Marco legal da IA no Brasil: o que sua empresa deve acompanhar

Marco legal da IA no Brasil: o que sua empresa deve acompanhar

O marco legal da inteligência artificial no Brasil ainda é, em grande parte, um projeto de lei em debate no Congresso, o PL 2338/2023. Isso não significa vazio jurídico: a LGPD, o Código de Defesa do Consumidor, o Código Civil e normas setoriais já se aplicam aos sistemas de IA que sua empresa usa hoje. O trabalho prático é separar o que já é obrigação do que ainda é proposta, e se preparar para o segundo sem descuidar do primeiro.

Principais pontos

• O PL 2338/2023 propõe regras proporcionais ao nível de risco de cada sistema, mas é projeto: confirme o andamento nas páginas oficiais do Senado e da Câmara antes de decidir qualquer investimento.
• LGPD, CDC, Código Civil e regras setoriais já valem para IA, inclusive o direito de revisão de decisões tomadas apenas por tratamento automatizado.
• Atendimento a clientes, RH, crédito e saúde são as áreas em que o risco jurídico aparece primeiro, porque envolvem dados pessoais e decisões que afetam pessoas.
• NIST, OCDE e o AI Act europeu são referências úteis de método, mas não são obrigações no Brasil por si só.
• O melhor preparo é um registro vivo dos usos de IA, com dados, ações permitidas e responsável por cada fluxo. Ele serve a qualquer texto final da lei.

O que é o marco legal da IA e em que ponto está o debate?

Quando se fala em marco legal da IA no Brasil, a referência principal é o PL 2338/2023, de origem no Senado Federal. Ele busca criar regras gerais para o desenvolvimento, a oferta e o uso de sistemas de inteligência artificial. Depois de passar pelo Senado, o texto seguiu para a Câmara dos Deputados, onde pode ser alterado, aprovado ou rejeitado.

Por isso, uma regra importante de leitura: qualquer resumo de projeto de lei envelhece rápido. O que escrevemos aqui descreve a lógica geral da proposta, não um texto final. Para saber o estágio atual, busque o número do projeto nos sites do Senado e da Câmara, onde ficam o texto, as emendas e a tramitação. Em decisões da empresa, trate esse acompanhamento como tarefa recorrente do jurídico ou do encarregado de dados, não como leitura única.

Nesta publicação separamos três tipos de afirmação: o que vem de documentação oficial (leis em vigor e páginas de órgãos públicos), o que vem de experiência de implementação (como estruturar controles na prática) e o que é hipótese (como a lei pode ficar). Quando algo for hipótese, dizemos.

O que já é obrigação hoje, sem esperar a nova lei

Esta é a parte que mais surpreende donos de empresas: a ausência de uma lei específica de IA não suspende as leis existentes. Em vigor hoje, entre outras:

• LGPD (Lei 13.709/2018): vale sempre que o sistema tratar dados pessoais, o que é comum em qualquer agente de atendimento, triagem de currículos ou análise de clientes.
• Código de Defesa do Consumidor: informação clara, publicidade não enganosa e responsabilidade do fornecedor por falhas no serviço, inclusive quando o atendimento é automatizado.
• Código Civil: responsabilidade por danos causados a terceiros.
• Marco Civil da Internet: regras sobre registros, privacidade e responsabilidade em ambiente digital.
• Normas setoriais: saúde, serviços financeiros, educação e outras áreas têm regras próprias de órgãos reguladores e conselhos profissionais, que também alcançam o uso de IA.

Dentro da LGPD, alguns pontos pedem atenção direta em projetos de IA. Os princípios do art. 6 (finalidade, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização) funcionam como critério de projeto. O art. 20 garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, além de informações sobre os critérios usados. As regras sobre transferência internacional de dados (art. 33 e seguintes) importam quando o modelo de linguagem roda fora do país. E o relatório de impacto, previsto no art. 38, pode ser solicitado pela ANPD. Se você quer aprofundar esse lado, veja LGPD e inteligência artificial: o que a empresa deve fazer e RIPD para projetos de IA: quando fazer e o que incluir.

A ANPD, Autoridade Nacional de Proteção de Dados, é o órgão a acompanhar. Seu site oficial reúne orientações, regulamentos e comunicados que mudam o que a empresa precisa documentar. Vale a leitura periódica da página institucional em ANPD.

O que o projeto de lei propõe, e por que ainda é hipótese

O desenho geral do PL 2338/2023, conforme o texto que saiu do Senado, segue uma lógica de risco: quanto maior o potencial de dano de um sistema, mais exigências. De forma resumida, e sujeita a mudanças na Câmara:

• Classificação por risco: usos de risco excessivo seriam vedados, e usos de alto risco teriam obrigações reforçadas.
• Direitos das pessoas afetadas: informação sobre a interação com IA, explicação sobre decisões, possibilidade de contestar e, em certos casos, revisão humana.
• Governança: documentação, gestão de riscos e avaliação de impacto para sistemas de maior risco.
• Responsabilização: regras sobre quem responde por danos, entre quem desenvolve, fornece e opera.
• Supervisão: um arranjo institucional de fiscalização, em que a ANPD aparece com papel de coordenação no texto do Senado.

Tudo isso deve ser lido como hipótese de trabalho. Categorias de risco, prazos de adaptação, sanções e o desenho da supervisão são exatamente os pontos em que um texto costuma mudar durante a tramitação. A decisão prudente não é apostar em uma versão, e sim construir controles que ficam úteis em qualquer versão: saber onde há IA, que dados ela toca, que decisões ela influencia e quem pode intervir.

Como as referências internacionais entram na conversa?

Quem acompanha o debate brasileiro vai encontrar comparações constantes com a União Europeia. O AI Act europeu também adota abordagem por risco, e a página EU Artificial Intelligence Act reúne uma visão geral do texto. Ele é lei europeia: afeta empresas brasileiras apenas se elas ofertarem sistemas ou serviços no mercado europeu, o que deve ser avaliado caso a caso com assessoria jurídica.

Há também referências que não são lei, mas organizam o trabalho:

• NIST AI Risk Management Framework: estrutura voluntária para mapear, medir e gerir riscos de IA. Está em NIST AI RMF.
• Princípios de IA da OCDE: valores como transparência, robustez e responsabilização, descritos em OECD AI Principles.

Na nossa experiência de estruturar projetos, esses documentos são úteis como vocabulário comum entre área técnica, jurídico e diretoria. Mas citá-los em um contrato ou política interna não os transforma em obrigação legal brasileira. Eles são boa prática, e a diferença deve ficar clara no papel.

Checklist: como classificar cada uso de IA na sua empresa

Um guia de decisão simples, aplicável hoje, ajuda a ordenar prioridades enquanto o projeto tramita. Para cada uso de IA, responda:

• Trata dados pessoais? Se sim, a LGPD já se aplica: base legal, finalidade, minimização e segurança.
• Trata dados sensíveis, como saúde, biometria ou origem racial? Se sim, o cuidado sobe de nível e o jurídico deve revisar antes do piloto.
• Interage diretamente com clientes ou candidatos? Se sim, pense em aviso de que há IA, canal para falar com uma pessoa e registro das conversas.
• Decide ou influencia decisão que afeta direitos, acesso ou condições (crédito, contratação, preço, cobrança)? Se sim, trate como candidato a alto risco: revisão humana, critérios documentados e possibilidade de contestação.
• Executa ações em sistemas (enviar mensagem, alterar cadastro, emitir algo)? Se sim, defina limites, aprovação humana e log de cada ação.
• Usa fornecedor de modelo no exterior? Se sim, verifique transferência internacional, retenção de dados e uso para treinamento nos termos contratuais.
• Há um responsável nomeado? Sem dono, nenhum controle se sustenta.

O resultado não é uma nota jurídica, e sim uma triagem. Usos que respondem sim a vários itens vão para o início da fila de revisão com o jurídico e o encarregado. Para o lado técnico dos limites, o artigo sobre guardrails em agentes de IA detalha validação de entrada, saída e ação.

Cenário ilustrativo: a clínica, o WhatsApp e a triagem

Cenário ilustrativo, sem relação com nenhuma empresa real. Uma clínica pequena quer usar um agente de IA no WhatsApp para confirmar consultas e responder dúvidas. Na triagem acima, ela marca sim em: dados pessoais, dados de saúde (se o paciente descrever sintomas), contato direto com clientes e uso de fornecedor de modelo possivelmente no exterior.

Em vez de esperar a lei, a clínica decide o seguinte: o agente só confirma, remarca e informa horários; qualquer menção a sintoma ou pedido clínico é encaminhada a uma pessoa da recepção; o paciente é avisado no início da conversa de que fala com um assistente automatizado; as conversas ficam registradas com prazo de retenção definido; o contrato com o fornecedor é lido com atenção a transferência internacional e treinamento com dados. Nada disso depende de lei nova, e tudo isso será útil se a lei final exigir transparência, supervisão humana ou documentação de risco. Para esse tipo de setor, vale também ler sobre dados de saúde e IA em clínicas.

Plano em cinco passos para se preparar sem esperar a lei

O método que usamos em projetos de IA combina bem com a gestão regulatória: mapear, limitar, pilotar e transferir. Aplicado ao tema, fica assim:

• Mapear: faça o inventário de todos os usos de IA, inclusive os informais, como funcionários colando dados de clientes em ferramentas públicas. Uma política de uso de ChatGPT na empresa costuma ser o primeiro documento desse mapa.
• Classificar: aplique o checklist acima e ordene por risco. Registre o resultado em uma planilha simples com dono, finalidade, dados envolvidos e fornecedor.
• Limitar: para cada uso, defina o que a IA pode ver e o que pode fazer. Menos dados e menos permissões reduzem tanto o risco jurídico quanto o operacional.
• Pilotar: rode um fluxo real com logs, critério de sucesso combinado e ponto claro de transferência para um humano. O log de decisões é o que permite explicar o que aconteceu, caso um titular ou um regulador pergunte.
• Transferir e revisar: entregue a operação a um responsável interno, com rotina trimestral de revisão do registro e do andamento do projeto de lei. Ao final de cada ciclo, decida se expande, ajusta ou encerra.

Nenhum desses passos exige prever o texto final da lei. Eles criam a evidência de que a empresa sabe o que opera, que é o que qualquer regime, atual ou futuro, vai cobrar primeiro.

Sinais para acompanhar nos próximos meses

Para não transformar o tema em ruído, defina um pequeno radar:

• Tramitação do PL 2338/2023: mudanças nas categorias de risco, prazos de adaptação e regras de responsabilidade.
• Publicações da ANPD: regulamentos, guias e posicionamentos sobre decisões automatizadas e IA.
• Órgãos do seu setor: conselhos profissionais e reguladores setoriais costumam publicar regras próprias antes de uma lei geral.
• Contratos de fornecedores: mudanças nos termos sobre retenção de dados, localização de processamento e uso de dados para treinamento.

Uma pessoa responsável, com uma revisão periódica agendada, resolve a maior parte disso. O erro mais comum é tratar o assunto como evento único: lê-se uma notícia, discute-se uma reunião e nada muda no processo.

Perguntas frequentes

Já existe uma lei de inteligência artificial em vigor no Brasil? Até onde as fontes oficiais que consultamos indicam, o PL 2338/2023 é o principal projeto e continua em tramitação, mas você deve confirmar o status atual nos sites do Senado e da Câmara. Mesmo sem uma lei específica, LGPD, CDC e o Código Civil já se aplicam ao uso de IA.

Minha empresa precisa fazer um relatório de impacto para usar IA? A LGPD prevê que a ANPD pode solicitar o relatório de impacto à proteção de dados pessoais, e em projetos com dados sensíveis ou decisões que afetam pessoas ele é uma boa prática mesmo sem pedido. A decisão de fazer ou não deve passar pelo encarregado e pelo jurídico, com base no tipo de dado e no efeito da decisão.

O AI Act europeu vale para empresas brasileiras? Ele é lei da União Europeia e pode alcançar quem oferece sistemas de IA ou usa seus resultados no mercado europeu. Se a sua empresa atende clientes na Europa, peça uma avaliação jurídica específica; se não atende, ele funciona apenas como referência de método.

Preciso parar projetos de IA até a lei ser aprovada? Não há razão para isso, desde que o projeto respeite as leis já em vigor e tenha limites claros de dados e ações. O caminho mais seguro é começar por um fluxo de menor risco, com registro, revisão humana e responsável definido, e ajustar conforme o texto legal avançar.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• EU Artificial Intelligence Act overview
• NIST AI Risk Management Framework
• OECD AI Principles