0
0
A resposta curta é: ainda não mudou nada, porque o projeto continua em tramitação, mas o texto já aprovado no Senado dá uma boa ideia do que vem por aí. O PL 2338/2023, conhecido como Marco Legal da Inteligência Artificial, foi aprovado pelo Senado em dezembro de 2024 e segue em análise na Câmara dos Deputados, sob relatoria do deputado Aguinaldo Ribeiro. Enquanto o texto final não é votado, empresas de tecnologia que desenvolvem ou usam IA já podem, e deveriam, se preparar para o que está desenhado.
Por que vale a pena entender esse projeto agora, mesmo sem lei sancionada
Empresa que espera a lei ser sancionada para começar a se adequar corre atrás do prejuízo. O texto aprovado no Senado já indica com bastante clareza a estrutura que vai valer, classificação de risco, obrigações por camada de risco, e regras de responsabilidade civil. Mudanças na Câmara são esperadas, mas normalmente incidem sobre pontos específicos, prazos de adequação, definições de certas categorias, não sobre a lógica central do projeto. Entender a estrutura agora significa não ser pego de surpresa quando a lei for sancionada, o que pode acontecer ainda em 2026.
A lógica central: risco determina obrigação
O PL 2338/2023 não trata toda IA da mesma forma. Ele adota um modelo de três camadas de risco, e é essa classificação que determina o que cada empresa precisa fazer.
Sistemas de risco excessivo são proibidos. Entram aqui, por exemplo, sistemas de pontuação social por governos, técnicas subliminares que manipulem comportamento de forma que a pessoa não consiga perceber, e uso de reconhecimento de emoções no ambiente de trabalho e em instituições de ensino, salvo exceções pontuais previstas no texto. Empresa nenhuma pode legalmente operar esse tipo de sistema no Brasil, independente de aviso de privacidade ou consentimento do usuário.
Sistemas de alto risco são permitidos, mas com obrigações pesadas. Essa é a categoria que mais interessa a empresas de tecnologia. Entram aqui sistemas usados em processos seletivos e recrutamento, análise de crédito, diagnóstico médico, avaliação educacional, aplicações na área de segurança pública e veículos autônomos, entre outros. Quem opera um sistema de alto risco precisa realizar avaliação de impacto algorítmico antes da entrada em operação, manter documentação técnica detalhada e trilha de auditoria, garantir supervisão humana efetiva, e assegurar explicabilidade das decisões automatizadas para quem for afetado por elas.
Sistemas de risco baixo ou moderado têm obrigações mínimas. A maioria dos chatbots comerciais e sistemas de recomendação se encaixa aqui, com exigência principal de transparência, informar que se trata de IA e identificar conteúdo sintético quando aplicável.
O ponto prático para qualquer empresa é simples: antes de discutir compliance, é preciso classificar em qual camada cada sistema de IA usado ou desenvolvido pela empresa se encaixa. Sem essa classificação, não dá para saber o tamanho da obrigação que vai recair sobre o negócio.
Responsabilidade civil: o ponto que mais preocupa quem desenvolve IA
Esse é o artigo do projeto que mais deveria estar no radar de quem desenvolve ou fornece sistemas de IA, não só de quem usa. O texto aprovado no Senado caminha para um regime de responsabilidade objetiva, ou seja, sem necessidade de comprovar culpa, para danos causados por sistemas de alto risco. Na prática, isso inverte a lógica que a maioria das empresas está acostumada a operar, o dano por si só, mais o nexo causal com o sistema de IA, já pode ser suficiente para gerar dever de indenizar, independente de a empresa ter agido com negligência ou não.
Esse modelo se aproxima do que o Código de Defesa do Consumidor já aplica a produtos e serviços defeituosos, artigo 12, com a diferença de que aqui a lógica se estende para além da relação de consumo estrita, alcançando qualquer dano relevante causado por sistema de alto risco. Para empresas que desenvolvem esse tipo de tecnologia, isso significa que documentação de processo, testes e mitigação de risco deixam de ser boas práticas e passam a ser, na prática, elementos de defesa em eventual disputa judicial.
Sanções: quanto uma empresa pode perder
O texto prevê penalidades que vão de advertência até multa de até 2% do faturamento, com teto de R$ 50 milhões por infração, podendo dobrar em caso de reincidência. A fiscalização fica distribuída, a Autoridade Nacional de Proteção de Dados atua como coordenadora central, mas reguladores setoriais, Banco Central, agências de saúde e telecomunicações, entre outros, também têm competência para fiscalizar sistemas de IA dentro de suas áreas, junto com um conselho consultivo multissetorial.
Essa distribuição de competência é relevante para empresas que atuam em setores já regulados. Uma fintech que usa IA para análise de crédito, por exemplo, pode responder tanto perante o Banco Central quanto perante a estrutura específica do Marco Legal da IA, o que exige atenção redobrada na hora de desenhar o programa de compliance.
O que muda na prática para empresas de tecnologia
Recomendo que empresas que desenvolvem, revendem ou usam sistemas de IA comecem por três frentes, independente da data final de sanção da lei:
- Mapear todos os sistemas de IA usados na operação e classificá-los preliminarmente por nível de risco, seguindo a lógica de três camadas do projeto, isso já revela onde está a maior exposição.
- Para sistemas que provavelmente se enquadrariam como alto risco, começar a documentar processo de desenvolvimento, testes de viés e mitigação, e mecanismos de supervisão humana, essa documentação tem valor mesmo antes da lei entrar em vigor.
- Revisar contratos com fornecedores de tecnologia de IA, para entender e alocar contratualmente o risco de responsabilidade objetiva entre desenvolvedor, fornecedor e empresa usuária, já que a lei não necessariamente elimina a possibilidade de regresso entre essas partes.
Perguntas frequentes
O PL 2338/2023 já é lei?
Não. Até a publicação deste artigo, o projeto foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, sem data confirmada de votação final. A expectativa de diversas análises é que o tema avance ainda em 2026, mas prazos legislativos costumam se estender além do previsto.
Se a Câmara alterar o texto, o processo recomeça?
Não recomeça do zero, mas se houver mudança substancial no texto aprovado pelo Senado, o projeto retorna ao Senado para nova análise antes de seguir para sanção presidencial. Isso pode atrasar ainda mais a entrada em vigor.
Minha empresa pequena também precisa se preocupar com isso?
Depende do que a empresa faz com IA, não do tamanho dela. Uma startup que usa um sistema de triagem de currículos com IA, por exemplo, pode estar mexendo com um sistema de alto risco, independente do faturamento. O critério do projeto é o risco da aplicação, não o porte da empresa que a utiliza.
Em suma
O Marco Legal da Inteligência Artificial ainda não é lei, mas o texto aprovado no Senado já mostra a direção, classificação de risco em três camadas, obrigações pesadas para sistemas de alto risco, e um provável regime de responsabilidade objetiva para danos causados por essa categoria. Empresas de tecnologia que esperam a sanção da lei para agir tendem a se adequar sob pressão, sob prazo apertado e sob risco de disputa. Quem começa a mapear e documentar agora, antes da obrigação legal existir formalmente, chega na vigência da lei com vantagem real sobre quem só reage depois.
Se sua empresa desenvolve ou usa sistemas de IA e quer entender com precisão em qual camada de risco cada sistema se enquadraria, vale uma análise específica antes que a lei entre em vigor.
