Regulamentação da IA no Brasil: o que o PL 2338 exige da sua empresa

Resposta rápida

Sim, existe uma lei de inteligência artificial em tramitação no Brasil: o PL 2338/2023, conhecido como Marco Legal da IA. O texto foi aprovado por unanimidade no Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, com votação prevista para maio de 2026, mas ainda sem resultado final confirmado até a publicação deste artigo. Ele segue o mesmo modelo do AI Act europeu: classifica sistemas de IA por nível de risco (excessivo, alto, baixo ou moderado) e exige obrigações diferentes pra cada nível, com multa que pode chegar a R$ 50 milhões por infração ou até 2% do faturamento da empresa no Brasil. Aqui na CPDF (Comunidade Profissionais do Futuro, por Danilo Gato) o conselho pra quem usa IA na empresa é simples: não espere a lei virar realidade pra agir. As obrigações que ela vai cobrar (mapear risco, documentar decisão, testar viés, dar transparência ao usuário) já são boa prática hoje, e quem começar antes sai na frente quando a lei passar a valer de verdade.

Existe lei de inteligência artificial no Brasil? O que ela exige?

Existe, e está mais perto de virar realidade do que a maioria das empresas percebe. O PL 2338/2023 nasceu de um projeto do Senado, passou pela análise de uma comissão de juristas e foi aprovado por unanimidade no plenário do Senado Federal em dezembro de 2024. Desde então, tramita na Câmara dos Deputados, dentro de uma Comissão Especial sobre Inteligência Artificial, com relatoria do deputado Aguinaldo Ribeiro. O texto ainda pode sofrer ajustes na Câmara, e depois de aprovado lá, volta pro Senado pra nova análise antes de virar lei definitiva.

O modelo é o mesmo adotado pela União Europeia no AI Act: regulação baseada em risco, ou seja, quanto maior o potencial de dano de um sistema de IA, mais rígida é a exigência sobre ele. O projeto também cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), estabelece princípios como centralidade humana, não discriminação e transparência, e garante direitos pra quem for afetado por uma decisão de IA: direito à informação, à explicação, à contestação e à revisão humana.

Como funciona a classificação de risco de sistemas de IA?

O PL 2338 divide sistemas de IA em três faixas, e a obrigação da empresa muda conforme a faixa:

Nível de risco	O que significa	Exemplo prático
Risco excessivo	Proibido por completo, sem exceção	Manipulação subliminar de comportamento, pontuação social (social scoring) de cidadãos
Risco alto	Permitido, mas com obrigações rigorosas (documentação, avaliação de impacto, supervisão humana)	Sistema que decide contratação, concessão de crédito, diagnóstico de saúde, acesso à justiça, segurança pública, avaliação educacional
Risco baixo ou moderado	Permitido com obrigações mais leves, principalmente transparência	Chatbot de atendimento geral, recomendação de conteúdo, sistema de produtividade interna

A maior parte das empresas que usa IA hoje em atendimento, marketing ou produtividade interna está na faixa de risco baixo ou moderado. O ponto de atenção real é pra quem usa IA em decisão que afeta pessoas de forma significativa: triagem de currículo, análise de crédito, saúde, segurança. Aí a exigência sobe bastante.

O que a minha empresa precisa fazer pra ficar dentro da regulamentação de IA?

Mesmo com a lei ainda em tramitação, dá pra se preparar agora com passos concretos:

1. Mapeie onde a IA já é usada na empresa e classifique o risco de cada uso. Triagem de currículo e crédito tendem a ser alto risco; chatbot de atendimento geral tende a ser baixo risco. Sem esse mapa, não dá pra saber por onde começar.
2. Nomeie um responsável (ou comitê) de governança de IA. Não precisa ser um cargo novo: pode ser alguém do time de compliance, jurídico ou TI que centraliza a responsabilidade e sabe explicar qualquer decisão automatizada se for questionado.
3. Documente decisões de alto risco. Guarde registro de por que o sistema decidiu o que decidiu, mesmo que resumido. Sem documentação, não tem como responder a um direito de explicação nem defender a empresa depois.
4. Teste viés nos sistemas de decisão. É exatamente o tipo de auditoria que o direito à não discriminação da lei cobra, e eu já expliquei um teste prático e replicável pra isso aqui, incluindo passo a passo.
5. Avise quando a pessoa está falando com uma IA, não com um humano. Transparência é princípio central do texto: quem interage com um sistema de IA tem direito de saber disso.
6. Garanta revisão humana pra decisão de impacto real. IA pode pré-filtrar ou sugerir, mas a palavra final numa decisão que afeta muito a vida de alguém não deveria ser 100% automática.
7. Formalize isso numa política interna de uso de IA. Não adianta ter as práticas espalhadas na cabeça de quem opera; eu detalhei como montar essa política do zero aqui, com quem aprova o quê e como documentar.

Qual a diferença entre a LGPD e a lei da IA?

São coisas complementares, não a mesma coisa. A LGPD regula o DADO pessoal: como ele é coletado, usado, armazenado e compartilhado. O Marco Legal da IA regula o SISTEMA de decisão automatizada em si: se ele discrimina, se explica a própria decisão, se permite contestação, independente de estar lidando com dado pessoal ou não. Uma empresa pode estar 100% dentro da LGPD (dado bem protegido, consentimento correto) e ainda assim descumprir a futura lei de IA, se o sistema de decisão automatizada discriminar um grupo de pessoas ou não permitir que alguém conteste uma decisão. Eu detalhei os riscos específicos da LGPD com IA aqui, que é o ponto de partida antes de pensar na regulamentação de IA propriamente dita.

Quem precisa se preparar primeiro?

Setores que já lidam com decisão sensível e responsabilidade regulatória saem na frente quando entendem o texto cedo. Escritórios de advocacia que usam IA pra triagem de processo ou pesquisa jurídica, por exemplo, respondem por um padrão de cuidado ainda maior, já que lidam direto com direito de terceiros: eu escrevi sobre uso responsável de IA no trabalho jurídico aqui. O mesmo vale pra times de auditoria e compliance, que já são o departamento natural pra tocar governança de IA dentro da empresa: tem um guia específico sobre IA em auditoria e controles internos aqui.

O que acontece se a empresa descumprir a lei?

O texto prevê um regime de sanção administrativa em escala, não só multa direto. A sequência prevista é: advertência primeiro, depois multa (que pode chegar aos R$ 50 milhões por infração ou 2% do faturamento da empresa no Brasil, o que for aplicável), publicização da infração (a empresa é exposta publicamente), e em casos mais graves, suspensão temporária ou até definitiva do desenvolvimento, fornecimento ou operação daquele sistema de IA. O projeto também prevê responsabilidade civil objetiva pra fornecedores e operadores de sistemas de risco alto ou excessivo, com inversão do ônus da prova em favor de quem foi prejudicado: ou seja, em caso de dano, cabe à empresa provar que o sistema funcionou corretamente, não ao contrário. Esse desenho de sanção escalonada é o motivo pelo qual vale mapear o risco cedo: descumprimento não vira multa direto na primeira falha, mas ignorar o aviso repetidamente sai caro.

A multa de até R$ 50 milhões por infração é o número que chama atenção, mas não é o motivo real pra agir agora. O motivo real é que os passos que a lei vai cobrar (mapear risco, documentar, testar viés, dar transparência) já protegem a empresa de erro caro hoje, com ou sem lei em vigor. Quem espera a votação final pra começar vai estar correndo atrás depois; quem já organiza isso agora só precisa formalizar o que já faz.