Marco legal da IA: o que já vale para empresas
O PL 2338 ainda tramita na Câmara, mas parte das obrigações sobre uso de IA já vale hoje via LGPD e ANPD. Veja o que a sua empresa já precisa cumprir.
Muita empresa está esperando o marco legal da inteligência artificial ser aprovado para se preocupar com o assunto. É uma leitura confortável e equivocada. Uma parte relevante das obrigações sobre uso de IA já está em vigor no Brasil, por outro caminho, e já é fiscalizável. Este texto separa o que ainda é projeto do que já é regra, e mostra o que uma empresa em transformação precisa ter organizado agora.
Em que pé está o PL 2338
O PL 2338/2023 é o projeto que pretende criar o marco legal da inteligência artificial no Brasil. Ele foi aprovado por unanimidade no plenário do Senado em 10 de dezembro de 2024 e, desde então, tramita na Câmara dos Deputados. Em julho de 2026, o texto aguarda o parecer do relator na comissão especial designada para analisá-lo. Ou seja: ainda não é lei.
O que o projeto propõe, em linhas gerais:
- Classificação por nível de risco, no modelo europeu: risco excessivo (proibido), alto risco (obrigações rígidas) e risco baixo ou moderado.
- Direitos de quem é afetado por um sistema de IA: transparência, explicação e contestação da decisão.
- Criação do SIA, o Sistema Nacional de Regulação e Governança de IA, articulado com a ANPD.
- Sanções previstas de até R$ 50 milhões por infração.
O Brasil pode se tornar um dos primeiros países a exigir transparência sobre os resultados produzidos por sistemas de IA.
O que já vale hoje, sem esperar a lei nova
Aqui está a parte que costuma passar despercebida. Se a sua empresa usa IA em qualquer processo que toque dado pessoal, três instrumentos já se aplicam:
A LGPD, integralmente
IA não é uma zona fora da Lei Geral de Proteção de Dados. Se o sistema processa dado pessoal, tudo vale: base legal para o tratamento, finalidade específica, minimização, segurança e direitos do titular.
O artigo 20 da LGPD, sobre decisão automatizada
O titular tem direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Isso alcança triagem de currículo, análise de crédito, precificação personalizada e negativa de atendimento.
A Resolução CD/ANPD nº 14/2025
Regulamenta as decisões automatizadas e exige que o sistema ofereça explicação clara, acessível e não técnica dos critérios utilizados. Responder "o algoritmo decidiu" deixou de ser resposta aceitável.
Some-se a isso o Mapa de Temas Prioritários 2026-2027, publicado pela ANPD em dezembro de 2025, que colocou inteligência artificial como um dos quatro eixos centrais de fiscalização do período.
A pergunta não é mais se a IA da sua empresa será fiscalizada. É se você consegue explicar, hoje, como ela decide.
O que a ANPD olha quando avalia um sistema de IA
Quatro critérios organizam a análise, e servem como autodiagnóstico:
- Transparência. A pessoa sabe que está interagindo com uma IA?
- Mitigação de vieses. O sistema discrimina grupos protegidos?
- Segurança da informação. Os dados usados para treinar ou alimentar a IA estão protegidos?
- Impacto sobre direitos. As decisões automatizadas respeitam o artigo 20 da LGPD?
Se você não consegue responder a essas quatro perguntas sobre cada uso de IA na sua empresa, o problema não é regulatório futuro. É de governança presente.
O que fazer agora, na prática
Nada disso exige um projeto grande. Exige método e algumas horas de trabalho honesto.
1. Faça o inventário de uso de IA
Liste tudo que existe rodando: assistentes usados pela equipe, automações com IA no meio, ferramentas contratadas por área sem passar pela diretoria. Esse último item é o mais comum e o mais perigoso: a IA que ninguém aprovou, mas todo mundo usa.
2. Marque onde há dado pessoal
Para cada item da lista, responda: entra dado de cliente, de funcionário ou de candidato? Se entra, esse uso está sob a LGPD desde o primeiro dia.
3. Identifique as decisões automatizadas
Onde a IA decide algo sobre uma pessoa sem revisão humana. Esses são os pontos de maior exposição e os que exigem explicação em linguagem acessível.
4. Defina dono, registro e limite
Cada uso precisa de um responsável nomeado, de registro do que foi feito e de um limite claro de ação. É exatamente o conjunto que tratamos em governança de IA.
5. Escreva uma política de uso interna
Uma página basta para começar: o que pode, o que não pode, o que exige aprovação, o que nunca entra em ferramenta externa. Política curta que as pessoas leem vale mais que manual que ninguém abre.
Por que isso não é só conformidade
Existe um argumento melhor que o do risco de multa. Empresa que sabe onde a IA está, quem responde por ela e como ela decide consegue escalar o uso com confiança. Empresa que não sabe fica presa em pilotos eternos, porque cada nova iniciativa reabre a mesma insegurança.
Governança não trava a inovação. Ela é o que permite parar de tratar cada projeto de IA como uma exceção arriscada.
Regras setoriais já em vigor
Enquanto o marco geral tramita, os conselhos profissionais foram mais rápidos. Se a sua empresa atua em uma dessas áreas, a regra já existe e já vale, independentemente do PL 2338.
Saúde
A Resolução CFM nº 2.454/2026, publicada no Diário Oficial da União em 27 de fevereiro de 2026, entra em vigor em 26 de agosto de 2026. Ela obriga o registro do uso de IA no prontuário do paciente, exige a constituição de uma Comissão de IA e Telemedicina em instituições que adotam sistemas próprios, mantém a responsabilidade integral do médico e proíbe delegar à IA a comunicação de diagnóstico, prognóstico ou decisão terapêutica.
Jurídico
O Conselho Federal da OAB aprovou, em novembro de 2024, recomendações sobre o uso ético de IA generativa na advocacia. Em março de 2025, o CNJ publicou a Resolução nº 615, com diretrizes sobre IA no Poder Judiciário. Na prática: supervisão humana obrigatória, responsabilidade integral do advogado pelo conteúdo, preservação do sigilo profissional e comunicação prévia ao cliente sobre o uso da tecnologia.
Recursos humanos e crédito
Não há resolução setorial específica, mas o artigo 20 da LGPD e a Resolução CD/ANPD nº 14/2025 já alcançam diretamente triagem de currículo, análise de crédito e qualquer classificação automatizada de pessoas. É provavelmente a área com maior exposição prática hoje, justamente porque muita empresa automatizou sem perceber que estava tomando decisão regulada.
O calendário que importa para o seu planejamento
Duas datas merecem entrar na agenda de gestão:
- 26 de agosto de 2026: entrada em vigor da resolução do CFM, para quem atua em saúde.
- Aprovação do PL 2338 na Câmara: sem data definida, mas com expectativa de avanço ainda em 2026. Quando ocorrer, haverá prazo de adequação, e quem já tiver inventário e política feitos vai apenas ajustar detalhes.
Planejar para a segunda data sem fazer nada até lá é a estratégia mais cara possível, porque concentra todo o trabalho num prazo definido por terceiros. Sobre o que os agentes de trabalho já mudaram na prática, veja ChatGPT Work e Claude Cowork: o que muda.
Perguntas frequentes
O marco legal da IA já foi aprovado no Brasil?
Não. O PL 2338/2023 foi aprovado no Senado em 10 de dezembro de 2024 e, em julho de 2026, ainda tramita na Câmara dos Deputados, aguardando parecer do relator na comissão especial.
Minha empresa já precisa se adequar a alguma regra sobre IA?
Sim. Independentemente do PL 2338, a LGPD já se aplica a qualquer uso de IA que envolva dado pessoal, e a Resolução CD/ANPD nº 14/2025 já exige explicação clara sobre decisões automatizadas.
Quais são as sanções previstas no PL 2338?
O texto aprovado no Senado prevê sanções de até R$ 50 milhões por infração. Como o projeto ainda tramita, o valor pode mudar até a versão final.
Existem regras específicas por setor?
Sim. Além da regra geral, há normas setoriais já em vigor, como a Resolução CFM nº 2.454/2026 para a medicina e as recomendações da OAB e a Resolução CNJ nº 615/2025 para a área jurídica.
Conclusão
Esperar a aprovação do marco legal para organizar o uso de IA é adiar um trabalho que já é exigido por outra via. O inventário, o registro e a política interna não dependem de lei nova, dependem de decisão de gestão.
A empresa que fizer isso nos próximos meses vai chegar à aprovação do PL 2338 ajustando detalhes. A que não fizer vai descobrir tudo de uma vez, sob prazo. Se a dúvida é como estruturar essa governança sem travar o que já funciona, esse é exatamente o tipo de conversa que começa por um diagnóstico.
Leia também
- Governança de IA: as 4 perguntas antes de deixar uma automação rodando sozinha
- Shadow AI é um risco real
- Maturidade digital: sua empresa está pronta para IA?
Fontes
- Projeto de Lei nº 2338, de 2023 (Senado Federal)
- Senado aprova marco regulatório da inteligência artificial (Fast Company Brasil)
- Comissão Especial sobre Inteligência Artificial (Câmara dos Deputados)
- Documentos Técnicos e Orientativos (ANPD)
- CFM normatiza uso da IA na medicina (Portal Médico, CFM)
- Resolução CNJ nº 615/2025 (Atos do CNJ)
Aplicar
Quer aplicar isso no seu negócio?
Uma conversa gratuita pra entender o seu contexto e decidir, juntos, se faz sentido seguir.
Onboarding de cliente: como estruturar
O cliente que entra torto sai cedo. Como estruturar o onboarding em quatro etapas e por que ele decide mais sobre retenção do que o próprio produto.
Quem decide o quê: a matriz de decisão
Quase toda empresa travada tem o mesmo problema: ninguém sabe quem decide o quê. Como montar a matriz de decisão do negócio em uma única página.
Como criar um POP (procedimento operacional padrão)
O que é um POP, como criar um procedimento operacional padrão simples e útil, e por que documentar processos é o que permite delegar e escalar sem perder qualidade.