Marco legal da IA no Brasil: o que o PL 2338 muda para empresas
Resumo do PL 2338 pela fonte primária: risco, direitos das pessoas, governança e como conferir o estágio e preparar sua empresa sem esperar a lei.
Quer aplicar isso na sua empresa?
Agendar conversa com o Juan →Marco legal da IA no Brasil: o que o PL 2338 muda para empresas
O marco legal da inteligência artificial no Brasil está em discussão no Congresso por meio do PL 2338, que propõe regras por nível de risco, direitos para pessoas afetadas e deveres de governança para quem desenvolve ou usa sistemas de IA. Enquanto o texto não vira lei, a LGPD, o Código de Defesa do Consumidor e as regras setoriais já se aplicam. Este artigo resume os pontos do projeto relevantes para empresas, mostra onde conferir o estágio atual na fonte oficial e lista o que dá para preparar agora.
Uma nota de método: separamos o que vem da documentação oficial (o texto e a tramitação), o que é leitura prática de implantação e o que é hipótese. O texto pode mudar a cada etapa. Antes de decidir qualquer coisa com base neste resumo, leia a versão vigente da proposta e peça validação jurídica.
Principais pontos
- O projeto adota uma lógica de risco: quanto maior o impacto potencial sobre pessoas, mais deveres para a empresa.
- Há práticas de risco excessivo que seriam vedadas e uma categoria de alto risco com obrigações de avaliação, documentação e supervisão humana.
- Pessoas afetadas por decisões de sistemas de IA teriam direitos de informação, explicação, contestação e revisão, em diálogo direto com a LGPD.
- A coordenação da fiscalização aparece associada a um sistema de governança com participação da ANPD, o que deve ser confirmado no texto vigente.
- Dá para se preparar sem esperar: inventário de sistemas, classificação de risco interna, registro de decisões e política de uso.
Em que pé está o projeto e como conferir o estágio atual
O PL 2338 teve origem no Senado Federal e, pelo que consta na tramitação, seguiu para a Câmara dos Deputados. Como o estágio muda com frequência (comissões, relatores, emendas, votações), não vale confiar em resumos de terceiros, inclusive este, para saber onde o projeto está hoje.
O caminho para conferir na fonte primária é curto:
- No portal do Senado, busque a matéria pelo número PL 2338 e leia a ementa, o autor, o histórico de tramitação e o texto mais recente.
- No portal da Câmara, acesse a área de propostas legislativas, pesquise o mesmo número e confira se há numeração própria, relator, comissões e pareceres.
- Compare a data e a versão do texto que você está lendo com a última movimentação registrada. Textos de parecer e substitutivos podem diferir do que foi aprovado antes.
- Registre a versão lida e o dia da consulta no seu material interno. Isso evita que a empresa decida com base em um texto superado.
Se a proposta virar lei, ainda haverá prazos de adaptação e regulamentação. Isso importa para o planejamento: a obrigação formal pode vir depois, mas os hábitos que ela exige levam tempo para existir.
Como o projeto classifica os sistemas por risco
O desenho central, segundo o texto que passou pelo Senado, é a classificação por risco. Em linhas gerais:
- Risco excessivo: usos que o projeto pretende proibir, como certas formas de manipulação de comportamento ou exploração de vulnerabilidades de grupos específicos.
- Alto risco: sistemas usados em áreas sensíveis, como decisões sobre acesso a crédito, seleção e gestão de pessoas, saúde, segurança e serviços essenciais. A lista exata deve ser conferida no texto vigente.
- Demais sistemas: sujeitos a deveres mais leves, como transparência e boas práticas.
Há também previsão de avaliação preliminar para identificar o grau de risco antes de colocar o sistema em uso, e atenção específica a modelos de uso geral e generativos. Os detalhes variam entre versões, então trate esta lista como mapa de leitura, não como substituto do texto.
Uma comparação útil é o regulamento europeu, que também organiza obrigações por risco. Ele não vale no Brasil, mas serve de referência para entender a lógica. Há uma visão geral em artificialintelligenceact.eu, citada na seção de fontes.
O que muda para quem usa IA, mas não desenvolve?
A maioria das empresas brasileiras não treina modelos. Elas contratam ferramentas, conectam um modelo ao atendimento ou ao CRM e montam fluxos. O projeto distingue agentes da cadeia (desenvolvedor, fornecedor, aplicador), e quem coloca o sistema em operação costuma ter deveres próprios, mesmo sem ter criado o modelo.
Na prática de implantação, isso significa que a empresa que usa IA precisa saber responder a perguntas simples:
- Que sistemas de IA estão em uso e para qual finalidade?
- Que dados pessoais entram e saem de cada um?
- Quem decide quando a IA erra ou não sabe?
- Há decisão com efeito relevante sobre uma pessoa, como crédito, contratação, cancelamento ou acesso a serviço?
- Existe registro suficiente para explicar o que aconteceu em um caso específico?
É uma hipótese de trabalho, não uma leitura jurídica, mas empresas que já têm esses cinco pontos documentados tendem a chegar a qualquer versão final do marco legal em melhor posição. Um atendimento por WhatsApp que apenas responde dúvidas de horário e status de pedido está em outro patamar de risco que um fluxo que aprova ou nega algo para o cliente.
Direitos das pessoas afetadas e a ligação com a LGPD
Um bloco importante do projeto trata dos direitos de quem é afetado por sistemas de IA: ser informado de que está interagindo com um sistema, receber explicação sobre decisões, contestar e pedir revisão humana quando o efeito for relevante, além de proteção contra discriminação.
Quem conhece a LGPD vai reconhecer o padrão. A lei já prevê o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado, e o projeto reforça e detalha essa linha. Para entender o que já vale hoje, leia decisões automatizadas na LGPD e o direito de revisão.
Outro ponto que já é realidade e continuará sendo: se o fornecedor do modelo processa dados fora do Brasil, a LGPD exige cuidados. O texto transferência internacional de dados com IA detalha o que verificar. O marco legal da IA não substitui essa análise, ele se soma a ela.
O que preparar sem esperar a lei
Nada aqui depende da aprovação do projeto. São práticas que já reduzem risco com a LGPD e com o Código de Defesa do Consumidor. Um plano em passos, na ordem em que costuma funcionar:
- Passo 1, inventário: liste cada uso de IA na empresa, inclusive o informal, como colaboradores usando assistentes de chat com dados de clientes. Uma política de uso de ChatGPT na empresa ajuda a trazer esse uso para a luz.
- Passo 2, classificação interna: para cada uso, marque se há dado pessoal, se há decisão que afeta alguém e se existe um humano que revisa. Use três níveis simples: informativo, operacional, decisório.
- Passo 3, limites: defina o que o sistema pode e não pode fazer, quais ferramentas e dados ele acessa e quando transfere para uma pessoa.
- Passo 4, registro: guarde logs de entradas, respostas, ações tomadas e transferências para humano, com prazo de retenção definido e acesso restrito.
- Passo 5, canal de contestação: garanta que o cliente ou colaborador possa pedir revisão humana e saiba como.
- Passo 6, responsável e rotina: nomeie quem responde pelo sistema e agende revisões periódicas de qualidade e de risco.
- Passo 7, acompanhamento: reserve um momento fixo, por exemplo a cada trimestre, para reconferir a tramitação nas páginas do Senado e da Câmara.
Para referência de estrutura de gestão de riscos, o NIST publica um framework voluntário, usado internacionalmente, que organiza o tema em funções de governança, mapeamento, medição e gestão. Não é lei brasileira, mas dá vocabulário e roteiro.
Se a IA também for usada para acompanhar o desempenho de pessoas, vale ler como medir produtividade com IA na equipe sem virar vigilância, porque gestão de pessoas costuma cair em áreas sensíveis.
Cenário ilustrativo: duas empresas, dois níveis de risco
Cenário ilustrativo, sem relação com nenhuma empresa real. Uma loja de materiais de construção usa um agente no WhatsApp para informar horário, status de entrega e segunda via de boleto, com transferência para atendente quando o cliente reclama. Outra empresa de serviços usa um sistema de IA para pontuar candidatos e decidir quem avança em um processo seletivo.
A primeira tem uso operacional: dados pessoais básicos, nenhuma decisão relevante sem humano, logs simples. A segunda toca uma área que projetos de regulação costumam tratar como sensível, pois a decisão afeta o acesso de uma pessoa a uma oportunidade. A segunda empresa precisaria, no mínimo, documentar critérios, testar vieses, informar os candidatos, manter revisão humana e conseguir explicar um resultado individual.
A lição prática: o mesmo marco legal pode pedir pouco de um caso e bastante do outro. Por isso o inventário e a classificação vêm antes de qualquer investimento em conformidade.
Como mapear, limitar, pilotar e transferir se aplica aqui
O método que usamos em implantações de IA se encaixa bem na preparação regulatória, sem prometer conformidade com uma lei que ainda não está fechada:
- Mapear: descrever o processo atual, quem decide o quê e quais dados circulam, antes de colocar IA no meio.
- Limitar: restringir dados, ferramentas e ações do agente, com permissões mínimas e transferência para humano em casos de dúvida ou efeito relevante.
- Pilotar: começar por um fluxo real, com logs e uma métrica de sucesso combinada, e revisar os registros antes de expandir.
- Transferir: entregar à equipe a documentação, os logs e a rotina de revisão, e decidir com base no que foi observado se expande, ajusta ou encerra.
O subproduto desse trabalho (inventário, limites, logs, responsáveis) é exatamente o material que qualquer versão do marco legal tende a exigir. Se a regra mudar, a empresa ajusta documentos, não recomeça do zero.
Perguntas frequentes
O PL 2338 já está em vigor? Não. Um projeto de lei só produz efeitos depois de aprovado pelas duas Casas, sancionado e publicado, e o texto pode prever prazos de adaptação. Confira o estágio atual nos portais do Senado e da Câmara.
Minha empresa precisa esperar a lei para organizar o uso de IA? Não. A LGPD, o Código de Defesa do Consumidor e normas setoriais já se aplicam hoje a sistemas de IA que tratam dados ou afetam clientes. Inventário, limites, registros e canal de revisão humana são úteis em qualquer cenário.
Um agente de atendimento no WhatsApp é considerado de alto risco? Depende do que ele faz, e a resposta final está no texto vigente e na análise jurídica do caso. Como hipótese de trabalho, um agente que apenas informa e encaminha tende a ter risco menor que um que aprova, nega ou classifica pessoas com efeito relevante.
Quem fiscalizaria as regras de IA no Brasil? O texto discutido associa a coordenação a um sistema de governança com papel central da ANPD, mas a estrutura pode mudar durante a tramitação. Acompanhe a página da ANPD e o texto mais recente do projeto para confirmar.