A regulação da inteligência artificial no Brasil deixou de ser uma discussão distante. O Projeto de Lei nº 2.338/2023 (PL 2338/2023) foi aprovado pelo Senado Federal e está em análise na Câmara dos Deputados. Em 3 de junho de 2026, o registro oficial da Câmara indica que o projeto aguarda parecer do relator na Comissão Especial. Portanto, ainda não é lei, e o texto pode mudar durante a tramitação.
Mesmo assim, empresas de tecnologia que desenvolvem, integram, distribuem ou aplicam sistemas de IA não deveriam esperar a sanção presidencial para agir. A preparação para uma regulação baseada em risco não se resolve com uma política redigida na última hora. Ela exige inventário de sistemas, documentação, testes, registros, revisão de contratos, governança de dados e capacidade real de responder a incidentes.
O texto aprovado pelo Senado propõe regras nacionais para a governança responsável da IA, com objetivos como proteger direitos fundamentais, estimular a inovação responsável e a competitividade, e garantir sistemas seguros e confiáveis.
A grande mudança é cultural: sair do "lançar primeiro e corrigir depois" para projetar, testar, documentar, monitorar e demonstrar conformidade.
1. O ponto de partida: IA vira tema de governança corporativa
Muitas empresas ainda tratam a IA como uma funcionalidade técnica: um chatbot, uma API, um classificador, um motor de recomendação, um copiloto ou um modelo generativo embutido em um produto.
A regulação proposta muda essa perspectiva. A IA passa a ser tema de compliance, segurança da informação, proteção de dados, auditabilidade, direitos do consumidor, propriedade intelectual, ética, gestão de riscos e responsabilidade civil.
O projeto define papéis na cadeia de valor da IA, entre eles desenvolvedor, distribuidor e aplicador. Desenvolvedor é quem desenvolve um sistema de IA, diretamente ou por encomenda, para colocá-lo no mercado ou aplicá-lo em um serviço sob seu próprio nome ou marca. Aplicador é quem emprega ou utiliza o sistema em seu próprio nome ou benefício, inclusive configurando, mantendo ou apoiando seu funcionamento com dados.
Isso significa que a pergunta deixa de ser apenas "o modelo funciona?". Passa a ser: quem é responsável por quê, em qual etapa do ciclo de vida e com que evidências?
2. O núcleo do projeto: classificar o risco antes de escalar
A lógica central do projeto é a categorização de risco. O texto prevê uma avaliação preliminar para determinar o grau de risco do sistema antes de sua introdução, circulação no mercado, implantação ou uso. Essa avaliação pode servir para demonstrar conformidade com requisitos de segurança, transparência e ética.
Na prática, as empresas de tecnologia precisarão de um processo interno para responder, produto a produto:
- Qual é a finalidade do sistema de IA? Um sistema que apenas organiza documentos internos não tem o mesmo risco de uma solução que recomenda diagnóstico médico, tria candidatos a vagas, apoia decisões de crédito ou influencia o acesso a serviços essenciais.
- Quem será afetado? O risco muda quando as pessoas afetadas incluem consumidores, trabalhadores, pacientes, estudantes, crianças, idosos, pessoas com deficiência ou outros grupos vulneráveis.
- Há impacto jurídico, econômico ou social relevante? Sistemas que influenciam contratação, demissão, benefícios, acesso a serviços públicos, diagnóstico ou segurança exigem controles mais fortes.
- O sistema é generativo ou de propósito geral? O projeto cria medidas específicas para sistemas de IA de propósito geral e generativos, especialmente quando há risco sistêmico.
3. Risco excessivo: alguns usos devem ser evitados por completo
O texto aprovado pelo Senado prevê casos de risco excessivo, nos quais o desenvolvimento, a implementação e o uso de sistemas de IA são proibidos. Entre os exemplos:
- sistemas destinados a induzir comportamento que cause dano à saúde, à segurança ou a direitos fundamentais;
- sistemas que explorem vulnerabilidades;
- sistemas usados para avaliar traços de personalidade ou comportamento a fim de prever crimes ou reincidência;
- sistemas que possibilitem ou facilitem material de abuso ou exploração sexual infantil;
- pontuação social ilegal ou desproporcional por parte do poder público;
- armas autônomas;
- e certos casos de identificação biométrica remota em tempo real em espaços públicos, sujeitos às exceções descritas no projeto.
Para quem desenvolve IA, isso pede uma medida objetiva: criar uma lista interna de usos proibidos.
Não basta dizer que a empresa usa IA responsável. É preciso ter critérios claros para recusar projetos, clientes, integrações, bases de dados e finalidades.
Um bom processo de vendas e de aprovação de produtos de IA deve incluir uma pergunta simples antes de qualquer proposta: este caso de uso é permitido, sensível ou proibido?
4. Alto risco: onde a documentação deixa de ser opcional
O projeto trata certos sistemas de IA como de alto risco quando usados em contextos como infraestrutura crítica, seleção e avaliação de estudantes, recrutamento e gestão de trabalhadores, acesso a serviços essenciais públicos ou privados, priorização de serviços públicos essenciais, administração da justiça, veículos autônomos em espaços públicos, aplicações de saúde que apoiam diagnóstico e procedimentos médicos, entre outros contextos listados.
Para esses sistemas, as empresas precisarão de governança reforçada. Entre outras medidas, o texto exige documentação ao longo do ciclo de vida, processos para avaliar acurácia e robustez, verificação de resultados discriminatórios ilegais ou abusivos, testes de confiabilidade e segurança, documentação do grau de supervisão humana, medidas para mitigar vieses discriminatórios e informações que permitam interpretar resultados e o funcionamento do sistema, respeitando segredos comercial e industrial.
Na prática, as empresas devem começar a preparar:
- model cards;
- data datasheets;
- registros de versões;
- logs operacionais;
- registros de treinamento, retreinamento e validação;
- testes de acurácia, robustez, segurança, viés e explicabilidade;
- relatórios de limitações conhecidas;
- matrizes de risco;
- planos de supervisão humana;
- trilhas de auditoria;
- políticas de atualização e descontinuação.
Essa documentação não deve ser produzida apenas para cumprir tabela. Ela será a principal forma de demonstrar que a empresa entendeu os riscos, adotou medidas proporcionais e monitorou os efeitos da tecnologia.
5. Avaliação de impacto algorítmico: o novo relatório de risco de IA
Uma das obrigações mais relevantes do projeto é a avaliação de impacto algorítmico para sistemas de alto risco.
O texto prevê que a avaliação de impacto algorítmico é responsabilidade do desenvolvedor ou do aplicador que introduz ou coloca em circulação no mercado um sistema de IA sempre que o sistema ou seu uso for de alto risco, considerando o papel e a participação de cada agente na cadeia. A avaliação deve considerar riscos e benefícios para os direitos fundamentais, as medidas de mitigação e a efetividade dessas medidas.
O projeto também prevê que a avaliação deve ser feita antes da introdução ou colocação do sistema em circulação no mercado e funcionar como um processo contínuo durante todo o ciclo de vida dos sistemas de alto risco, com atualizações periódicas. Quando a LGPD (Lei Geral de Proteção de Dados) exigir relatório de impacto à proteção de dados, a avaliação de impacto algorítmico pode ser feita em conjunto com esse documento.
Em outras palavras: antes de escalar uma solução, a empresa precisará explicar quais riscos identificou, quais controles adotou e como vai verificar se esses controles funcionam.
Uma boa avaliação de impacto algorítmico deve responder:
- O que o sistema faz? Qual é a finalidade, o público afetado, o contexto e a consequência da decisão ou recomendação?
- Quais dados foram usados? Quais são a origem, a qualidade, a base legal, a representatividade, a sensibilidade e as limitações dos dados?
- Quais riscos foram identificados? Pode haver discriminação, erro, alucinação, exclusão, dano econômico, dano moral, violação de privacidade, insegurança ou impacto sobre direitos fundamentais?
- Quais medidas reduzem esses riscos? Há revisão humana? Limites de uso? Avisos? Logs? Testes? Monitoramento? Plano de contingência?
- Como a empresa comprova isso? Há registros, responsáveis, evidências, métricas, auditorias e documentação acessível?
6. IA generativa e modelos de propósito geral: a documentação se torna estratégica
O projeto também trata da IA de propósito geral e da IA generativa. Define IA generativa como um modelo de IA projetado para gerar ou modificar significativamente texto, imagens, áudio, vídeo ou código de software, com diferentes graus de autonomia. Define sistema de IA de propósito geral como um sistema baseado em um modelo treinado com grandes bases de dados, capaz de realizar uma ampla variedade de tarefas distintas e servir a diferentes finalidades.
Para desenvolvedores desses sistemas, o texto prevê documentação do desenvolvimento e uma avaliação preliminar para identificar os níveis de risco esperados, inclusive o potencial risco sistêmico. Para sistemas com risco sistêmico, o projeto inclui exigências como descrever o modelo, documentar testes e análises de riscos razoavelmente previsíveis, documentar os riscos remanescentes não mitigáveis, usar bases de dados coletadas e tratadas conforme os requisitos legais, publicar um resumo dos dados de treinamento e fornecer instruções inteligíveis a desenvolvedores, distribuidores e aplicadores.
Isso é especialmente importante para empresas que oferecem:
- grandes modelos de linguagem;
- copilotos corporativos;
- agentes autônomos;
- APIs de IA;
- modelos multimodais;
- plataformas de IA para terceiros;
- ferramentas que geram texto, imagem, áudio, vídeo ou código.
A pergunta para essas empresas será: o cliente consegue usar o modelo com clareza sobre suas capacidades, limitações, riscos e responsabilidades?
7. Transparência, explicação e revisão humana
O projeto prevê direitos para pessoas ou grupos afetados por sistemas de IA, independentemente do nível de risco, incluindo o direito à informação sobre interações com IA, à privacidade e proteção de dados, à proteção contra discriminação ilegal ou abusiva e à correção de vieses discriminatórios ilegais ou abusivos. Para sistemas de alto risco, o texto prevê direitos como explicação de decisões, recomendações ou previsões, contestação, pedido de revisão e revisão humana, considerando contexto, risco e estado da arte.
Isso afetará diretamente a experiência do usuário. As empresas precisarão revisar interfaces, termos de uso, contratos, mensagens automáticas, fluxos de suporte e políticas. Em muitos casos, será necessário informar ao usuário que há uso de IA, explicar as limitações do sistema, criar um canal de contestação e oferecer revisão humana em situações sensíveis.
Transparência não é despejar código, pesos de modelo ou jargão técnico sobre o usuário. Transparência é permitir que a pessoa afetada entenda, em linguagem acessível, que houve uso de IA, para qual finalidade, quais são seus limites e como exercer seus direitos.
8. Governança de dados e LGPD: a regulação de IA não substitui a proteção de dados
Nenhuma empresa deve tratar o projeto de IA isoladamente. A LGPD continua central.
O próprio projeto remete à privacidade, à proteção de dados e aos direitos dos titulares previstos na LGPD. Para sistemas de IA de propósito geral e generativos com risco sistêmico, o texto prevê que as bases de dados sejam coletadas e tratadas em conformidade com os requisitos legais, especialmente quando houver dados pessoais.
Na prática, as empresas precisarão revisar:
- a base legal para coleta, treinamento, inferência e retenção de dados;
- o tratamento de dados sensíveis;
- dados de crianças e adolescentes;
- minimização de dados;
- anonimização ou pseudonimização, quando aplicável;
- segurança da informação;
- controle de acesso;
- retenção e exclusão;
- direitos dos titulares;
- contratos com operadores, fornecedores e clientes.
Empresas sem maturidade em LGPD terão mais dificuldade para cumprir uma futura regulação de IA. A governança de IA começa na governança de dados.
9. Direitos autorais, bases de dados e conteúdo protegido
Um ponto sensível para quem desenvolve IA é o uso de conteúdo protegido por direitos autorais em mineração, treinamento e desenvolvimento.
O texto aprovado pelo Senado prevê que o agente de IA que utilizar conteúdo protegido por direitos autorais e conexos em processos de mineração, treinamento ou desenvolvimento deve remunerar os titulares desses direitos, garantindo condições de negociação coletiva ou direta, gratuita ou onerosa, e aplicando critérios como razoabilidade, proporcionalidade, o porte do agente de IA e os efeitos concorrenciais.
O projeto também prevê exceções: o uso automatizado de conteúdo protegido para mineração de textos e dados em pesquisa e desenvolvimento de sistemas de IA por organizações científicas, de pesquisa e educacionais, museus, arquivos públicos e bibliotecas não constitui violação de direitos autorais, desde que atendidas condições como acesso lícito, finalidade não comercial e uso limitado ao necessário.
Para as empresas, a recomendação é clara: não tratar bases de dados como uma caixa-preta. É preciso saber:
- de onde vieram os dados;
- quais licenças se aplicam;
- se há conteúdo protegido;
- se há dados pessoais;
- se houve scraping;
- se existem restrições contratuais;
- se há política de gestão de opt-out ou de proibições;
- se os fornecedores têm direito de licenciar os dados;
- se versões e fontes são registradas.
O debate sobre direitos autorais em IA ainda pode mudar durante a tramitação, mas a direção é clara: a rastreabilidade dos dados importará cada vez mais.
10. Contratos: a cadeia de IA exigirá responsabilidades mais claras
O projeto reconhece diferentes agentes na cadeia de valor da IA. Isso afeta os contratos entre desenvolvedores, distribuidores, integradores, aplicadores, fornecedores de dados e clientes.
O texto prevê cooperação entre os agentes de IA para disponibilizar informações, acesso técnico e assistência razoavelmente esperados para a conformidade, preservando segredos comercial e industrial. Também prevê que distribuidores devem assegurar que o sistema de IA cumpra as medidas de governança antes de ser colocado em circulação no mercado, e que um aplicador ou distribuidor que modifique substancialmente o sistema ou altere sua finalidade pode ser tratado como desenvolvedor para fins legais.
Isso deve levar as empresas a revisar contratos com cláusulas sobre:
- finalidades permitidas;
- usos proibidos;
- responsabilidades de cada parte;
- dados fornecidos pelo cliente;
- uso de dados para treinamento;
- retenção e exclusão;
- logs e auditabilidade;
- apoio a avaliações de impacto;
- incidentes;
- subcontratação;
- propriedade intelectual;
- limites de responsabilidade;
- deveres de cooperação regulatória.
Em IA, um contrato mal escrito vira risco operacional.
11. Incidentes: a governança pós-lançamento também será regulada
A governança não termina na implantação. O projeto prevê que os agentes de IA que tomarem conhecimento, depois de o sistema ser introduzido no mercado ou usado em um serviço, de um risco ou impacto inesperado e relevante sobre direitos de pessoas naturais devem comunicar imediatamente o fato à autoridade setorial e aos demais agentes da cadeia, para que as medidas adequadas sejam tomadas, incluindo a notificação de pessoas e grupos afetados quando necessário.
Isso exige um processo específico de resposta a incidentes de IA. Não se trata apenas de incidentes de cibersegurança. Podem estar em jogo:
- viés discriminatório não detectado;
- erros sistêmicos de recomendação;
- alucinações com impacto relevante;
- vazamento de dados por meio das saídas do modelo;
- uso indevido por clientes;
- prompt injection;
- uso para finalidade proibida;
- degradação de desempenho;
- decisões automatizadas indevidas;
- dano a grupo vulnerável.
Empresas maduras terão playbooks para contenção, investigação, comunicação, correção e registro de evidências.
12. Sanções: o compliance em IA terá peso financeiro e reputacional
O texto prevê sanções administrativas para violações da futura lei, incluindo advertência, multa simples limitada a R$ 50 milhões por infração e, para pessoas jurídicas de direito privado, de até 2% do faturamento bruto do grupo ou conglomerado no Brasil no último exercício, excluídos os tributos. Entre as demais sanções estão a publicização da infração, restrições à participação em sandboxes regulatórios, a suspensão parcial ou total do desenvolvimento, fornecimento ou operação do sistema de IA e a proibição de tratamento de determinadas bases de dados.
O mesmo dispositivo estabelece que a aplicação das sanções considerará fatores como gravidade, boa-fé, vantagem obtida, condição econômica, reincidência, grau do dano, cooperação, adoção de mecanismos internos para reduzir riscos, análise de impacto algorítmico, códigos de ética, boas práticas, governança e pronta ação corretiva.
Este ponto é essencial: a empresa que documenta, testa, monitora e corrige demonstra diligência. A empresa que não registra nada dependerá apenas de narrativa.
13. O papel da ANPD e do Sistema Nacional de Regulação e Governança de IA
O texto aprovado pelo Senado autoriza o Poder Executivo a instituir o Sistema Nacional de Regulação e Governança de Inteligência Artificial, o SIA. O projeto prevê que o SIA incluiria a Autoridade Nacional de Proteção de Dados (ANPD), como autoridade competente que coordena o sistema, as autoridades setoriais, o Conselho Permanente de Cooperação Regulatória de Inteligência Artificial e o Comitê de Especialistas e Cientistas de IA.
Isso indica uma tendência de regulação coordenada: uma autoridade central trabalhando com reguladores setoriais.
Para empresas que atuam em saúde, educação, mercado financeiro, seguros, telecomunicações, energia, setor público, segurança, mobilidade ou recursos humanos, a conformidade pode envolver tanto as regras gerais de IA quanto normas setoriais específicas.
14. Prazos: esperar a lei entrar em vigor pode ser tarde demais
O texto aprovado pelo Senado prevê vigência geral 730 dias após a publicação oficial, com alguns dispositivos entrando em vigor após 180 dias e outros na data da publicação.
Como o projeto ainda está em análise na Câmara dos Deputados, essas datas podem mudar. Ainda assim, os prazos escalonados mostram que a adaptação regulatória não será instantânea. Empresas que começarem antes terão vantagem competitiva.
Em tecnologia, dois anos passam rápido quando é preciso revisar arquitetura, dados, contratos, logs, documentação, processos de suporte, governança e cultura de produto.
15. O que quem desenvolve IA deve fazer agora
A melhor estratégia é iniciar um programa de governança de IA antes da aprovação final. Um plano mínimo deve incluir:
- 1. Inventário de IA: mapear todos os sistemas, modelos, APIs, agentes, copilotos, chatbots, classificadores, motores de recomendação e automações que usam IA.
- 2. Classificação de risco: separar usos proibidos, usos de alto risco, sistemas generativos, sistemas de propósito geral e demais sistemas. Registrar a justificativa.
- 3. Governança de dados: revisar origem, qualidade, licenças, base legal, retenção, segurança e direitos dos titulares.
- 4. Documentação técnica: criar model cards, data datasheets, histórico de versões, registros de testes, limitações e responsáveis.
- 5. Testes e validação: executar testes de acurácia, robustez, segurança, viés, explicabilidade e alucinação.
- 6. Supervisão humana: definir quando a revisão humana é necessária, quem revisa, em que prazo e com que autoridade.
- 7. Transparência para o usuário: informar quando há IA envolvida, explicar limitações, criar canais de contestação e facilitar o exercício de direitos.
- 8. Contratos e responsabilidades: atualizar contratos com clientes, fornecedores, integradores e distribuidores.
- 9. Resposta a incidentes de IA: criar um processo para detectar, conter, comunicar, corrigir e registrar incidentes de IA.
- 10. Comitê de IA responsável: envolver as áreas jurídica, de segurança, privacidade, engenharia, produto, dados, compliance e negócios.
Conclusão
O PL 2338/2023 ainda não é lei. Está em análise na Câmara dos Deputados e pode ser alterado. Mas a direção regulatória já está clara: a IA será governada por risco, controles ao longo do ciclo de vida, documentação, transparência, supervisão humana, governança de dados, responsabilidade e capacidade de demonstrar conformidade.
Para as empresas de tecnologia, a preparação deve começar agora. Não porque a lei já esteja em vigor, mas porque a maturidade que ela exige não pode ser improvisada.
Fontes verificadas
- Ficha de tramitação oficial do PL 2338/2023 na Câmara dos Deputados: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262
- Texto integral do projeto enviado pelo Senado à Câmara: https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2881712&filename=Avulso+PL+2338%2F2023
- Registro oficial do PL 2338/2023 no Senado Federal: https://www25.senado.leg.br/web/atividade/materias/-/materia/157233
Este artigo é informativo e não substitui assessoria jurídica para casos específicos.
Perguntas frequentes
O PL 2338/2023 sobre inteligência artificial já é lei?
Não. O projeto foi aprovado pelo Senado Federal e está em análise na Câmara dos Deputados. Em 3 de junho de 2026, o registro oficial da Câmara indica que ele aguarda parecer do relator na Comissão Especial, e o texto ainda pode mudar.
Quais são as multas previstas no PL 2338/2023?
O texto aprovado pelo Senado prevê advertência, multa simples limitada a R$ 50 milhões por infração e, para pessoas jurídicas de direito privado, de até 2% do faturamento bruto do grupo ou conglomerado no Brasil no último exercício, excluídos os tributos. Há ainda sanções como publicização da infração, suspensão parcial ou total do sistema e proibição de tratar determinadas bases de dados.
Quais usos de IA seriam proibidos pelo projeto de lei?
São casos de risco excessivo: sistemas que induzem comportamento danoso à saúde, à segurança ou a direitos fundamentais, que exploram vulnerabilidades, que avaliam personalidade ou comportamento para prever crimes ou reincidência, que facilitam material de abuso sexual infantil, pontuação social ilegal ou desproporcional pelo poder público, armas autônomas e certos casos de identificação biométrica remota em tempo real em espaços públicos, conforme as exceções do projeto.
O que é a avaliação de impacto algorítmico?
É uma obrigação para sistemas de alto risco, de responsabilidade do desenvolvedor ou do aplicador. Deve considerar riscos e benefícios para direitos fundamentais, medidas de mitigação e sua efetividade, ser feita antes de o sistema ser colocado no mercado e funcionar como processo contínuo, com atualizações periódicas. Pode ser feita em conjunto com o relatório de impacto à proteção de dados da LGPD, quando este for exigido.
O que as empresas de tecnologia devem fazer antes de o projeto ser aprovado?
Iniciar um programa de governança de IA com inventário de sistemas, classificação de risco, governança de dados, documentação técnica, testes e validação, supervisão humana, transparência para o usuário, atualização de contratos, resposta a incidentes e um comitê de IA responsável com várias áreas da empresa.
