Comissão Europeia Reforça Supervisão de IA para Combater Deepfakes e Ameaças Cibernéticas

A Comissão Europeia ativou novos poderes de supervisão de IA, colocando o Google News e os principais fornecedores de modelos num ambiente europeu de fiscalização mais rigoroso.

A mudança entrou em vigor em 2 de agosto de 2026, quando passaram a aplicar-se regras essenciais de transparência e disposições de fiscalização previstas na Lei de IA da União Europeia. Os reguladores podem agora examinar como os fornecedores documentam, avaliam, protegem e explicam determinados sistemas de IA e modelos de uso geral.

Não se trata apenas de mais uma exigência para que sites coloquem rótulos ao lado de imagens sintéticas. A Comissão está a combinar transparência de conteúdo com escrutínio direto dos modelos capazes de produzir deepfakes, automatizar ciberataques ou manipular utilizadores em grande escala.

O Google enfrenta pressão de várias frentes. A empresa desenvolve modelos de uso geral, disponibiliza recursos de IA, opera um grande motor de busca e organiza notícias através do Google News. Cada papel levanta questões jurídicas e operacionais distintas.

O conflito central está agora claro. As empresas de IA querem um único modelo e uma única arquitetura de produto para mercados globais. Os reguladores europeus esperam salvaguardas que continuem eficazes em modelos, plataformas, editoras e aplicações posteriores.

O primeiro teste não será verificar se cada item sintético recebe um rótulo perfeito. Será determinar se os reguladores conseguem rastrear um resultado prejudicial ao longo dessa complexa cadeia de responsabilidades.

Google News Entra num Novo Período de Transparência em IA

A mudança imediata é a responsabilização aplicável tanto pelo conteúdo sintético como pelos modelos que o produzem.

O Artigo 50 da Lei de IA exige que fornecedores e utilizadores implementadores divulguem várias formas de conteúdo automatizado ou gerado artificialmente. As regras abrangem interações com chatbots, deepfakes, reconhecimento de emoções, categorização biométrica e alguns textos sobre temas de interesse público.

Um deepfake é áudio, vídeo ou imagem manipulada ou gerada que aparenta falsamente ser autêntica. A definição inclui mais do que vídeos políticos fabricados. Também pode abranger vozes clonadas, fotografias alteradas e gravações sintéticas que imitam eventos reais.

Os fornecedores devem tornar detetável, em formato legível por máquinas, o conteúdo sintético abrangido quando a obrigação relevante se aplica. Os utilizadores implementadores têm deveres separados de divulgar deepfakes e determinados textos de interesse público gerados por IA.

O código de transparência final da Comissão oferece métodos práticos para cumprir esses requisitos. O código é voluntário, mas os deveres jurídicos subjacentes não são.

Essa distinção é importante para o Google News. O serviço agrega e classifica material de editoras externas, enquanto o Google também fornece sistemas de IA capazes de gerar ou modificar conteúdo. A responsabilidade depende de qual entidade criou, implementou, distribuiu ou apresentou o resultado em questão.

Um artigo convencional redigido sob controlo editorial não se torna um deepfake apenas porque uma ferramenta de IA ajudou na sua produção. Textos de interesse público também recebem tratamento diferente quando passam por revisão humana e têm responsabilidade editorial.

Esses limites evitam que as regras se tornem um rótulo geral para tudo o que envolva automação. Também tornam a fiscalização mais exigente, porque os reguladores precisam examinar fluxos de trabalho, e não apenas resultados visíveis.

A Comissão esclareceu outra limitação importante. O conteúdo gerado antes de 2 de agosto não exige rotulagem retroativa, embora a divulgação voluntária continue a ser incentivada.

Alguns sistemas já no mercado recebem um período de transição limitado para as obrigações de marcação legível por máquinas. Segundo as orientações do Artigo 50 da Comissão, esses fornecedores têm até 2 de dezembro de 2026 para cumprir esse requisito específico.

O período de tolerância não suspende todos os deveres de transparência. Aplica-se estritamente à obrigação de marcação e deteção para sistemas colocados no mercado antes de 2 de agosto.

Essa nuance é fácil de perder numa manchete do Google News. A UE não impôs um prazo universal único para marcas-d'água a todas as editoras, modelos e conteúdos.

Em vez disso, criou deveres sobrepostos com base no sistema, no interveniente e no resultado. As equipas de conformidade devem identificar qual papel a sua organização desempenha antes de escolher um controlo técnico.

Para os leitores, o resultado visível deverá ser, eventualmente, uma divulgação mais clara sobre meios sintéticos. Por trás dessa interface, as empresas devem criar registos de proveniência, métodos de deteção, procedimentos de revisão e vias de escalonamento.

O rótulo é, portanto, o ponto final de um sistema de conformidade muito maior. A Comissão quer provas de que o sistema funciona antes de conteúdo prejudicial chegar aos utilizadores europeus.

A Comissão Agora Pode Examinar Modelos, Não Apenas Resultados

A abordagem mais rigorosa da Europa chega à fase inicial, onde o design dos modelos e os controlos de risco moldam milhões de interações posteriores.

A Lei de IA atribui à Comissão responsabilidade direta de fiscalização sobre modelos de IA de uso geral. Esses modelos podem desempenhar muitas tarefas não relacionadas entre si e frequentemente sustentam produtos criados por outras empresas.

Os fornecedores enfrentam obrigações relativas à IA de uso geral desde 2 de agosto de 2025. O ano seguinte serviu como período de transição antes de os poderes de fiscalização da Comissão se tornarem aplicáveis.

A partir de 2 de agosto de 2026, a Comissão pode fazer cumprir esses deveres e impor multas. As suas orientações para fornecedores publicadas também exigem que os fornecedores de modelos com risco sistémico notifiquem o Gabinete de IA.

Risco sistémico refere-se a capacidades ou efeitos de modelos capazes de causar danos amplos em todo o mercado europeu. As áreas relevantes incluem cibersegurança, manipulação prejudicial, direitos fundamentais e perigos químicos ou biológicos.

Os fornecedores de modelos abrangidos devem manter documentação técnica e partilhar informações especificadas com programadores posteriores. Também devem estabelecer uma política para cumprir a legislação europeia de direitos de autor.

Os modelos mais capazes enfrentam deveres adicionais. Os seus fornecedores devem avaliar riscos sistémicos, testar o comportamento dos modelos, comunicar incidentes graves e proteger tanto os modelos como a infraestrutura de suporte.

Estes requisitos colocam OpenAI, Google, Anthropic, Meta, DeepSeek e outros programadores sob uma teoria regulatória comum. As suas sedes corporativas não eliminam as obrigações quando colocam modelos abrangidos no mercado europeu.

A Comissão está a apoiar esse trabalho através de um Gabinete de IA ampliado. A sua visão geral oficial do Gabinete de IA indica que a organização emprega agora mais de 125 pessoas em seis unidades.

O gabinete inclui especialistas técnicos, juristas, economistas, especialistas em políticas públicas e pessoal administrativo. As suas responsabilidades incluem criar métodos de avaliação e analisar se os modelos apresentam riscos sistémicos.

A Associated Press informou que uma equipa adicional de 38 pessoas irá monitorizar empresas de IA. A equipa de fiscalização pode solicitar documentação e entrevistar funcionários das empresas durante investigações.

Isso cria uma relação diferente entre programadores e reguladores. As empresas já não podem tratar os relatórios de segurança como publicações puramente voluntárias, moldadas em torno de lançamentos de produtos.

Um regulador pode comparar as alegações públicas de um fornecedor com testes internos, registos de incidentes, documentação técnica e avaliações de risco. Diferenças entre esses materiais podem tornar-se provas para fiscalização.

Essa pressão vai além dos deepfakes. Um modelo de fronteira pode ajudar utilizadores a criar código malicioso, identificar vulnerabilidades de software ou automatizar ataques contra infraestruturas públicas.

O modelo também pode gerar imitações persuasivas que favoreçam fraudes. A mesma capacidade subjacente pode ligar uma voz sintética, uma campanha de phishing e uma intrusão não autorizada numa rede.

É por isso que a Comissão agrupa deepfakes e ameaças cibernéticas num quadro mais amplo de risco sistémico. Ambos podem explorar escala, automação e resultados de modelos cada vez mais convincentes.

O Google ocupa uma posição invulgarmente complexa. Desenvolve modelos Gemini, incorpora IA em produtos de consumo, opera negócios de publicidade e cloud, e controla importantes superfícies de distribuição.

O Google News acrescenta outra camada porque os utilizadores podem encontrar alegações sintéticas ou manipuladas ao lado de jornalismo convencional. Os sistemas de classificação devem distinguir relevância de autenticidade, mesmo quando material sofisticado se assemelha a jornalismo legítimo.

A intervenção da UE pressiona, portanto, tanto os criadores de modelos como os distribuidores de informação. A segurança dos modelos não pode terminar num laboratório de investigação, enquanto rótulos de conteúdo não conseguem, por si só, resolver comportamentos inseguros dos modelos.

A Troca Central É Entre Rastreabilidade e Escala Global

A UE pretende uma cadeia de responsabilidade rastreável, enquanto as empresas de IA dependem de produtos que se espalham além-fronteiras e por aplicações independentes.

Um modelo de uso geral raramente chega aos utilizadores através de uma única interface controlada. Clientes de cloud, programadores de aplicações, editoras, entidades públicas e indivíduos podem criar experiências diferentes em torno do mesmo modelo.

Essa distribuição cria valor económico. Também torna difícil atribuir responsabilidade quando um resultado se torna enganador, ilegal ou operacionalmente perigoso.

Um fornecedor de modelos pode afirmar que disponibilizou salvaguardas e documentação. Um programador posterior pode argumentar que o modelo base produziu a capacidade prejudicial. Uma plataforma pode alegar que apenas alojou ou classificou o conteúdo resultante.

A Lei de IA procura evitar que essas lacunas se tornem vias permanentes de evasão. Atribui deveres em vários pontos, incluindo os níveis do modelo, do sistema, da implementação e da plataforma.

Para o Google News, a proveniência torna-se especialmente importante. Proveniência é o registo de onde o conteúdo se originou e de como pessoas ou software o alteraram.

Um aviso visível pode informar o leitor de que uma imagem foi gerada. Metadados legíveis por máquinas podem ajudar plataformas e serviços de verificação a inspecionar essa alegação automaticamente.

Nenhum dos métodos é perfeito. Os metadados podem desaparecer quando alguém tira uma captura de ecrã, comprime um ficheiro ou o carrega através de um sistema que remove informações incorporadas.

Marcas-d'água invisíveis também podem degradar-se após recortes, edições ou codificação repetida. As ferramentas de deteção podem gerar falsos positivos, especialmente ao avaliar meios comprimidos ou de baixa qualidade.

A abordagem da Comissão favorece, portanto, várias camadas. Marcação técnica, divulgação visível, documentação, gestão de riscos e revisão humana servem finalidades diferentes.

Essa estrutura em camadas aumenta os custos de implementação. Um fornecedor deve criar controlos que resistam a transferências entre ferramentas, plataformas e formatos de media.

As empresas posteriores devem determinar se o resultado recebido contém proveniência fiável. As editoras precisam de processos editoriais para material contestado, enquanto as plataformas exigem vias de escalonamento para suspeitas de manipulação.

O resultado entra em conflito com a preferência da indústria por lançamentos globais simples. Uma empresa pode usar uma versão de modelo em todo o mundo, mas as regras europeias de documentação e divulgação podem exigir fluxos de trabalho regionais.

Os fornecedores menores enfrentam uma limitação de recursos mais acentuada. Têm menos juristas, especialistas em políticas públicas, investigadores de segurança e engenheiros de segurança disponíveis para programas de conformidade.

As empresas maiores possuem esses recursos, mas seus sistemas criam uma exposição mais complexa. O Google não pode isolar a governança de modelos do Search, YouTube, serviços de nuvem, publicidade ou Google News.

A UE tentou reduzir a incerteza por meio de códigos voluntários e orientações detalhadas. Assinar um código pode ajudar um provedor a demonstrar uma abordagem estruturada de conformidade.

Isso não cria imunidade automática. Os reguladores ainda podem investigar se o comportamento real atende aos requisitos legais.

A Comissão também ajustou a implementação por meio do AI Omnibus, que entrou em vigor em 27 de julho de 2026. Ele estendeu alguns cronogramas e esclareceu os mecanismos de supervisão.

Essas revisões mostram que a aplicação não seguirá um único calendário estático. As regras para alguns sistemas de alto risco agora chegam mais tarde, enquanto as disposições sobre transparência e modelos de propósito geral continuam em seu curso atual.

Portanto, as empresas devem acompanhar cada obrigação individualmente. Tratar “o prazo do AI Act” como uma única data pode gerar trabalho desnecessário ou graves lacunas de conformidade.

A contrapartida também se estende aos usuários. Uma rastreabilidade mais forte pode facilitar a identificação de manipulações, mas rótulos mal elaborados também podem criar uma falsa sensação de segurança.

Um rótulo confirma que um sistema classificou o conteúdo de determinada forma. Ele não prova que uma imagem sem rótulo seja autêntica nem que uma obra rotulada não tenha valor artístico legítimo.

A implementação mais sólida preservará essa distinção. A divulgação deve fornecer evidências, não substituir o julgamento crítico.

A Aplicação da Lei Ainda Tem Lacunas de Jurisdição e Técnicas

A Comissão tem poderes mais fortes, mas a autoridade fragmentada e a detecção imperfeita podem limitar a consistência com que a Europa os aplica.

A primeira incerteza diz respeito a quem aplica cada regra. A Comissão supervisiona diretamente as obrigações relativas a modelos de IA de propósito geral, mas as autoridades nacionais de vigilância do mercado lidam com grande parte do Artigo 50.

O AI Office tem um papel mais restrito no Artigo 50 do que algumas manchetes sugerem. Ele pode supervisionar determinados sistemas construídos sobre modelos de propósito geral quando a mesma organização fornece ambos os componentes.

Sua autoridade também pode alcançar sistemas qualificados integrados a plataformas online ou mecanismos de busca muito grandes. Isso torna especialmente relevantes os serviços operados por grandes grupos de tecnologia.

As autoridades nacionais ainda tomarão muitas decisões na linha de frente. Os vinte e sete Estados-membros podem diferir em equipe, experiência técnica, prioridades e velocidade investigativa.

O AI Office pode promover a coordenação, mas a coordenação não garante resultados idênticos. Uma empresa pode enfrentar perguntas diferentes sobre sistemas semelhantes em vários mercados.

A segunda lacuna envolve a verificação técnica. Nenhum método de marca d’água pode estabelecer autenticidade universal em todos os formatos e canais de distribuição.

Agentes mal-intencionados têm incentivos para remover marcas, ocultar a procedência ou rotular falsamente material autêntico. Ferramentas de edição de código aberto facilitam transformações repetidas.

Os reguladores devem evitar tratar uma detecção malsucedida como prova automática de não conformidade. Eles precisam examinar se um provedor usou métodos adequados, monitorou o desempenho e respondeu a fragilidades conhecidas.

A mesma cautela se aplica às avaliações de cibersegurança. Um modelo pode se comportar de forma diferente após ajuste fino, integração de ferramentas, alterações de prompts ou acesso a dados privados.

Um único teste de laboratório não pode representar todas as configurações posteriores. Os provedores precisam de avaliações repetíveis, enquanto os investigadores precisam de acesso suficiente para testar cenários relevantes.

Também há o risco de exagero regulatório. A rotulagem de deepfakes pode reduzir o engano, mas não pode impedir a criação de mídia sintética abusiva.

Uma regra de divulgação tem pouco efeito quando criminosos distribuem conteúdo anonimamente ou fora de plataformas cooperativas. Leis existentes, aplicação pelas plataformas, apoio às vítimas e investigações criminais continuam necessários.

As preocupações com a liberdade de expressão acrescentam outro desafio. Sátira, paródia, ficção e trabalho artístico podem usar mídia sintética sem a intenção de enganar.

O AI Act inclui disposições sensíveis ao contexto, mas as plataformas ainda podem rotular em excesso ou remover material legal para reduzir o risco percebido. A moderação automatizada pode ampliar essa tendência.

As organizações de notícias enfrentam um problema relacionado. Jornalistas às vezes publicam material manipulado para documentar propaganda, fraude ou abuso online.

Uma reportagem responsável pode mostrar um deepfake explicando claramente sua origem. Os sistemas devem distinguir esse uso editorial de uma apresentação enganosa.

O Google News está na interseção dessas decisões. Ele pode classificar reportagens sobre um deepfake, uma correção de uma editora, o upload enganoso original e resumos gerados por IA de cada item.

Um rótulo simplista poderia confundir essas categorias. Uma interface de procedência mais detalhada ofereceria maior valor, mas também exige informações consistentes de editoras e plataformas.

A incerteza final diz respeito ao acesso a evidências. A aplicação eficaz depende de registros técnicos, relatórios internos de incidentes, avaliações de modelos e cooperação de empresas multinacionais.

Os reguladores precisam de especialistas capazes de questionar as alegações dos provedores sem expor informações confidenciais. As empresas precisam de procedimentos seguros para compartilhar dados sensíveis sobre modelos e cibersegurança.

A expansão de pessoal da Comissão resolve parte desse problema. Seu sucesso dependerá da qualidade das investigações, e não apenas do número de funcionários ou da autoridade formal.

Os primeiros casos devem revelar quanta evidência os reguladores exigem. Eles também mostrarão se as autoridades se concentram em falhas evidentes de divulgação ou em fragilidades mais profundas na governança de modelos.

Até que essas decisões sejam tomadas, as equipes de conformidade interpretarão deveres amplos por meio de orientações, códigos voluntários e conversas diretas com reguladores.

O Que os Leitores do Google News Devem Observar em Seguida

Três sinais mostrarão se a nova supervisão europeia de IA muda produtos reais ou permanece, em grande parte, um exercício de documentação.

O primeiro sinal é a investigação inicial da Comissão sobre modelos de propósito geral. O alvo, o pedido de evidências e a falha alegada definirão o significado prático da aplicação da lei.

Um caso centrado em documentos ausentes incentivaria as empresas a fortalecer seus sistemas de relatórios. Um caso envolvendo capacidades inseguras levaria os desenvolvedores a realizar avaliações e mitigações mais extensas.

A diferença importa. A conformidade documental pode ser medida rapidamente, enquanto comprovar controles inadequados de risco sistêmico exige uma análise técnica mais profunda.

Os leitores devem observar se a Comissão solicita testes internos de modelos, históricos de incidentes ou acesso para avaliação independente. Essas exigências indicariam um escrutínio que vai além dos resumos de segurança publicados.

O segundo sinal é o surgimento de rótulos consistentes para conteúdo sintético nas principais plataformas. Google News, Search, YouTube, redes sociais e sites de editoras oferecem pontos úteis de comparação.

Consistência não exige ícones idênticos. Exige divulgações que os usuários possam reconhecer e as máquinas possam interpretar entre diferentes serviços.

O período limitado de transição termina em 2 de dezembro para determinadas obrigações de marcação que afetam sistemas já no mercado. Essa data fornece um teste concreto para a implementação técnica.

Se os rótulos aparecerem apenas dentro de ferramentas próprias de geração, a procedência continuará frágil. O conteúdo sintético frequentemente alcança seu maior público depois que alguém o exporta e o republica em outro lugar.

Se as plataformas preservarem e exibirem metadados confiáveis, a abordagem de rastreabilidade da UE ganhará credibilidade. Se os metadados desaparecerem rotineiramente, os reguladores precisarão de requisitos de evidência diferentes.

O terceiro sinal é um relatório de incidente grave envolvendo ofensiva cibernética ou manipulação prejudicial. Esse relatório testaria se os provedores divulgam problemas antes que jornalistas ou pesquisadores os descubram.

O AI Act espera que os provedores de modelos de risco sistêmico identifiquem e mitiguem perigos significativos. O relato de incidentes oferece aos reguladores uma forma de comparar esses compromissos com eventos reais.

Uma resposta transparente fortaleceria o modelo colaborativo da Comissão. Uma divulgação tardia ou incompleta aumentaria a pressão por investigações formais e ordens corretivas.

As empresas também devem revelar informações suficientes para que os usuários compreendam o risco, sem publicar detalhes operacionais que ajudem invasores. Esse equilíbrio continuará difícil.

Para desenvolvedores, a lição imediata é preservar registros que conectem a escolha do modelo, os testes, as configurações de implantação e a resposta a incidentes. Uma alegação de segurança sem evidências de apoio oferece pouca proteção durante uma investigação.

Compradores empresariais devem perguntar aos fornecedores quem é responsável por cada dever de conformidade. Os contratos precisam definir claramente a responsabilidade por atualizações de modelos, marcação de conteúdo gerado, incidentes de segurança e solicitações regulatórias.

As editoras devem documentar a revisão humana quando a IA auxilia reportagens de interesse público. O controle editorial pode afetar como as obrigações de transparência se aplicam, mas uma revisão não documentada será difícil de demonstrar posteriormente.

Trabalhadores do conhecimento devem tratar rótulos como sinais úteis, não como certificados de verdade. Uma gravação sem rótulo ainda pode ser sintética, enquanto uma mídia rotulada ainda pode conter informações precisas.

Os usuários do Google News devem comparar reportagens, inspecionar fontes originais e procurar correções quando mídia sintética impulsiona uma história em rápida evolução. A agregação melhora a descoberta, mas não elimina o trabalho de verificação.

A nova autoridade da Comissão altera os incentivos em torno dessa verificação. Os provedores agora enfrentam consequências quando documentação deficiente, modelos inseguros ou divulgações ausentes violam deveres aplicáveis.

A Europa passou de elaborar expectativas para testá-las. A questão decisiva é se os investigadores conseguem acompanhar uma saída prejudicial por modelos, aplicações, plataformas e editoras.

Observe os primeiros casos de aplicação, o prazo de marcação de dezembro e o tratamento de incidentes graves de IA. Juntos, esses sinais mostrarão se o Google News entra em um ambiente de informação genuinamente mais rastreável.