Marco Legal da IA (PL 2338): o que muda para empresas que usam inteligência artificial

Se a sua empresa usa IA para atender clientes, analisar currículos, aprovar crédito ou automatizar decisões, o Projeto de Lei 2338/2023 diz respeito a você. Ele é a proposta de marco legal da inteligência artificial no Brasil e deve definir quais usos de IA são permitidos, quais exigem cuidados extras e quem responde quando algo dá errado.

Este post resume o que está em discussão e o que já dá para fazer hoje, sem esperar a lei final.

Em que pé está o projeto

O PL 2338 foi aprovado pelo Senado em dezembro de 2024 e chegou à Câmara dos Deputados em março de 2025, onde é analisado por uma Comissão Especial. Ao longo de 2026, outros projetos sobre IA foram apresentados e anexados à discussão, como propostas sobre rotulagem de conteúdo gerado por IA e deepfakes.

A expectativa de votação foi adiada mais de uma vez. Por isso, antes de tomar qualquer decisão de compliance, vale consultar o andamento atualizado no portal da Câmara.

A lógica central: regular pelo risco

O coração do projeto é classificar sistemas de IA conforme o risco que oferecem a pessoas e direitos fundamentais. A ideia é parecida com a do regulamento europeu (EU AI Act):

• Risco excessivo: usos proibidos, como sistemas que manipulam pessoas de forma prejudicial ou que fazem pontuação social indiscriminada.
• Alto risco: usos permitidos, mas com obrigações extras de avaliação, documentação, supervisão humana e transparência. Exemplos frequentemente citados incluem recrutamento, crédito, saúde e educação.
• Demais usos: obrigações mais leves, centradas em transparência e boas práticas.

O texto também prevê um sistema nacional de regulação coordenado pela ANPD, a mesma autoridade da LGPD, e sanções que, segundo análises publicadas sobre o texto, podem chegar a R$ 50 milhões por infração.

Quem tem obrigações

O projeto distribui responsabilidades entre quem desenvolve, quem fornece e quem usa sistemas de IA. Isso é importante: mesmo que sua empresa só use uma ferramenta pronta, ela pode ter deveres, especialmente se aplicar a IA em decisões que afetam pessoas.

O que fazer agora, antes da lei

Boa parte do que o PL deve exigir já é boa prática de engenharia e já é cobrada, em parte, pela LGPD. Começar agora custa pouco e evita retrabalho.

1. Faça um inventário de onde a IA é usada

Liste cada ferramenta e cada sistema que usa IA, para que serve, que dados recebe e que decisões influencia. Muitas empresas descobrem nesse exercício usos que nem a diretoria conhecia.

2. Classifique pelo impacto

Uma IA que sugere textos para redes sociais tem impacto baixo. Uma que filtra candidatos ou define limite de crédito tem impacto alto. Concentre esforço nas de alto impacto.

3. Garanta supervisão humana nas decisões sensíveis

Sistemas bem desenhados deixam a decisão final com uma pessoa quando o impacto é relevante e registram quem decidiu e com base em quê.

4. Registre e documente

Guarde registros de entradas, saídas e versões de modelo usadas. Em caso de questionamento, você precisa conseguir explicar por que o sistema chegou àquele resultado.

5. Seja transparente com o usuário

Se o cliente está conversando com um assistente de IA, diga isso. Se um conteúdo foi gerado por IA, sinalize. É o tipo de exigência que aparece em quase todas as propostas em discussão.

6. Cuide dos dados desde a arquitetura

Evite enviar dados pessoais desnecessários para modelos externos, use contratos adequados com fornecedores de IA e defina por quanto tempo os dados ficam guardados.

O impacto para quem desenvolve sistemas

Para empresas que constroem software com IA, a regulação reforça uma mudança de mentalidade: não basta o sistema funcionar, ele precisa ser auditável. Isso significa logs estruturados, versionamento de prompts e modelos, testes de qualidade das respostas e telas que permitam revisão humana.

Quem projeta isso desde o início gasta pouco. Quem precisa acrescentar depois gasta muito.

Conclusão

O Marco Legal da IA ainda não está em vigor, mas a direção é clara: uso de IA com transparência, supervisão e responsabilidade proporcional ao risco. Empresas que já organizam seus sistemas assim terão pouco a ajustar quando a lei chegar.

Fontes: Demarest (projetos de IA na Câmara, março de 2026); Câmara dos Deputados (tramitação de projetos apensados); Distrito (resumo do PL para empresas, junho de 2026); Capital Aberto (status na Comissão Especial).