California AI Transparency Act: entram em vigor as obrigações de marca-d'água e deteção

Desde 2 de agosto de 2026, a California AI Transparency Act (CAITA) está em vigor. A SB 942, alterada pela AB 853 e assinada em outubro passado, define como «covered provider» qualquer entidade que ofereça um sistema de inteligência artificial generativa acessível no estado com mais de um milhão de visitantes ou utilizadores mensais. A esses sujeitos o legislador impõe um pacote preciso de medidas técnicas: a disponibilização gratuita de uma ferramenta pública de deteção — qualquer pessoa pode carregar um ficheiro ou colar um URL e saber se aquele conteúdo saiu daquele sistema, inclusive via API, sem que o fornecedor possa conservar os dados pessoais de quem consulta —, a opção de o utilizador apor uma etiqueta visível (manifest disclosure) e, sobretudo, a inserção de uma «latent disclosure» permanente nos conteúdos gerados. Essa marca-d'água digital tem de incluir o nome do fornecedor, a versão do sistema, a data e hora de criação e um identificador único, tornando o ficheiro tecnicamente rastreável, e tem de ser detetável pela própria ferramenta de verificação do fornecedor.

O mecanismo sancionatório desenhado no texto é rígido. Cada dia de incumprimento constitui uma infração separada, punida com uma sanção civil de 5.000 dólares. A ação cabe ao Attorney General da Califórnia, aos city attorneys ou aos county counsel, podendo a parte vencedora obter o reembolso das custas. A responsabilidade estende-se contratualmente ao longo da cadeia de distribuição: se um licenciado terceiro alterar o sistema para remover as disclosures, o fornecedor tem de revogar a licença no prazo de 96 horas. É uma abordagem que procura blindar a proveniência do conteúdo a montante, entregando aos criadores o controlo sobre o uso das suas tecnologias a jusante.

A arquitetura da lei prevê um calendário de expansão progressiva. Se 2 de agosto marca o arranque para os fornecedores, a partir de 1 de janeiro de 2027 as obrigações de deteção e conservação dos dados de proveniência abrangerão as «large online platforms» com mais de dois milhões de utilizadores únicos mensais e as plataformas de alojamento, que não poderão distribuir conscientemente sistemas sem as etiquetas exigidas. Um ano depois, em 2028, o encargo recairá sobre os fabricantes de dispositivos de captura, que terão de oferecer a opção de inserir a latent disclosure ativa por predefinição. Enquanto a Europa, com o artigo 50.º do Regulamento da IA, impõe informar o leitor, a Califórnia impõe também a infraestrutura técnica para o verificar.

Não faltam, porém, incertezas na aplicação. Neste momento não existem dados verificáveis sobre a adesão efetiva dos fornecedores às novas especificações. Também não constam, até agora, ações sancionatórias iniciadas pelo Attorney General. Um observatório de política digital descreve a entrada em vigor como acompanhada de um período de tolerância até 1 de janeiro de 2027, leitura que não coincide com a dos escritórios de advogados consultados, para os quais 2 de agosto de 2026 é a data plenamente operacional para os covered providers, enquanto 1 de janeiro de 2027 diz respeito às novas categorias introduzidas pela AB 853. No texto da lei a expressão não aparece. Além disso, o perímetro da norma pode ser redesenhado pela SB 1000, atualmente em apreciação no Senado, que propõe eliminar o limiar do milhão de utilizadores e mudar a natureza das ferramentas de verificação. Fica por fim em aberto o problema técnico dos modelos de pesos abertos (open-weight), em que a possibilidade de alterar os pesos a jusante pode tornar ineficazes as garantias impostas pela lei na origem.

— Olya