O Marco Legal da IA (PL 2338) ainda não é lei: foi aprovado no Senado em dezembro de 2024 e tramita na Câmara dos Deputados. Mas a direção é clara, e a ANPD, agora agência reguladora autônoma, já colocou IA entre as prioridades de fiscalização. Quem usa IA para decidir sobre pessoas (crédito, preço, atendimento, RH) ganha tempo e tranquilidade se construir desde já o que o texto propõe: transparência, revisão humana documentada e registro de decisões.
Primeiro, o cenário sem alarmismo. O PL 2338 passou pelo Senado e hoje está em análise em comissão especial da Câmara dos Deputados, com expectativa de votação no segundo semestre de 2026. Enquanto isso, a ANPD, que ganhou status de agência reguladora autônoma, definiu 75 ações de fiscalização para o biênio 2026-2027, com inteligência artificial entre os eixos prioritários, segundo o Teletime.
Ou seja: a lei específica de IA ainda vai ser votada, mas o órgão que fiscaliza dados pessoais já está olhando para IA hoje, com a LGPD na mão.
O que o PL 2338 propõe
O modelo do texto aprovado no Senado é o de classificação por risco, na linha do que a União Europeia adotou: quanto maior o potencial de dano da aplicação de IA, maiores as obrigações. Segundo a análise da Exame sobre o que muda para empresas, os pontos centrais são:
- Risco em camadas. Aplicações de risco excessivo são proibidas; as de alto risco (como avaliação de crédito, seleção de pessoas, serviços essenciais) ganham deveres reforçados de governança; as demais têm obrigações mais leves.
- Transparência. A pessoa tem o direito de saber que está interagindo com uma IA e de receber informação compreensível sobre decisões que a afetam.
- Contestação e revisão humana. Decisões de sistemas de alto risco que produzem efeitos relevantes sobre pessoas devem poder ser contestadas e revisadas por um humano.
- Sanções com dentes. O texto prevê multas de até R$ 50 milhões por infração ou até 2% do faturamento, além de outras medidas.
Vale repetir: nada disso vigora hoje. O texto ainda pode mudar na Câmara. O que não deve mudar é a espinha dorsal: risco, transparência, contestação, revisão humana.
O que a ANPD já cobra HOJE via LGPD
Aqui mora o ponto que muitos decisores ignoram: para quem usa IA sobre dados de clientes, boa parte do jogo já começou. A LGPD está em vigor desde 2020 e alcança decisões automatizadas:
- Decisão automatizada. O titular pode solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo perfis de consumo e de crédito. Se sua IA nega, aprova ou precifica sozinha, esse artigo fala com você.
- Transparência. A empresa deve conseguir informar, de forma clara, quais critérios e procedimentos usou na decisão automatizada, respeitados os segredos comercial e industrial.
- Minimização de dados. A IA só deve acessar os dados necessários para a finalidade declarada. Agente com acesso irrestrito à base inteira de clientes é passivo regulatório, além de risco de segurança.
Com a ANPD fortalecida e com um plano de fiscalização publicado que inclui IA, a chance de esses pontos saírem do papel para a prática de inspeção só aumenta.
Como se antecipar sem parar o negócio
A reação errada é congelar os projetos de IA até a lei sair. A reação certa é desenhar os projetos de um jeito que já nasce alinhado à direção regulatória, o que, na prática, é o mesmo desenho que faz um projeto de IA dar certo operacionalmente (já mostramos isso em IA não é projeto de TI, é projeto de operação):
- Registro de decisões da IA. Cada decisão relevante fica gravada com data, dados considerados e justificativa. Sem isso, você não consegue nem auditar internamente, nem responder a um cliente, nem demonstrar conformidade a um fiscal.
- Gate humano em decisões sensíveis. Defina por escrito o que a IA resolve sozinha e o que sobe para aprovação humana. É o modelo de alçada que aplicamos, por exemplo, na decisão de desconto com alçada no varejo: a IA processa o volume, o humano decide as exceções, e tudo fica registrado.
- Saber explicar por que a IA decidiu. Se ninguém na empresa consegue reconstituir o raciocínio de uma decisão da IA sobre um cliente, o problema não é só regulatório: é de gestão. Sistemas bem construídos citam a evidência de cada decisão.
A boa notícia é essa: alçada, gate humano e trilha de auditoria não são um custo extra de compliance que se adiciona depois. São a arquitetura de um sistema de IA bem feito. Quem constrói assim desde o início não vai precisar refazer nada quando a lei chegar.
“Regulação de IA no Brasil não é uma questão de se, é de quando e como. A empresa que já registra decisões, mantém revisão humana onde importa e sabe explicar o que a IA fez não vai correr atrás da lei: a lei é que vai chegar onde ela já está.”
Este artigo é informativo e não constitui aconselhamento jurídico. Antes de tomar decisões de conformidade, valide o desenho com o jurídico da sua empresa ou com um advogado especializado em proteção de dados.
Perguntas frequentes
O Marco Legal da IA já está valendo?
Não. O PL 2338 foi aprovado no Senado em dezembro de 2024 e ainda tramita na Câmara dos Deputados, com expectativa de votação no segundo semestre de 2026. Até ser aprovado, sancionado e cumprir o prazo de adaptação, ele não cria obrigações. O que já vale hoje é a LGPD, que cobre decisões automatizadas sobre dados pessoais.
Minha empresa é pequena. Isso me alcança?
A LGPD já alcança empresas de qualquer porte que tratam dados pessoais, com aplicação proporcional. No texto do PL 2338, as obrigações variam conforme o grau de risco do sistema de IA, não conforme o tamanho da empresa: uma PME que usa IA para decidir crédito ou preço de clientes tende a ter mais deveres que uma grande empresa que usa IA só para tarefas internas.
Chatbot de atendimento é decisão automatizada?
Depende do que ele faz. Se apenas responde dúvidas e agenda conversas, o peso regulatório é baixo. Se ele nega um pedido, define um preço, aprova ou recusa um cadastro sem revisão humana, aí ele está tomando decisão automatizada sobre uma pessoa, e entra no radar da LGPD hoje e do Marco Legal amanhã. O critério é o efeito sobre o cliente, não a tecnologia.
O que documentar desde já?
Três coisas: um inventário de onde a IA toma ou influencia decisões sobre pessoas, o registro de cada decisão com a justificativa (o que a IA olhou e por que decidiu) e a definição escrita de quais decisões passam por revisão humana. Esse pacote atende ao espírito da LGPD hoje e é a base do que o PL 2338 propõe. Valide o desenho com o jurídico da sua empresa.