Governança de IA para empresas alemãs, o panorama de 2026

A Alemanha ocupa posição central na regulação europeia de IA: é ao mesmo tempo a maior economia entre os Estados-membros da UE e sede de um desenvolvimento substancial de IA nos setores automotivo, industrial e financeiro. O EU AI Act aplica-se diretamente, mas a implementação nacional da Alemanha por meio da KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), somada a uma estrutura em camadas de reguladores já existentes, incluindo o BSI, a BfDI, a BNetzA e a BaFin, cria um panorama de governança especificamente alemão que as empresas que operam no país precisam compreender.

O EU AI Act na Alemanha, cronograma e obrigações aplicáveis

O EU AI Act aplica-se diretamente às empresas alemãs por se tratar de um Regulamento da UE. Datas-chave:

2 de fevereiro de 2025: entraram em vigor a obrigação de alfabetização em IA (Artigo 4) e as práticas de IA proibidas (Artigo 5). A proposta do Digital Omnibus da UE de novembro de 2025 transferiria a responsabilidade pela alfabetização em IA dos fornecedores/implementadores para a Comissão e os Estados-membros, como tarefa de política pública, embora isso ainda não tenha sido formalmente adotado.

2 de agosto de 2025: entraram em vigor as obrigações e regras de governança para modelos de IA de uso geral (GPAI, General-Purpose AI).

2 de agosto de 2026: aplicam-se as obrigações de transparência do Artigo 50 para IA de risco limitado (divulgação de chatbots, rotulagem de conteúdo gerado por IA). As obrigações de alto risco previstas no Anexo III NÃO fazem parte dessa data: o Digital Omnibus sobre IA, que alcançou acordo político em 7 de maio de 2026 e foi formalmente adotado pelo Conselho em 29 de junho de 2026 e assinado em 8 de julho de 2026 (aguardando publicação no Jornal Oficial), adia as obrigações de alto risco autônomas para 2 de dezembro de 2027.

2 de dezembro de 2027: conforme o Digital Omnibus adotado, as obrigações de IA de alto risco para sistemas autônomos (emprego, crédito, biometria, educação, infraestrutura crítica nos termos do Anexo III) passam a se aplicar a partir dessa data.

2 de agosto de 2028: obrigações de alto risco do Anexo I para IA incorporada em produtos regulamentados (elevadores, brinquedos, máquinas).

Implementação nacional alemã, KI-MIG e BNetzA

O projeto de lei de implementação da Alemanha, a Lei de Fiscalização de Mercado e Promoção da Inovação em IA (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG), foi aprovado pelo Gabinete alemão em 11 de fevereiro de 2026. Essa lei implementa o EU AI Act na Alemanha ao designar as autoridades competentes, organizar medidas de incentivo à inovação, estabelecer o regime de sanções e alterar a legislação alemã.

Bundesnetzagentur (BNetzA), Agência Federal de Redes é designada como a principal autoridade de fiscalização de mercado da Alemanha para sistemas de IA que ainda não estejam sujeitos a supervisão setorial especializada. A BNetzA opera um serviço de atendimento sobre IA com uma ferramenta interativa de "bússola de conformidade" (compliance compass), oferecendo orientação prática sobre se as empresas estão dentro do escopo do EU AI Act e quais obrigações se aplicam. A BNetzA também tem responsabilidades de fomento à inovação, incluindo a operação de um laboratório de IA.

Modelo de supervisão híbrido. A BNetzA coordena de forma centralizada, complementada por autoridades setoriais conforme o contexto do sistema:

- BfDI (Comissária Federal para Proteção de Dados e Liberdade de Informação, Federal Commissioner for Data Protection and Freedom of Information): sistemas de IA de alto risco relevantes para a proteção de dados

- BaFin (Autoridade Federal de Supervisão Financeira, Federal Financial Supervisory Authority): IA utilizada em serviços financeiros

- BSI (Escritório Federal de Segurança da Informação, Federal Office for Information Security): segurança cibernética e IA relevante para a KRITIS (infraestrutura crítica)

- Autoridades federais/estaduais de proteção de dados (Landesdatenschutzbeauftragte): aplicação do GDPR a sistemas de IA que processam dados pessoais

Os poderes de fiscalização de mercado incluem multas, proibições de operação e ordens de recolhimento. A Alemanha não cumpriu o prazo de 2 de agosto de 2025 para a designação formal das autoridades nacionais competentes previstas no Artigo 70 do EU AI Act, o que gerou certa incerteza ao longo de 2025-2026.

Principais recursos alemães de conformidade em IA

Framework BSI QUAIDAL, lançado pelo Escritório Federal de Segurança da Informação, trata-se de um framework de qualidade para dados de treinamento de IA, com um catálogo de 143 métricas para ajudar os fornecedores a atender aos requisitos de qualidade de dados, transparência, equidade e conformidade do EU AI Act.

Catálogo de Conformidade de Serviços de IA em Nuvem do BSI (AIC4, AI Cloud Services Compliance Catalogue), critérios de segurança e conformidade para serviços de IA oferecidos por meio de computação em nuvem. Cada vez mais referenciado em processos de aquisição.

Orientações do BSI sobre riscos de IA generativa, incluindo riscos de ciberataques viabilizados por IA, phishing e malware. O BSI enfatiza soluções defensivas de IA e a aplicação contínua da legislação penal já existente aos crimes cibernéticos impulsionados por IA.

Serviço de Atendimento sobre IA e Bússola de Conformidade da BNetzA, ferramentas interativas disponíveis em bundesnetzagentur.de para orientação específica às empresas sobre a aplicabilidade e as obrigações do EU AI Act.

Aplicação do GDPR à IA na Alemanha

As autoridades alemãs de proteção de dados têm sido ativas na aplicação do GDPR a sistemas de IA. A DSK (Conferência das Autoridades Alemãs de Proteção de Dados) publicou diversos documentos de orientação sobre IA no âmbito do GDPR. As áreas de foco incluem: treinamento de IA com dados pessoais sem base legal; IA biométrica; reconhecimento de emoções; IA em RH. A multa de 300.000 euros aplicada pela autoridade de proteção de dados de Berlim a um banco por violações do Artigo 22 em decisões automatizadas de crédito (referenciada na pesquisa de aplicação de 2026 da DLA Piper) demonstrou a atuação ativa da fiscalização e é amplamente citada.

Requisitos setoriais alemães específicos para IA

A BaFin nos serviços financeiros. O regulador financeiro da Alemanha integra a supervisão de IA à supervisão prudencial já existente. O MaRisk da BaFin (Mindestanforderungen an das Risikomanagement, Requisitos Mínimos de Gestão de Risco) trata de IA/ML na gestão de risco. O Guia de Supervisão sobre Modelos Internos do BCE, de julho de 2025, aplicável a todas as instituições significativas, incluindo os bancos alemães, ampliou as expectativas de gestão de risco de modelo (MRM) para todos os modelos, incluindo IA/ML, e não apenas para os modelos internos regulatórios.

IA no setor automotivo. O setor automotivo alemão está exposto de forma singular: ADAS, condução autônoma, IA em projeto e manufatura. O Departamento Federal de Trânsito Motorizado (Kraftfahrt-Bundesamt, KBA) regula a homologação de tipo; aplicam-se os Regulamentos da UN-ECE; o Regulamento Geral de Segurança da UE exige níveis crescentes de IA de segurança. A Lei Alemã de Condução Autônoma (2021) estabeleceu o marco regulatório para a condução autônoma de Nível 4 da SAE em domínios de projeto operacional definidos.

IA industrial e de manufatura. Os fabricantes alemães que integram IA à produção devem observar as disposições do Anexo I do EU AI Act (máquinas, EPIs) com vigência a partir de agosto de 2028, além do Regulamento de Máquinas (Regulamento 2023/1230), com vigência a partir de janeiro de 2027.

Segurança cibernética e a NIS2. O projeto de Lei de Fortalecimento da Segurança Cibernética da Alemanha (que implementa a Diretiva NIS2) ficou paralisado em 2025 em meio a divergências políticas. Apesar dos atrasos, a legislação já existente obriga as organizações que utilizam sistemas baseados em IA a implementar segurança cibernética rigorosa e mecanismos de notificação de incidentes.

Relatórios da CSRD sobre IA

A partir de 2025, cerca de 13.000 empresas alemãs se enquadram nos requisitos da Diretiva de Relato de Sustentabilidade Corporativa (CSRD, Corporate Sustainability Reporting Directive). Os relatórios da CSRD agora se cruzam com a IA: as empresas devem divulgar riscos relevantes relacionados à IA (operacionais, regulatórios, ambientais). A divulgação ambiental da pegada de energia e água da IA está se tornando padrão. Espera-se também a divulgação relacionada à força de trabalho sobre o impacto da IA no emprego.

Prioridades práticas de conformidade para empresas alemãs

Para empresas alemãs que se preparam para o EU AI Act e sua implementação nacional:

Inventário de IA. Catalogar os sistemas de IA com classificação segundo os níveis de risco do EU AI Act. Identificar quais sistemas são de alto risco nos termos do Anexo III, quais são de risco limitado e exigem a transparência do Artigo 50, e quais são de risco mínimo.

Esclarecimento do papel de fornecedor/implementador. Muitas empresas alemãs são, ao mesmo tempo, fornecedoras (provider, quando desenvolvem IA) e implementadoras (deployer, quando utilizam IA de terceiros). As obrigações diferem; muitas empresas precisam cumprir ambas.

Programa de alfabetização em IA (Artigo 4). Mesmo que o Digital Omnibus transfira a responsabilidade para os Estados-membros, a alfabetização em IA permanece como uma expectativa regulatória e comercial. Documentar o treinamento, o conteúdo e o alcance.

Alinhamento entre GDPR e IA. O processamento de dados pessoais em IA exige base legal, transparência, DPIA (avaliação de impacto sobre a proteção de dados) quando de alto risco, e minimização de dados. As autoridades alemãs de proteção de dados são fiscalizadoras ativas.

Sistema de gestão da qualidade (QMS) e documentação técnica para IA de alto risco. Os requisitos de QMS do EU AI Act são específicos para IA e não equivalem à ISO 9001 ou a sistemas de qualidade já existentes.

Revisão contratual. Os contratos com fornecedores e clientes precisam ser atualizados para refletir as obrigações do EU AI Act, a alocação dos papéis de fornecedor/implementador, a documentação técnica, a governança de dados e as obrigações de monitoramento.

Segurança cibernética e resiliência. Orientações do BSI, preparação para a NIS2, controles de segurança específicos para sistemas de IA e ameaças viabilizadas por IA.

Recorrer ao serviço de atendimento da BNetzA. A ferramenta de bússola de conformidade fornece orientação específica às empresas e sinaliza áreas em que pode ser necessário o envolvimento das autoridades.

Fontes primárias: Bundesnetzagentur (BNetzA) · BSI, Escritório Federal de Segurança da Informação · EU AI Act, Comissão Europeia

Leitura relacionada