A AI Basic Act da Coreia do Sul, a segunda lei abrangente de IA no mundo

Em 22 de janeiro de 2026, a Framework Act on the Development of Artificial Intelligence and the Establishment of a Foundation for Trustworthiness da República da Coreia, comumente conhecida como AI Basic Act ou AI Framework Act, entrou em vigor. A Coreia do Sul é a segunda jurisdição no mundo (depois da UE) a adotar uma estrutura regulatória abrangente de IA, e a primeira na região da Ásia-Pacífico. A lei foi promulgada em 21 de janeiro de 2025 (Lei nº 20676) e passou a vigorar um ano depois, com o Decreto de Execução (Enforcement Decree, Decreto Presidencial nº 36053) entrando em vigor no mesmo dia.

A Coreia do Sul posicionou sua abordagem como um equilíbrio entre a promoção industrial e a regulação baseada em risco. A lei consolida 19 projetos de lei distintos sobre IA em uma estrutura unificada que abrange financiamento de pesquisa, programas de talentos, criação de um instituto de segurança de IA, obrigações de transparência e a gestão de risco de IA de alto impacto. A redação reflete um afastamento deliberado da abordagem da UE, fortemente centrada em proibições, e o governo da Coreia do Sul declarou que vai "priorizar a promoção em vez da regulação", com a aplicação de penalidades adiada em pelo menos um ano após a implementação da lei.

Escopo e aplicabilidade

A AI Basic Act se aplica tanto a organizações nacionais quanto estrangeiras que fornecem sistemas de IA a usuários coreanos. Para as empresas estrangeiras de IA, a lei exige a designação de um representante coreano para fazer a ligação com o governo, fechando uma lacuna que anteriormente permitia que terceiros sem qualquer vínculo fossem designados como agentes domésticos em arranjos formais de conformidade, sem responsabilização efetiva. A alteração ao sistema de representante doméstico da Personal Information Protection Act (PIPA), em vigor desde 1º de abril de 2025, exige que empresas estrangeiras com unidades de negócio estabelecidas na Coreia do Sul designem essas entidades locais como seus representantes.

Principais obrigações previstas na lei

Transparência e divulgação (Artigo 31). Os operadores empresariais de IA que fornecem produtos ou serviços usando IA generativa ou IA de alto impacto devem informar os usuários com antecedência de que a IA está sendo utilizada. Quando as saídas geradas por IA puderem ser difíceis de distinguir de conteúdo não gerado por IA, os operadores devem rotular ou de outra forma indicar que a saída foi gerada por IA. O Artigo 23 do Decreto de Execução detalha os requisitos de marca d'água e rotulagem para saídas de IA generativa.

Gestão de risco da IA de alto impacto (Artigo 32). Os operadores empresariais de IA devem identificar, avaliar e mitigar riscos de sistemas de IA cujo poder computacional cumulativo usado no treinamento exceda os padrões estabelecidos. O Decreto de Execução fixa o limiar técnico: sistemas de IA treinados com pelo menos 10²⁶ operações de ponto flutuante (FLOPs), que incorporem tecnologia de IA de ponta e apresentem risco material de impacto significativo. Esse limiar é, de modo geral, comparável aos limiares para modelos de IA de uso geral do EU AI Act e às definições de modelos de fronteira da Ordem Executiva dos EUA, embora a implementação da Coreia do Sul seja menos prescritiva.

Aplicações setoriais da IA de alto impacto. A lei introduz obrigações específicas para sistemas de IA de "alto impacto" em setores críticos, incluindo saúde, energia e serviços públicos. Os dispositivos médicos digitais são tratados especificamente no Artigo 2(4)(d), que entra em vigor em 24 de janeiro de 2026, três dias após a data de vigência da lei mais ampla, para permitir a coordenação regulatória dos dispositivos médicos.

A Personal Information Protection Act (PIPA) continua a se aplicar. A PIPC publicou seu Policy Roadmap para 2025, delineando disposições especializadas de supervisão para o desenvolvimento de IA. O PIPC Notice on Personal Information Impact Assessment foi alterado, com vigência a partir de setembro de 2025, para acrescentar subcampos explícitos relacionados à IA nas avaliações de impacto sobre a privacidade das instituições públicas. O Work Direction da PIPC para 2025 inclui inspeções preliminares in loco de serviços baseados em IA, incluindo agentes de IA.

Arquitetura de governança

Duas instituições criadas em 2024 formam a espinha dorsal do ecossistema de garantia de IA da Coreia do Sul. O National AI Committee, que atua sob o Gabinete da Presidência, funciona como o órgão central de coordenação da política nacional de IA, implementando a estratégia nacional de IA, impulsionando a colaboração público-privada, harmonizando as abordagens regulatórias entre os ministérios e representando a Coreia do Sul em iniciativas internacionais de governança de IA. O AI Safety Institute é um centro de pesquisa dedicado, responsável por avaliar modelos avançados de IA, desenvolver benchmarks de segurança e enfrentar os riscos de deepfakes e da IA de fronteira. O Ministry of Science and ICT (MSIT) é o principal ministério regulador, com autoridade delegada para emitir regulamentos e diretrizes subordinados.

Reação da sociedade civil e da indústria

A minuta do Decreto de Execução ficou aberta a comentários públicos por 40 dias, até 22 de dezembro de 2025, antes da plena implementação da lei. Organizações da sociedade civil, incluindo a Digital Justice Network, criticaram a regulação como "praticamente inexistente", argumentando que a definição de "IA de alto impacto" é estreita demais e que o adiamento das penalidades elimina a pressão imediata por conformidade. Vozes do setor rebateram que mais regulação prejudicaria a competitividade da IA. O MSIT adotou uma abordagem iterativa, considerando o retorno das partes interessadas ao longo do processo de finalização do decreto, ao mesmo tempo em que sinaliza a intenção de um regulador de priorizar o desenvolvimento.

Um contraste com o EU AI Act é notável: a lei da Coreia do Sul não proíbe categoricamente categorias de IA que a UE proíbe (reconhecimento facial em espaços públicos, exploração de vulnerabilidades, reconhecimento de emoções em locais de trabalho e escolas). A abordagem da Coreia do Sul está mais próxima de requisitos de divulgação e gestão de risco do que de proibição.

Estruturas regulatórias adicionais

Generative AI Service User Protection Guideline (fevereiro de 2025), publicada pela Korea Communications Commission (KCC) como uma estrutura prática e voluntária voltada a prevenir danos aos usuários decorrentes de serviços de IA generativa. Os princípios incluem centralidade no ser humano, explicabilidade, segurança e responsabilização.

AI Security Guide (dezembro de 2025), publicado pelo MSIT e pela Korea Internet & Security Agency (KISA), fornece uma estrutura para proteger modelos e serviços de IA contra ameaças cibernéticas, delineando 113 requisitos de segurança ao longo do ciclo de vida da IA. O guia operacionaliza aspectos das obrigações de gestão de risco da AI Basic Act.

Ação contra a DeepSeek em fevereiro de 2025, a PIPC suspendeu temporariamente novos downloads do aplicativo chinês de IA generativa DeepSeek em razão de preocupações com possíveis violações da PIPA. Isso sinalizou a disposição da PIPC de agir contra serviços estrangeiros de IA por motivos de proteção de dados.

O que as organizações que operam na Coreia do Sul ou fornecem para o país devem fazer

Mapeie os sistemas de IA em relação à aplicabilidade da AI Basic Act. Determine quais sistemas são de "alto impacto" (com base em setor e risco) e quais envolvem saídas de IA generativa que exigem rotulagem. Para entidades não coreanas que fornecem IA a usuários coreanos, designe um representante coreano qualificado e assegure que esse representante tenha a autoridade e os recursos para dialogar de forma significativa com os reguladores. Atualize a documentação de conformidade com a PIPA para contemplar o tratamento específico de IA sob as diretrizes de 2025 da PIPC. Para sistemas que atingem o limiar de 10²⁶ FLOPs ou dele se aproximam, implemente documentação de gestão de risco alinhada aos requisitos do Artigo 32 da lei. Acompanhe de perto a finalização do Decreto de Execução, pois os detalhes técnicos que determinam o escopo de conformidade ainda estão sendo refinados por meio de consulta às partes interessadas. Considere a implementação da ISO/IEC 42001 como um padrão internacional defensável que se alinha aos requisitos emergentes da Coreia do Sul. Implemente a certificação AI Trust Mark (o esquema voluntário em desenvolvimento sob a lei) onde ela proporcione diferenciação de mercado.

Fontes primárias: Library of Congress, AI Basic Act da Coreia do Sul · US International Trade Administration

Leitura relacionada