AI Act a partir de 2 de agosto: por que um código QR não substitui a identificação de IA

A Comissão Europeia publicou, em 20 de julho de 2026, suas orientações sobre as obrigações de transparência previstas no artigo 50 do AI Act; a página de visão geral relacionada foi atualizada pela última vez em 29 de julho de 2026. As obrigações aplicam-se, em princípio, a partir de 2 de agosto de 2026. Para equipes que publicam imagens, vídeos, áudios ou textos gerados por IA, uma distinção técnica é decisiva: a marcação legível por máquina do conteúdo, sua detectabilidade e o aviso visível para as pessoas são níveis distintos. Um código QR pode acrescentar um quarto nível de proveniência e explicações. No entanto, ele não substitui automaticamente os demais níveis.

O artigo 50 distingue fornecedores e operadores

A redação do artigo 50 estabelece obrigações diferentes para funções diferentes.

Os fornecedores de sistemas que geram conteúdos sintéticos de áudio, imagem, vídeo ou texto devem garantir que as saídas sejam marcadas de forma legível por máquina e reconhecíveis como geradas ou alteradas artificialmente. A solução técnica deve ser, na medida do tecnicamente possível, eficaz, interoperável, robusta e confiável. O artigo não especifica um formato de código de barras. Ele exige uma propriedade do conteúdo produzido e uma possibilidade adequada de detecção.

Os operadores, por outro lado, devem informar as pessoas em determinadas situações de uso: por exemplo, em caso de reconhecimento de emoções e categorização biométrica, deepfakes e determinados textos gerados ou manipulados por IA sobre assuntos de interesse público. Essa informação deve ser clara, distinguível e acessível, no máximo, na primeira interação ou exposição. Além disso, aplicam-se os requisitos pertinentes de acessibilidade.

Uma empresa pode exercer as duas funções simultaneamente. Quem opera um sistema próprio de geração e publica seus resultados também deve, portanto, analisar tanto o lado do fornecedor quanto o do operador.

Por que “legível por máquina” não significa simplesmente “código QR”

Um código QR é legível por máquina. Isso, porém, não significa que um código QR ao lado de uma imagem gerada por IA já cumpra a obrigação do fornecedor. O artigo 50, n.º 2, exige que a saída do sistema de IA seja marcada e detectável como gerada ou manipulada por IA. Um quadrado colocado separadamente normalmente apenas direciona para uma página externa. Se a imagem for copiada, recortada ou distribuída sem o layout que a acompanha, a referência pode desaparecer, enquanto o conteúdo continua circulando inalterado.

A conclusão para a arquitetura é, portanto, a seguinte: um código QR externo é normalmente uma camada complementar de proveniência, não a marcação técnica contida no conteúdo. A conformidade jurídica de uma implementação concreta depende do sistema, do formato de saída e do contexto de uso.

No lado do operador, obrigar a fazer uma leitura também não é suficiente. As perguntas frequentes da Comissão esclarecem expressamente, no caso de deepfakes, que a divulgação deve ser perceptível sem ferramentas especiais ou ações adicionais. Os operadores não podem confiar exclusivamente em uma marcação legível por máquina incorporada. Um aviso que só se torna visível depois da leitura de um código QR chega tarde demais para a informação inicial exigida.

Quatro níveis para uma implementação sólida

1. Marcação no conteúdo

O primeiro nível pertence ao processo de geração ou exportação. Dependendo do meio, podem ser consideradas metainformações assinadas, marcas-d’água, comprovantes criptográficos de proveniência, fingerprints ou combinações dessas técnicas. As orientações da Comissão enfatizam dois elementos interligados: marcação e detectabilidade. Uma marcação sem um procedimento de verificação disponível não atende ao objetivo descrito.

O Código de Conduta voluntário da UE para a transparência da IA detalha uma possível forma de comprovação. Para conteúdos conteinerizados distribuídos on-line, ele prevê uma abordagem em várias camadas, com metainformações assinadas digitalmente e marca-d’água imperceptível. Para texto livre, aplicam-se outros limites técnicos. O código é voluntário; as obrigações do artigo 50, não.

2. Aviso perceptível na primeira exposição

O segundo nível é destinado às pessoas. O aviso deve aparecer onde o conteúdo é percebido pela primeira vez – não apenas em uma política de privacidade geral ou em uma subpágina vinculada. Dependendo do meio, isso pode ser uma identificação visível, um aviso falado ou outra forma clara e acessível.

Para textos editoriais, a exceção é importante: as perguntas frequentes explicam que textos publicados sobre assuntos de interesse público não precisam ser identificados quando tiverem passado por uma revisão humana substancial ou por controle editorial e uma pessoa física ou jurídica assumir a responsabilidade editorial. Uma simples revisão ortográfica ou de formatação não é suficiente.

3. Código QR como caminho de proveniência e contexto

O terceiro nível é opcional, mas útil operacionalmente. Um código QR pode levar de um motivo impresso, uma embalagem, um banner de feira ou uma apresentação a uma página permanente de origem. Um código QR dinâmico permite desenvolver o destino de forma controlada, sem trocar o suporte físico.

A página de destino não deve exibir uma afirmação genérica de “conformidade com o AI Act”. É mais útil apresentar fatos verificáveis:

identificador exclusivo do ativo e da versão,
organização responsável e ponto de contato,
sistema de IA utilizado, na medida em que possa ser divulgado,
momento da geração e principais etapas de edição,
status da revisão humana ou editorial,
tipo de marcação existente e acesso ao detector,
status atual da publicação e indicações de correção ou retirada.

Prompts pessoais, parâmetros internos do modelo e dados confidenciais de produção não devem ser publicados em uma página pública de proveniência. Transparência não significa divulgar segredos comerciais ou dados pessoais.

4. Registro interno de comprovação

A página pública não substitui um registro interno de auditoria. Para cada publicação, deve ser possível saber qual objeto de origem foi gerado, quais transformações ocorreram, quais metainformações permaneceram e quem autorizou a publicação. São úteis, na prática, IDs imutáveis de ativos, valores de hash dos arquivos aprovados, carimbos de data e hora, relações entre versões e resultados de verificações registrados.

Um fluxo de trabalho prático em sete etapas

Determinar as funções: documentar, para cada sistema, quem é fornecedor, operador ou ambos.
Inventariar os tipos de saída: tratar separadamente imagem, vídeo, áudio, texto livre e texto conteinerizado.
Verificar a marcação na exportação: não procurar uma solução apenas no final da cadeia de publicação.
Testar as transformações: compressão, redimensionamento, recorte, transcodificação e uploads para plataformas não podem destruir inadvertidamente a marcação e a detecção.
Inserir o aviso no primeiro contato: visível ou audível, compreensível e acessível; o código QR leva apenas aos detalhes.
Versionar a página de proveniência: URL estável, fatos atuais e lógica clara de alteração e retirada.
Garantir as comprovações: registrar conjuntamente resultados de testes, aprovações, versão do detector e versão publicada do ativo.

A transferência entre ferramentas é especialmente crítica. Um gerador pode fornecer metainformações corretamente assinadas que sejam removidas durante a exportação em um editor de imagens ou o upload para um sistema de gerenciamento de conteúdo. Por isso, é preciso verificar não apenas o arquivo de origem, mas também o arquivo efetivamente publicado.

Equívocos comuns

“Mas o código QR é legível por máquina.” Sim, mas ele frequentemente identifica o suporte ou o layout, não a própria saída de IA de forma permanente.

“As metainformações são sempre suficientes.” Não necessariamente. Formatos e plataformas podem remover metainformações. Por isso, o código voluntário adota várias camadas de marcação para muitos meios difundidos.

“O aviso visível pode ficar atrás do código QR.” Para a primeira exposição, isso é arriscado, pois as pessoas teriam de realizar uma ação adicional primeiro.

“Todo texto com apoio de IA precisa de um rótulo.” Não. O âmbito de aplicação, o tratamento padrão, a finalidade de informação pública, bem como a revisão humana efetiva e a responsabilidade editorial devem ser avaliados de forma diferenciada.

O que deve ser priorizado até 2 de agosto

As perguntas frequentes da Comissão mencionam um período de transição limitado exclusivamente à obrigação de marcação e detecção de determinados sistemas que já tenham sido colocados no mercado antes de 2 de agosto de 2026: nesse caso, 2 de dezembro de 2026 é a data relevante. Para as demais obrigações, isso não representa uma prorrogação geral. Segundo as perguntas frequentes, os conteúdos gerados antes de 2 de agosto não precisam ser identificados retroativamente; no entanto, recomenda-se a identificação voluntária posterior.

Para os próximos dias, portanto, uma grande campanha de QR não é o primeiro passo. A prioridade deve ser esclarecer as funções, realizar testes de exportação e detecção, apresentar avisos visíveis no ponto efetivo de distribuição e manter um registro sólido de comprovação. Depois disso, o código QR se torna aquilo que faz bem: uma porta de entrada estável para informações de proveniência aprofundadas e atualizáveis.