A AI Basic Act da Coreia do Sul, a segunda lei abrangente de IA no mundo
Em 22 de janeiro de 2026, a Framework Act on the Development of Artificial Intelligence and the Establishment of a Foundation for Trustworthiness da República da Coreia, comumente conhecida como AI Basic Act ou AI Framework Act, entrou em vigor. A Coreia do Sul é a segunda jurisdição no mundo (depois da UE) a adotar uma estrutura regulatória abrangente de IA, e a primeira na região da Ásia-Pacífico. A lei foi promulgada em 21 de janeiro de 2025 (Lei nº 20676) e passou a vigorar um ano depois, com o Decreto de Execução (Enforcement Decree, Decreto Presidencial nº 36053) entrando em vigor no mesmo dia.
A Coreia do Sul posicionou sua abordagem como um equilíbrio entre a promoção industrial e a regulação baseada em risco. A lei consolida 19 projetos de lei distintos sobre IA em uma estrutura unificada que abrange financiamento de pesquisa, programas de talentos, criação de um instituto de segurança de IA, obrigações de transparência e a gestão de risco de IA de alto impacto. A redação reflete um afastamento deliberado da abordagem da UE, fortemente centrada em proibições, e o governo da Coreia do Sul declarou que vai "priorizar a promoção em vez da regulação", com a aplicação de penalidades adiada em pelo menos um ano após a implementação da lei.
Escopo e aplicabilidade
A AI Basic Act se aplica tanto a organizações nacionais quanto estrangeiras que fornecem sistemas de IA a usuários coreanos. Para as empresas estrangeiras de IA acima dos limiares fixados no Decreto de Execução (faturamento de pelo menos 1 trilhão de wones no exercício anterior, receita com serviços de IA de pelo menos 10 bilhões de wones no exercício anterior, ou uma média de pelo menos um milhão de usuários diários na Coreia nos três meses anteriores), o Artigo 36 exige a designação de um representante doméstico coreano para fazer a ligação com o governo, fechando uma lacuna que anteriormente permitia que terceiros sem qualquer vínculo fossem designados como agentes domésticos em arranjos formais de conformidade, sem responsabilização efetiva. A alteração ao sistema de representante doméstico da Personal Information Protection Act (PIPA) foi promulgada em 1º de abril de 2025 e entrou em vigor em 2 de outubro de 2025; exige que empresas estrangeiras com uma unidade de negócio estabelecida na Coreia do Sul designem essa entidade local como seu representante doméstico.
Principais obrigações previstas na lei
Transparência e divulgação (Artigo 31). Os operadores empresariais de IA que fornecem produtos ou serviços usando IA generativa ou IA de alto impacto devem informar os usuários com antecedência de que a IA está sendo utilizada. Quando as saídas geradas por IA puderem ser difíceis de distinguir de conteúdo não gerado por IA, os operadores devem rotular ou de outra forma indicar que a saída foi gerada por IA. O Artigo 23 do Decreto de Execução detalha os requisitos de marca d'água e rotulagem para saídas de IA generativa.
Obrigações de segurança para IA de alto desempenho (Artigo 32). Os operadores empresariais de IA devem identificar, avaliar e mitigar riscos e operar um sistema de gestão de risco que cubra incidentes de segurança, no caso de sistemas de IA cujo poder computacional cumulativo usado no treinamento exceda os padrões estabelecidos. Essa é uma via distinta da das obrigações relativas à IA de alto impacto, que estão nos Artigos 33 a 35: confirmação da condição de alto impacto, medidas de segurança e confiabilidade, e avaliação de impacto. Um mesmo sistema pode se enquadrar nas duas vias ao mesmo tempo. O Decreto de Execução fixa o limiar técnico: sistemas de IA treinados com pelo menos 10²⁶ operações de ponto flutuante (FLOPs), que incorporem tecnologia de IA de ponta e apresentem risco material de impacto significativo. Esse número é dez vezes maior que o nível de 10²⁵ FLOPs que aciona a presunção de risco sistêmico para modelos de IA de uso geral do EU AI Act, e coincide com o número de 10²⁶ usado pela Ordem Executiva dos EUA 14110, revogada em 20 de janeiro de 2025. A implementação da Coreia do Sul é menos prescritiva que a da UE.
Aplicações setoriais da IA de alto impacto. A lei introduz obrigações específicas para sistemas de IA de "alto impacto" em setores críticos, incluindo saúde, energia e serviços públicos. Os dispositivos médicos digitais são tratados especificamente no Artigo 2(4)(d), que entra em vigor em 24 de janeiro de 2026, três dias após a data de vigência da lei mais ampla, para permitir a coordenação regulatória dos dispositivos médicos.
A Personal Information Protection Act (PIPA) continua a se aplicar. A PIPC publicou um Policy Roadmap delineando disposições especializadas de supervisão para o desenvolvimento de IA, e as suas orientações de política para 2026 deslocam o regime para a prevenção e para obrigações graduadas conforme o porte e o perfil de risco da organização. O PIPC Notice on Personal Information Impact Assessment foi alterado, com vigência a partir de setembro de 2025, para acrescentar subcampos explícitos relacionados à IA nas avaliações de impacto sobre a privacidade das instituições públicas. Em 6 de agosto de 2025 a PIPC também publicou as suas Guidelines for Personal Data Processing for the Development and Utilization of Generative AI, que não são vinculantes mas funcionam como referência na supervisão; o Work Direction da PIPC para 2025 incluía inspeções preliminares in loco de serviços baseados em IA, incluindo agentes de IA.
Arquitetura de governança
Duas instituições criadas em 2024 formam a espinha dorsal do ecossistema de garantia de IA da Coreia do Sul. O National AI Committee, que atua sob o Gabinete da Presidência, funciona como o órgão central de coordenação da política nacional de IA, implementando a estratégia nacional de IA, impulsionando a colaboração público-privada, harmonizando as abordagens regulatórias entre os ministérios e representando a Coreia do Sul em iniciativas internacionais de governança de IA. O AI Safety Institute é um centro de pesquisa dedicado, responsável por avaliar modelos avançados de IA, desenvolver benchmarks de segurança e enfrentar os riscos de deepfakes e da IA de fronteira. O Ministry of Science and ICT (MSIT) é o principal ministério regulador, com autoridade delegada para emitir regulamentos e diretrizes subordinados.
Reação da sociedade civil e da indústria
A minuta do Decreto de Execução ficou aberta a comentários públicos por 40 dias, até 22 de dezembro de 2025, antes da plena implementação da lei. Organizações da sociedade civil, incluindo a Digital Justice Network, criticaram a regulação como "praticamente inexistente", argumentando que a definição de "IA de alto impacto" é estreita demais e que o adiamento das penalidades elimina a pressão imediata por conformidade. Vozes do setor rebateram que mais regulação prejudicaria a competitividade da IA. O MSIT adotou uma abordagem iterativa, considerando o retorno das partes interessadas ao longo do processo de finalização do decreto, ao mesmo tempo em que sinaliza a intenção de um regulador de priorizar o desenvolvimento.
Um contraste com o EU AI Act é notável: a lei da Coreia do Sul não proíbe categoricamente categorias de IA que a UE proíbe (reconhecimento facial em espaços públicos, exploração de vulnerabilidades, reconhecimento de emoções em locais de trabalho e escolas). A abordagem da Coreia do Sul está mais próxima de requisitos de divulgação e gestão de risco do que de proibição.
Estruturas regulatórias adicionais
Generative AI Service User Protection Guideline (fevereiro de 2025), adotada em 28 de fevereiro de 2025 pela Korea Communications Commission (KCC), cujas funções passaram para a Korea Media and Communications Commission (방송미디어통신위원회) em outubro de 2025. Entrou em vigor em 28 de março de 2025 como uma estrutura expressamente não vinculante voltada a prevenir danos aos usuários decorrentes de serviços de IA generativa. Os seus quatro princípios são dignidade humana e supervisão humana, transparência, segurança e equidade.
AI Security Guide (dezembro de 2025), publicado pelo MSIT e pela Korea Internet & Security Agency (KISA), fornece uma estrutura para proteger modelos e serviços de IA contra ameaças cibernéticas, delineando 113 requisitos de segurança ao longo do ciclo de vida da IA. O guia operacionaliza aspectos das obrigações de gestão de risco da AI Basic Act.
Ação contra a DeepSeek em fevereiro de 2025, a PIPC suspendeu temporariamente novos downloads do aplicativo chinês de IA generativa DeepSeek em razão de preocupações com possíveis violações da PIPA. Isso sinalizou a disposição da PIPC de agir contra serviços estrangeiros de IA por motivos de proteção de dados.
O que as organizações que operam na Coreia do Sul ou fornecem para o país devem fazer
Mapeie os sistemas de IA em relação à aplicabilidade da AI Basic Act. Determine quais sistemas são de "alto impacto" (com base em setor e risco) e quais envolvem saídas de IA generativa que exigem rotulagem. Para entidades não coreanas que atinjam os limiares de faturamento ou de usuários do Decreto de Execução, designe um representante doméstico coreano qualificado e assegure que esse representante tenha a autoridade e os recursos para dialogar de forma significativa com os reguladores. Atualize a documentação de conformidade com a PIPA para contemplar o tratamento específico de IA sob as diretrizes de 2025 da PIPC. Para sistemas que atingem o limiar de 10²⁶ FLOPs ou dele se aproximam, implemente documentação de gestão de risco alinhada aos requisitos do Artigo 32 da lei. O Decreto de Execução já está em vigor, portanto acompanhe as diretrizes e notificações complementares do MSIT, pois é ali que o detalhe técnico que determina o escopo de conformidade continua a ser preenchido durante o período de carência, que dura pelo menos um ano a contar de 22 de janeiro de 2026 e no qual as multas ficam adiadas, salvo em casos excepcionais envolvendo perda de vidas ou danos graves a direitos humanos. Considere a implementação da ISO/IEC 42001 como um padrão internacional defensável que se alinha aos requisitos emergentes da Coreia do Sul. Implemente a certificação AI Trust Mark (o esquema voluntário em desenvolvimento sob a lei) onde ela proporcione diferenciação de mercado.
Fontes: Framework Act on the Development of Artificial Intelligence, texto oficial (Korea Law Information Center) · Library of Congress, South Korea: Comprehensive AI Legal Framework Takes Effect · US International Trade Administration, South Korea AI Basic Act (maio de 2026) · Future of Privacy Forum, análise artigo por artigo da AI Framework Act