O Marco Legal da IA (Inteligência Artificial) deve alterar a forma como empresas e órgãos públicos selecionam, contratam, desenvolvem e operam sistemas automatizados no Brasil. Se o texto aprovado pelo Senado for preservado em seus pontos centrais, usar IA deixará de ser apenas uma decisão de produtividade ou arquitetura de software: determinadas aplicações passarão a exigir classificação de risco, documentação, supervisão humana, avaliação de impacto e mecanismos para atender pessoas afetadas.
A mudança não deve atingir todos os sistemas da mesma maneira. Automações internas de baixo impacto tendem a receber tratamento mais simples, enquanto soluções utilizadas em crédito, saúde, educação, trabalho, segurança, serviços essenciais e decisões relevantes sobre cidadãos poderão enfrentar obrigações mais rigorosas.
Em 11 de agosto de 2026, porém, o PL 2.338/2023 ainda não havia se transformado em lei. A proposta foi aprovada pelo Senado em 10 de dezembro de 2024 e remetida à Câmara em 17 de março de 2025. Na Câmara, encontra-se sob análise de uma comissão especial e aguarda parecer do relator, o que significa que dispositivos, prazos e responsabilidades ainda podem mudar antes de uma eventual sanção presidencial.
A futura lei deve regular o risco da aplicação, não apenas a tecnologia usada
O ponto mais relevante do PL 2.338/2023 é a adoção de uma estrutura baseada em risco. O impacto regulatório não dependerá somente do modelo utilizado, do fornecedor ou do grau de sofisticação técnica. A finalidade da aplicação, o contexto de uso e as consequências para as pessoas terão peso decisivo.
Essa diferença pode ser percebida em dois sistemas construídos sobre a mesma tecnologia. Um modelo usado para organizar documentos internos produz risco diferente daquele empregado para eliminar candidatos em um processo seletivo, recomendar a concessão de crédito ou apoiar um diagnóstico médico. O segundo grupo interfere em direitos, oportunidades ou serviços relevantes e, por isso, tende a exigir controles adicionais.
O texto aprovado pelo Senado estabelece normas nacionais para uma governança responsável da IA, buscando conciliar proteção de direitos fundamentais, inovação, competitividade e segurança. Também prevê exceções, entre elas o uso exclusivamente particular e não econômico por pessoa natural, determinadas atividades de pesquisa antes da colocação do sistema no mercado, defesa nacional e serviços limitados à infraestrutura de armazenamento ou transporte de dados. Mesmo nas exceções, outras normas — como a LGPD, o Código de Defesa do Consumidor e a legislação autoral — podem continuar aplicáveis.
Na operação cotidiana, essa abordagem impede que a empresa trate “IA” como uma categoria única no inventário de tecnologia. Cada caso de uso precisará ser associado a uma finalidade, a um conjunto de dados, a pessoas potencialmente afetadas e a um responsável. Sem esse mapeamento, torna-se difícil demonstrar por que uma aplicação foi considerada de baixo ou alto risco.
Crédito, emprego, saúde e serviços públicos estarão no centro da fiscalização
A tendência é que sistemas classificados como de alto risco recebam as obrigações mais exigentes. A versão em discussão alcança aplicações capazes de influenciar decisões relevantes em áreas como seleção de trabalhadores, educação, saúde, crédito, seguros, serviços públicos, justiça e segurança.
A classificação não deve ser automática apenas porque uma ferramenta participa de determinado setor. O contexto e a influência efetiva da IA na decisão também importam. Um sistema administrativo que formata um relatório médico não produz o mesmo risco de um mecanismo que recomenda um diagnóstico. Da mesma forma, uma ferramenta que agenda entrevistas não equivale a um modelo que rejeita candidatos com base em uma pontuação automatizada.
Esse recorte é tecnicamente necessário. Classificar como alto risco qualquer software utilizado dentro de uma atividade regulada criaria obrigações desproporcionais para rotinas sem impacto decisório. A comissão especial da Câmara recebeu contribuições de diferentes setores justamente sobre limites de classificação, recorrência das avaliações e risco de sobreposição entre a futura autoridade de IA e reguladores já existentes.
Para organizações que utilizam sistemas de maior impacto, a preparação deverá incluir documentação técnica, gestão de riscos, registros de funcionamento, testes, segurança da informação, monitoramento e supervisão humana efetiva. A avaliação não poderá se limitar ao momento da contratação. Mudanças no modelo, nos dados, na população atendida ou na finalidade podem modificar o perfil de risco ao longo do ciclo de vida.
O cidadão ganhará meios para saber, questionar e contestar decisões automatizadas
A proposta procura assegurar direitos às pessoas afetadas por sistemas de IA. Entre os efeitos esperados estão maior transparência sobre a interação com máquinas, acesso a informações sobre decisões automatizadas e possibilidade de contestação quando o resultado produzir impacto relevante.
Na prática, uma empresa não poderá resolver essa obrigação somente acrescentando ao contrato uma frase genérica informando que “tecnologias de inteligência artificial podem ser utilizadas”. A transparência útil precisa permitir que a pessoa compreenda a participação da IA, a finalidade do tratamento e os caminhos disponíveis para solicitar esclarecimentos ou revisão.
Esse ponto afeta diretamente chatbots, centrais de atendimento, plataformas de recrutamento, mecanismos antifraude, análise de crédito e sistemas de recomendação. A organização terá de conectar a interface usada pelo cliente a um processo interno capaz de localizar registros, identificar a decisão e encaminhar uma contestação. Uma política publicada no site não substitui essa capacidade operacional.
O texto original do projeto já previa direitos para as pessoas afetadas, avaliação preliminar de risco e punições por descumprimento. O substitutivo aprovado pelo Senado ampliou a estrutura de governança e preservou a centralidade da pessoa humana como fundamento da regulação.
Supervisão humana não será o mesmo que manter alguém diante da tela
A expressão “supervisão humana” pode produzir uma falsa sensação de conformidade. Colocar um funcionário para aceitar a recomendação de um algoritmo não cria controle efetivo se esse profissional não possui informações, autonomia ou conhecimento para discordar do sistema.
Uma revisão humana adequada depende de pelo menos quatro condições: acesso aos elementos relevantes da decisão, treinamento compatível, autoridade para rejeitar a recomendação e registro do procedimento adotado. Caso a interface apresente apenas uma pontuação final, sem contexto ou indicadores de incerteza, a pessoa encarregada tende a confirmar o resultado por inércia.
Esse é um dos riscos normalmente omitidos em projetos de automação. Em produção, a pressão por velocidade transforma etapas de revisão em confirmações mecânicas. A empresa mantém formalmente uma pessoa no processo, mas a decisão permanece dependente do modelo. O Marco Legal da IA deverá estimular uma análise mais rigorosa sobre quem pode intervir, em quais situações e com quais evidências.
A contratação de uma ferramenta exigirá examinar dados, fornecedor e limitações
Muitas empresas utilizam inteligência artificial por meio de serviços contratados, APIs, plataformas de atendimento ou recursos adicionados a softwares já instalados. Isso não elimina a responsabilidade da organização que emprega o sistema em sua operação.
O processo de aquisição deverá ir além de preço, precisão declarada e disponibilidade. Será necessário verificar quais dados entram na solução, onde são processados, se podem ser utilizados para treinamento, quais registros são preservados, como incidentes são comunicados e que documentação o fornecedor consegue apresentar.
Também será preciso definir contratualmente as responsabilidades de cada participante. Um fornecedor pode desenvolver o modelo, enquanto outra empresa o adapta, integra e utiliza para tomar decisões. Se essas atribuições não estiverem delimitadas, a resposta a uma auditoria, falha ou solicitação de um usuário tende a se tornar lenta e fragmentada.
A experiência com ambientes corporativos mostra um problema recorrente: recursos de IA são ativados dentro de plataformas já contratadas sem passar pelo mesmo processo de homologação aplicado a um novo sistema. O recurso pode receber acesso a arquivos, caixas de e-mail ou bases internas antes que segurança, privacidade e compliance consigam avaliar seu funcionamento. A futura legislação não criará esse risco, mas elevará o custo de ignorá-lo.
IA generativa não ficará fora da regra por produzir apenas conteúdo
Modelos de propósito geral e sistemas generativos também aparecem no debate regulatório. Embora sejam capazes de atender a inúmeras finalidades, seu risco concreto depende da aplicação construída sobre eles e de características como alcance, capacidade, integração e potencial de dano.
Desenvolvedores de modelos considerados de alto risco poderão enfrentar exigências referentes a testes, mitigação de riscos, segurança, avaliação independente, documentação técnica e gestão de qualidade. Propostas discutidas no Senado também trataram da preservação de documentos por períodos prolongados e da proteção de segredos comerciais durante a supervisão regulatória.
Para o usuário comum, uma das mudanças mais visíveis deverá ser a identificação mais clara de conteúdo sintético ou manipulado. Para empresas, o problema será mais amplo. Um texto gerado pode conter informação falsa, reproduzir dados pessoais, violar direitos autorais ou ser incorporado a uma decisão sem revisão adequada.
A alegação de que “foi a IA que produziu” não transfere automaticamente a responsabilidade. Publicação, contratação, atendimento e tomada de decisão continuam vinculados a pessoas e organizações que escolheram utilizar o sistema.
Direitos autorais permanecem entre os pontos mais sensíveis do projeto
O uso de obras protegidas no treinamento de modelos e na geração de respostas é um dos temas de maior conflito. O texto aprovado pelo Senado manteve dispositivos voltados à proteção de criadores e obras, enquanto retirou os algoritmos de redes sociais da lista de aplicações automaticamente consideradas de alto risco.
A discussão voltou a ganhar destaque em 2026 devido ao efeito de resumos gerados por IA sobre o tráfego de veículos digitais. A versão em tramitação prevê tratamento para direitos autorais de conteúdos utilizados por sistemas, mas o formato final de remuneração, transparência e fiscalização ainda depende da deliberação da Câmara.
Para empresas que desenvolvem modelos ou bases de conhecimento, a procedência dos dados passará a ocupar uma posição ainda mais crítica. Manter um arquivo disponível na internet não significa que sua reutilização esteja automaticamente autorizada. Inventário de fontes, licenças, contratos e regras de exclusão deverão integrar a governança técnica.
LGPD e Marco Legal da IA formarão camadas diferentes de conformidade
A futura lei de IA não substituirá a Lei Geral de Proteção de Dados. As duas normas atuam sobre objetos relacionados, mas distintos. A LGPD regula o tratamento de dados pessoais; o Marco Legal deverá alcançar o desenvolvimento e o uso de sistemas de inteligência artificial, inclusive em situações nas quais o risco não se limita à privacidade.
Uma aplicação pode estar adequada à LGPD e ainda apresentar problemas de discriminação, falta de explicabilidade, baixa robustez ou ausência de supervisão. O inverso também ocorre: um modelo tecnicamente controlado pode tratar dados pessoais sem base legal adequada ou reter informações além do necessário.
A operação mais consistente será aquela que aproximar as áreas de privacidade, segurança, jurídico, auditoria, desenvolvimento e negócio. Criar um comitê isolado apenas para IA tende a duplicar processos e produzir inventários incompatíveis. O caminho mais eficiente é aproveitar controles existentes e acrescentar os elementos específicos de risco algorítmico.
As multas chamam atenção, mas interrupção do sistema pode ser mais prejudicial
O projeto prevê sanções que podem incluir advertência, multa, suspensão e até proibição de determinadas atividades relacionadas ao sistema. Nas versões debatidas, a multa pode chegar a R$ 50 milhões por infração ou a 2% do faturamento, conforme as condições aplicáveis.
O valor financeiro é relevante, mas nem sempre representa o maior risco para uma organização. A suspensão de um sistema integrado a atendimento, análise de fraude, logística ou operação clínica pode interromper processos essenciais. Também existem impactos reputacionais, contratuais e trabalhistas difíceis de mensurar.
A governança de IA, portanto, não deve ser tratada como um conjunto de documentos preparados para eventual fiscalização. Ela precisa reduzir a probabilidade de falha, permitir a reconstrução de decisões e manter alternativas operacionais quando o sistema automatizado não estiver disponível.
Empresas que começarem pelo inventário estarão mais próximas da conformidade
A data exata de vigência e os períodos de adaptação dependerão do texto final aprovado pelo Congresso. Ainda assim, algumas providências não exigem esperar pela sanção:
- Identificar os sistemas de IA já utilizados, incluindo recursos incorporados a plataformas existentes.
- Relacionar cada aplicação à sua finalidade, aos dados empregados e às pessoas potencialmente afetadas.
- Definir responsáveis técnicos e de negócio, evitando ferramentas sem proprietário interno.
- Criar uma classificação preliminar de risco, priorizando aplicações com efeito sobre direitos ou serviços essenciais.
- Revisar contratos e documentação de fornecedores, sobretudo em relação a dados, segurança, auditoria e incidentes.
- Estabelecer canais de contestação e revisão humana, quando a IA influenciar decisões relevantes.
- Registrar alterações, testes e incidentes, preservando evidências do funcionamento do sistema.
O inventário é o ponto de partida porque expõe um problema anterior à própria regulamentação: muitas organizações não sabem quantas ferramentas de IA utilizam, quais dados enviam a terceiros ou quais decisões dependem de modelos automatizados. Sem essa visão, avaliações de impacto e políticas internas tornam-se exercícios abstratos.
O texto final ainda pode mudar, mas a automação sem governança já perdeu espaço
O PL 2.338/2023 foi aprovado pelo Senado, porém continua aguardando definição na Câmara. A comissão especial criada para analisar a matéria realizou audiências e recebeu contribuições de empresas, especialistas e organizações da sociedade civil. Como a proposta ainda está sujeita à apreciação do Plenário, mudanças feitas pela Câmara poderão levar o texto de volta ao Senado antes da sanção.
A principal consequência prática do Marco Legal não será impedir o uso de inteligência artificial. Será retirar a tecnologia da zona informal em que projetos podem funcionar sem inventário, documentação, critérios de risco ou responsáveis claramente identificados.
Empresas que já tratam IA como parte da gestão de riscos terão trabalho de adaptação, mas partirão de uma base organizada. As mais expostas serão aquelas que contratam serviços sem examinar dados, aceitam decisões sem rastreabilidade e chamam de supervisão humana uma aprovação meramente burocrática.
Dúvidas sobre o Marco Legal da IA e o PL 2338/2023
O PL 2338/2023 já está valendo?
Não. Em 11 de agosto de 2026, o projeto continuava em tramitação na Câmara dos Deputados, aguardando parecer na comissão especial. Para virar lei, precisa concluir a análise legislativa e seguir para sanção presidencial.
Toda empresa que usa ChatGPT ou outra IA será considerada de alto risco?
Não necessariamente. A classificação considera principalmente a finalidade, o contexto e o impacto da aplicação. Usar um assistente para revisar um texto interno produz risco diferente de utilizá-lo para decidir sobre crédito, emprego, diagnóstico ou acesso a um serviço.
Pequenas empresas também deverão cumprir a lei?
A abrangência definitiva dependerá do texto aprovado e da regulamentação posterior. O projeto prevê a possibilidade de regimes simplificados para determinados casos, mas o porte da empresa não elimina automaticamente riscos aos consumidores, trabalhadores ou titulares de dados.
O Marco Legal substituirá a LGPD?
Não. A LGPD continuará regulando dados pessoais. A futura legislação de IA deverá acrescentar obrigações relacionadas a risco algorítmico, transparência, segurança, explicabilidade, supervisão e governança.
Será obrigatório informar que um atendimento é realizado por IA?
A proposta fortalece o direito à informação quando uma pessoa interage com sistemas automatizados ou é afetada por eles. O formato exato da comunicação e suas exceções dependerão da redação final e da regulamentação.
Uma decisão tomada por IA poderá ser contestada?
A estrutura do projeto reconhece direitos de informação, explicação e contestação em situações relevantes. Para cumprir essa obrigação, as organizações precisarão manter registros e um processo efetivo de revisão, não apenas um formulário genérico.
Quem será responsável por fiscalizar a inteligência artificial?
O projeto prevê o Sistema Nacional de Regulação e Governança de Inteligência Artificial, articulando a autoridade competente e reguladores setoriais. A distribuição final de competências ainda depende da aprovação e da regulamentação posterior.
A empresa deve esperar a aprovação para começar a se preparar?
Não. Inventariar ferramentas, revisar contratos, mapear dados, definir responsáveis e controlar acessos são medidas úteis mesmo que o texto seja alterado. Além de anteciparem a conformidade, elas reduzem riscos que já existem sob normas de proteção de dados, consumo, trabalho, segurança e direitos autorais.