Durante um par de anos, "regulação da IA" nos EUA significou muitos enquadramentos anunciados e muito pouco que uma empresa tivesse de fazer de forma diferente numa segunda-feira de manhã. Isso mudou em cerca de cinco semanas neste verão.

Três estados aprovaram leis com três abordagens bastante diferentes — uma dirigida aos modelos de fronteira, outra às interfaces de chatbot, outra à proveniência do conteúdo —, um regulador federal anunciou medidas numa quarta frente, e o projeto que devia harmonizar tudo encalhou. Nenhuma é de alcance total. Juntas, são o primeiro conjunto de regras de IA nos EUA com obrigações e datas concretas.

Illinois: alguém de fora da empresa tem de olhar para o modelo

Em julho, o Illinois aprovou a Artificial Intelligence Safety Measures Act, conhecida como SB 315. As análises jurídicas descrevem-na como a primeira lei estadual dos EUA a exigir auditorias de segurança independentes por terceiros a modelos de IA de fronteira, aplicável a programadores acima de um limiar de receita, com coimas civis até 3 milhões de dólares por infracção. As obrigações principais entram em vigor antes de janeiro de 2028.

É o requisito de auditoria que a distingue das leis de transparência anteriores. Uma regra de divulgação pede à empresa que publique o que sabe do seu próprio modelo. Uma regra de auditoria pede que outra pessoa vá verificar. Parecem semelhantes e não são: a primeira produz um documento escrito por quem tem mais interesse na forma como ele se lê, e a segunda um escrito por quem tem de assinar a avaliação.

Se resulta na prática depende quase inteiramente de detalhes ainda por fechar: quem está qualificado para auditar um modelo de fronteira, a que tem acesso, e se uma empresa reprovada pode simplesmente encomendar outra auditoria. Essas perguntas levaram anos a ser mal respondidas na auditoria financeira, e não há razão para esperar que aqui se resolvam mais depressa.

Colorado: uma lei sobre a interface, não sobre o modelo

O Colorado assinou a 1 de julho uma Chatbot Safety Act, descrita como a primeira lei estadual dos EUA escrita especificamente para a IA conversacional e não para sistemas de IA em geral. Quando estão envolvidos menores, restringe funcionalidades que incentivam a dependência emocional, mecânicas de gamificação e conteúdos inadequados.

O interessante é onde coloca o dano. Quase toda a regulação de IA aponta ao modelo: com que foi treinado, o que pode produzir, quão capaz é. O Colorado apontou ao produto que envolve o modelo — sequências, afecto simulado, calendários de recompensa variável, as mecânicas que tornam uma app difícil de pousar. São decisões que uma equipe de design toma numa reunião de planejamento, não propriedades que emerjam do treino.

Esse enquadramento tem uma consequência prática. Uma empresa não cumpre trocando o modelo subjacente, porque o modelo nunca foi o que estava sendo regulado. Tem de mudar o produto.

Califórnia: a proveniência tornou-se exigível em agosto

Os requisitos de proveniência da SB 942 da Califórnia tornaram-se exigíveis a 2 de agosto de 2026. Em termos gerais, obrigam a divulgar que um conteúdo foi gerado por IA, juntamente com documentação da sua origem.

A proveniência é uma das poucas regras de IA genuinamente técnica e não processual. Não pede um documento de política: peça um sinal duradouro agarrado a um arquivo, o que é um problema de engenharia com modos de falha conhecidos — os sinais perdem-se ao recodificar, as capturas de tela destroem-nos e quem quiser retira-os de propósito. A regra continua fazendo trabalho útil no caso comum, que é a maior parte do conteúdo na maior parte do tempo, mas não é um detector nem se apresenta como tal.

Um regime transfronteiriço de transparência distinto, com obrigações sobrepostas, entrou em vigor na mesma data. Para quem distribui um produto internacionalmente, o resultado prático é que a conformidade passa a ser construída pelo padrão mais estrito e aplicada em todo o lado, porque manter dois comportamentos de divulgação no mesmo produto sai mais caro do que cumprir duas vezes.

A FTC apontou à distância entre o marketing e a afinação

A 1 de julho, a Comissão Federal do Comércio publicou uma declaração de política a avisar que trataria como conduta enganosa, ao abrigo da Seção 5, que uma empresa desvie discretamente as saídas da sua IA face à exactidão enquanto comercializa esse sistema como optimizado para desempenho; e que cumprir a lei estadual não protegeria essa conduta.

Vale a pena ler com atenção se constróis sobre modelos em vez de os treinares. O alvo não é a inexactidão: os modelos erram constantemente e toda a gente sabe. O alvo é a distância entre o que um produto afirma sobre as suas saídas e aquilo que foi afinado para produzir. O usuário não consegue ver a afinação. A única coisa sobre a qual pode agir é a alegação do rótulo, que é exatamente a situação para a qual o direito do consumidor foi feito.

O projeto federal que devia simplificar isto não o fez

A Great American AI Act, bipartidária, mantinha-se como anteprojecto ao longo de julho, e as notícias atribuíam o atraso ao desacordo sobre preempção — se um padrão federal deve afastar as regras estaduais ou conviver com elas.

É esse todo o debate, e não é técnico. Uma lei federal que afaste as estaduais substituiria as auditorias do Illinois, as disposições de chatbots do Colorado e os deveres de proveniência da Califórnia por um único padrão nacional. Uma que conviva com elas acrescenta uma camada. Que estados conservam as suas regras mais estritas é uma questão de poder, não de IA, e é por isso que o projeto não avança.

Até que avance, a realidade operacional para os programadores é o mosaico: vários conjuntos de obrigações com pressupostos, limiares e datas de aplicação diferentes, todos em vigor ao mesmo tempo.

Se distribuis um produto, seguem-se três coisas

Percebe se é programador ou implementador. Quase todas estas leis distinguem entre quem constrói um modelo e quem o coloca à frente dos usuários, e as obrigações diferem bastante. Uma empresa que afina um modelo existente e o distribui numa app está muitas vezes nas duas categorias ao mesmo tempo, que é a posição mais desconfortável.

Verifique os limiares antes de te dares por isento. As regras sobre modelos de fronteira visam grandes programadores, mas os limiares de receita mexem-se, e as regras sobre chatbots ou proveniência frequentemente não têm limiar nenhum.

Registre o que o seu produto faz de fato. A declaração da FTC, os requisitos de auditoria e as regras de proveniência premeiam a mesma coisa, e é pouco vistosa: um registo interno fiel de como o sistema foi afinado, o que lhe foi dito para fazer e o que foi alegado sobre ele no marketing. As empresas que mantêm esse registo vivem a conformidade como papelada. As que não, como arqueologia.

Isto descreve o que as regras dizem; não é aconselhamento jurídico. Se alguma coisa disto tocar o seu produto, a pessoa a quem perguntar é um advogado da jurisdição em causa. O nosso directório de ferramentas legais e de conformidade reúne software desta área, e a linha do tempo da regulação da IA acompanha cada mudança por datas.