que o texto seja publicado no Jornal Oficial, a data original de 2 de agosto de 2026 permanece legalmente vinculante, de modo que as organizações que classificam seus sistemas no âmbito do Anexo III não podem simplesmente interromper seus esforços.
Com que agressividade a Comissão Europeia está aplicando o Digital Services Act?
Com agressividade suficiente para ter emitido duas multas de nove dígitos em um espaço de seis meses. Em 5 de dezembro de 2025, a Comissão multou o X em 120 milhões de euros, sua primeira decisão de descumprimento do DSA, devido ao design enganoso do símbolo de verificação azul, a um repositório de publicidade que não cumpria as regras de divulgação do Artigo 39 e a barreiras no acesso a pesquisadores que violavam o Artigo 40(12). O X recebeu 60 dias úteis para resolver o problema do símbolo de verificação e 90 dias para apresentar um plano completo de remediação, tendo recorrido da decisão para o Tribunal Geral da União Europeia em fevereiro de 2026, o que constitui o primeiro teste judicial à aplicação do DSA.
Em 28 de maio de 2026, a Comissão multou a Temu em 200 milhões de euros, 0.38% do seu faturamento global de 53 bilhões de euros, por não ter efetuado uma avaliação de risco adequada e capaz de identificar produtos ilegais e perigosos no seu mercado. A Temu tem até 28 de agosto de 2026 para apresentar um plano de ação corretiva, e a investigação mais ampla da Comissão aos sistemas de recomendação e moderação de conteúdos da Temu permanece aberta. Ambos os casos se basearam nas obrigações de risco sistêmico dos Artigos 34 e 35, as mesmas disposições que mantêm todas as plataformas online e mecanismos de busca de muito grande dimensão sob o escrutínio contínuo da Comissão, uma área onde o monitoramento regulatório por plataforma detecta uma nova investigação no dia em que é aberta, em vez de fazê-lo no dia em que é notícia.
Que regulador decide efetivamente um caso RGPD quando os dados cruzam fronteiras?
Nos termos do mecanismo de balcão único, é a autoridade de proteção de dados do local onde a empresa tem o seu principal estabelecimento na UE e, para a maioria das plataformas globais, isso significa a Irlanda. A decisão da Comissão de Proteção de Dados da Irlanda (DPC) de 2 de maio de 2025 multou o TikTok em 530 milhões de euros, 45 milhões por não informar adequadamente os usuários nos termos do Artigo 13(1)(f) e 485 milhões por transferências ilegais de dados de usuários do EEE para a China nos termos do Artigo 46(1), após concluir que o TikTok não conseguia verificar se suas Cláusulas Contratuais Padrão ofereciam à proteção de dados do EEE uma equivalência essencial ao exigido pelo RGPD. Em 3 de junho de 2026, o Supremo Tribunal da Irlanda confirmou tanto a determinação de responsabilidade quanto o valor da multa, embora tenha devolvido a ordem de suspensão de transferências futuras ao regulador para reapreciação, permitindo que o TikTok continue transferindo dados europeus para a China enquanto esse ponto específico é revisto.
As multas cumulativas da DPC irlandesa totalizam agora 4.04 bilhões de euros desde 2018, ainda lideradas pela decisão de 1.2 bilhão de euros contra a Meta em 2023. Em todas as autoridades de supervisão da UE, o levantamento da DLA Piper de janeiro de 2026 coloca a aplicação da lei em 2025 em aproximadamente 1.2 bilhão de euros, igualando 2024 e elevando o total do bloco desde a entrada em vigor do RGPD em 2018 para 7.1 bilhões de euros. Para um responsável de conformidade, a lição prática é que a seleção da autoridade principal não é uma mera tarefa administrativa, pois determina qual a postura de aplicação, o calendário e a propensão do regulador para aplicar multas transfronteiriças que efetivamente regem o processo.
O próprio RGPD está sendo reescrito em paralelo com o EU AI Act?
Sim, através do mesmo pacote Digital Omnibus, proposto pela Comissão em 19 de novembro de 2025 como COM(2025) 837. A proposta redefiniria os dados pessoais para que os dados pseudonimizados não sejam considerados pessoais para uma entidade que não tenha os meios para reidentificar o indivíduo, permitiria que as empresas se baseassem no interesse legítimo do RGPD para treinar ou operar modelos de IA sujeitos a salvaguardas, transferiria as regras de consentimento de cookies da Diretiva ePrivacy para o RGPD com um consentimento de um clique válido por seis meses e criaria um ponto de notificação único para violações de dados e incidentes de cibersegurança.
O Comité Europeu para a Proteção de Dados e a Autoridade Europeia para a Proteção de Dados emitiram um parecer conjunto em fevereiro de 2026, apoiando as medidas de simplificação administrativa, mas instando explicitamente os colegisladores a não adotarem a redefinição de dados pessoais, alertando que tal reduziria o direito fundamental à proteção de dados além do que uma alteração técnica deveria fazer. Em meados de 2026, o dossiê permanece no processo legislativo ordinário, com as comissões da Indústria e das Liberdades Cívicas conjuntamente responsáveis no Parlamento, o que significa que o texto do RGPD que uma empresa cumpre hoje pode não ser o texto em vigor quando um programa de treinamento de IA que está desenhando agora for lançado.
O que acrescentam o Digital Markets Act, o Data Act e o DORA ao EU AI Act e ao RGPD?
O Digital Markets Act fornece seu próprio processo de aplicação da lei contra os mesmos controladores de acesso. Em 22 de abril de 2025, a Comissão aplicou multas de 500 milhões de euros à Apple por violações relacionadas com o anti-steering nos termos do Artigo 5(4) e de 200 milhões de euros à Meta devido ao seu modelo de publicidade pagar-ou-consentir nos termos do Artigo 5(2), as primeiras multas por descumprimento emitidas no âmbito do DMA. A primeira revisão trienal da Comissão, apresentada em 3 de maio de 2026 como COM(2026) 178, considerou o regime adequado ao seu propósito, não sendo necessária qualquer alteração legislativa, enquanto os processos de especificação abertos contra o Google Play e o Google Search em janeiro de 2026 permanecem ativos.
O Data Act se tornou aplicável em 12 de setembro de 2025, dando aos usuários de produtos e serviços conectados o direito de acessar os dados que esses produtos geram e, sempre que viável, de compartilhá-los com terceiros em tempo real. As obrigações de concepção que exigem que os produtos conectados tornem os dados acessíveis por padrão entram em vigor em 12 de setembro de 2026, e condições contratuais justas, razoáveis e não discriminatórias se aplicam a todos os acordos de compartilhamento de dados B2B assinados após setembro de 2025, estendendo-se a determinados contratos legados de longa duração a partir de setembro de 2027. Quando estão envolvidos dados pessoais, as penalidades do Data Act acompanham os níveis do RGPD, podendo atingir 20 milhões de euros ou 4% do faturamento global.
Para as entidades financeiras em específico, o período de carência do DORA terminou no final de 2025. Desde o primeiro trimestre de 2026, o BCE, o BaFin, a AMF, a CSSF e outras autoridades nacionais competentes passaram das avaliações de prontidão para avaliações formais de supervisão da gestão de riscos de TIC, dos contratos com terceiros e da notificação de incidentes, apoiadas por multas de até 2% do faturamento mundial para as instituições e de até 1 milhão de euros a título pessoal para os membros do órgão de administração que não atuem em resposta aos relatórios de risco de TIC.
| Instrumento | Situação (julho de 2026) | Data-chave a acompanhar |
|---|---|---|
| EU AI Act, Anexo III alto risco | Omnibus adotado, aguardando publicação no Jornal Oficial | 2 de dezembro de 2027 (era 2 de agosto de 2026) |
| EU AI Act, Artigo 50 transparência | Período de carência reduzido pelo Omnibus | 2 de dezembro de 2026 |
| DSA aplicação de risco sistêmico | Ativa, duas multas emitidas, uma em recurso | 28 de agosto de 2026 (Plano de remediação da Temu) |
| RGPD (caso de transferência do TikTok) | Responsabilidade e multa confirmadas, remediação reaberta | Reapreciação da DPC irlandesa pendente |
| Reforma do RGPD (Digital Omnibus) | Em processo legislativo ordinário | Nenhuma data de adoção definida |
| DMA obrigações dos controladores de acesso | Duas multas emitidas, revisão concluída, sem alterações | Processos de especificação da Google em andamento |
| Data Act obrigações de concepção | Regras centrais aplicáveis desde set. de 2025 | 12 de setembro de 2026 |
| DORA aplicação de supervisão | Período de carência terminado, avaliações ativas | Em andamento, por autoridade nacional competente |
Oito instrumentos, oito cronogramas e pelo menos três deles sofreram alterações materiais apenas no primeiro semestre de 2026. Uma função de conformidade que acompanhe isto através de uma planilha está a um comunicado de imprensa do Conselho de distância de construir um programa em torno de um prazo que já não se aplica, sendo exatamente essa a lacuna que o companheiro de IA da Obsidian foi concebido para preencher: não é um substituto do julgamento legal, mas um companheiro regulatório verificado que sinaliza o momento em que um ato delegado passa o escrutínio ou uma multa se torna definitiva.
O que uma equipe de conformidade deve fazer a seguir?
Comece por separar o texto vinculante do EU AI Act de suas alterações pendentes: continue o trabalho de classificação do Anexo III no pressuposto de que o dia 2 de agosto de 2026 poderá ainda ser aplicável, enquanto acompanha o Omnibus em direção à publicação no Jornal Oficial, para que a nova data de 2 de dezembro de 2027 seja confirmada e não presumida. Em paralelo, trate a aplicação do DSA e do DMA como prova do que os reguladores realmente priorizam, como avaliações de risco sistêmico e restrições de direcionamento, em vez de se basear apenas no texto dos regulamentos.
Para equipes que gerenciam a exposição ao RGPD em vários estabelecimentos na UE, confirmem qual a autoridade de supervisão que detém o status de liderança em cada atividade de processamento e monitorem as negociações do Digital Omnibus quanto a alterações à definição de dados pessoais que possam afetar os programas de treinamento de IA já em andamento. O MCP para assistentes de IA da Obsidian permite que esse acompanhamento ocorra dentro das ferramentas que as equipes de conformidade já utilizam, e os atuais planos mostram como o monitoramento por jurisdição acompanha o ritmo de um quadro regulatório que mudou três vezes no primeiro semestre de 2026.
