Lei de IA do Colorado (SB 205): o que as empresas precisam saber antes de 2026

Casey BleekerDiretor Sênior de Gestão de Produtos | F5

Há algumas semanas, tive a oportunidade de aparecer no Wall Street Journal para falar sobre o que está acontecendo no âmbito federal em relação à regulamentação da IA.

Embora o cenário federal esteja em constante mudança, ainda é fundamental acompanhar os desdobramentos nos âmbitos estadual e local que terão impactos significativos na forma como sua organização adota a IA, incluindo os requisitos para regulamentar seu uso por toda a força de trabalho e evitar penalidades civis e criminais significativas.

Uma dessas jurisdições com a qual temos nos envolvido profundamente é o meu estado natal, o Colorado. No ano passado, pude trabalhar em estreita colaboração com outros líderes de tecnologia do estado na tentativa de influenciar a lei de regulamentação da IA do Colorado, conhecida como Projeto de Lei do Senado (SB) 205.

Sobre o Projeto de Lei 205 do Senado do Colorado

A SB 205 do Colorado, a histórica lei de inteligência artificial do estado, foi sancionada pelo governador Jared Polis em 17 de maio de 2024. O projeto de lei estabelece requisitos para as empresas que utilizam IA (ou seja, todas as empresas cujos usuários têm acesso à Internet) implementarem controles que protejam os cidadãos do Colorado. Espera-se que as empresas protejam os consumidores contra “riscos razoavelmente previsíveis” nos quais a IA possa tomar decisões que afetem os consumidores de maneira discriminatória ou tendenciosa. Isso significa que todas as empresas que operam no estado do Colorado devem informar a todos os consumidores como a IA é utilizada por seus funcionários e quais medidas de proteção implementaram para mitigar os riscos decorrentes do uso da IA na organização.

Embora uma emenda à SB 205 tenha sido proposta na sessão legislativa mais recente (SB 318) com o objetivo de reduzir a carga de conformidade das empresas que operam no Colorado, ela foi rejeitada na comissão. Como o Legislativo do Colorado voltará a se reunir em janeiro de 2026, é improvável que a SB 205 seja alterada antes da atual data de início da aplicação da lei, em 1º de fevereiro de 2026. Portanto, as empresas devem estar preparadas para cumprir a lei até essa data.

O que isso significa para as empresas que operam no Colorado

Nos termos da SB 205, quaisquer riscos aos consumidores que possam decorrer do uso de IA por uma organização devem ser informados aos consumidores e ao procurador-geral do Colorado antes da implementação. As empresas devem cumprir as disposições da SB 205 até 1º de fevereiro de 2026, sob pena de medidas coercitivas por parte do gabinete do procurador-geral do Colorado.

Felizmente, muitas organizações de tecnologia do Colorado atuaram em conjunto e conseguiram incluir na SB 205 disposições que estabelecem uma presunção relativa de conformidade caso uma organização implemente controles adequados de IA. Ao implementar programas de gestão de riscos que incluam controles de governança apropriados, as organizações passam a contar com uma presunção de conformidade que reduz significativamente seus encargos regulatórios e sua exposição a medidas de fiscalização.

Minhas considerações sobre o SB 205

Tive a oportunidade de prestar depoimento ao Senado do Colorado quando o SB 205 estava sendo debatido em comissão. Senti que minha principal obrigação era garantir que o próprio projeto de lei não criasse encargos indevidos que prejudicassem a inovação no Estado do Colorado nem impedisse a adoção de tecnologias essenciais para que as empresas do Colorado possam se manter competitivas na era da IA.

Identifiquei na SB 205 dois grandes desafios que afetarão as organizações que operam no Colorado. Infelizmente, eles não foram solucionados antes da aprovação da lei:

1. A definição de um “Sistema de Inteligência Artificial” é preocupantemente ampla. Ele é definido como qualquer sistema que gere uma saída com base em uma entrada. Isso poderia incluir uma fórmula de planilha do Excel, uma equação algébrica ou uma torradeira. A impossibilidade de definir o que é “IA” significa que as empresas não sabem onde aplicar adequadamente as exigências de conformidade da SB 205, além de aumentar a carga regulatória e os riscos de não conformidade legal.
2. A definição de um “Sistema de Inteligência Artificial de Alto Risco” baseia-se na forma como um “Sistema de Inteligência Artificial” é utilizado. A maneira como uma ferramenta é utilizada costuma ser determinada pelo consumidor ou usuário final dessa ferramenta ou, neste projeto de lei, pelo “implementador”. Isso significa que os empregadores passam a ser responsáveis por controlar como seus funcionários utilizam qualquer ferramenta baseada em IA, do ChatGPT ao Grammarly, independentemente de ela ter sido concebida ou não para ser usada como uma solução de IA de “Alto Risco”.

Preparação para requisitos de conformidade de IA, como a SB 205, entre outros

Embora todos esperemos que os requisitos da SB 205 sejam flexibilizados na sessão legislativa de 2026, é improvável que isso aconteça antes da atual data de início da aplicação da lei, em 1º de fevereiro de 2026. Além da Lei de IA da UE e de diversas regulamentações nas regiões da Ásia-Pacífico, 37 estados já promulgaram regulamentações de IA com requisitos semelhantes. A Orrick oferece um recurso incrível no Centro de Legislação sobre IA, onde acompanha ativamente essas regulamentações.

Para manter a conformidade com a SB 205 e muitas dessas regulamentações emergentes, as organizações devem definir como pretendem obter visibilidade sobre o uso de soluções de IA pelos funcionários e garantir que os dados dos consumidores relativos a classes protegidas não sejam expostos a modelos de IA — sejam eles ChatGPT, DeepSeek, Claude ou modelos próprios implantados internamente, como AWS Bedrock, OpenAI no Azure etc.

Não criamos o Workforce AI Security, anteriormente chamado SurepathAI, com a intenção de aplicar uma legislação excessivamente onerosa e nos posicionamos ativamente contra os desafios introduzidos pela SB 205. Criamos o Workforce AI Security para proteger seus dados mais confidenciais contra terceiros e ajudar sua organização a adotar a IA de forma ampla e segura. No entanto, à medida que novas regulamentações de IA continuam surgindo, podemos ajudar. O F5 Workforce AI Security simplifica a obtenção de visibilidade e a transformação do uso da IA, para que sua organização possa manter a conformidade com regulamentações como a SB 205 sem reduzir a adoção de soluções de IA, que são essenciais para permanecer competitiva no mercado atual.

Aviso legal: Esta publicação não constitui aconselhamento jurídico. Para discutir as possíveis implicações legais da SB 205 ou de outras regulamentações de IA específicas para sua empresa, consulte sua própria assessoria jurídica. Também teremos prazer em indicar especialistas de empresas líderes do setor com as quais mantemos parceria em questões de governança de IA.

Sobre o autor

Casey BleekerDiretor Sênior de Gestão de Produtos | F5

Mais publicações de Casey Bleeker