Marco legal da IA no Brasil: o que as empresas precisam preparar

O que é o PL 2338 e em que ponto está a regulação da IA no Brasil

O Projeto de Lei 2338/2023 é a principal proposta de um marco legal para a inteligência artificial no Brasil. O texto foi apresentado no Senado, passou por uma comissão temporária e foi aprovado em plenário em dezembro de 2024. Em seguida, foi para a Câmara dos Deputados, onde ainda pode mudar. Por isso, a redação final e os prazos de adaptação ainda podem ser alterados. A lógica geral, porém, já está clara, e é ela que as empresas devem usar para se planejar.

O projeto não proíbe o uso de IA e não exige licença prévia para qualquer ferramenta. A proposta é proporcional: quanto maior o potencial de dano de um sistema às pessoas, mais obrigações recaem sobre quem o desenvolve, distribui ou usa. O modelo segue de perto o AI Act europeu, que já está em vigor na União Europeia. Por isso, empresas brasileiras com clientes ou operações na Europa tendem a lidar com exigências parecidas nos dois lados.

Para pequenas e médias empresas, o ponto mais importante é que a regulação não atinge só big techs ou quem cria modelos de linguagem. Quem usa IA para decidir algo que afeta pessoas também entra no escopo. Exemplos são triar currículos, analisar crédito de clientes, priorizar atendimentos ou monitorar colaboradores. Mesmo que a ferramenta tenha sido comprada pronta, a empresa que a usa responde pelo uso.

A pergunta que a regulação faz não é "sua empresa usa IA?", e sim "que decisões a IA ajuda a tomar na sua empresa, e quem é afetado por elas?".

A lógica do risco: como os sistemas de IA são classificados

O centro do PL 2338 é a classificação dos sistemas por grau de risco. Antes de colocar uma solução em uso, o projeto incentiva uma avaliação preliminar. Nela, o próprio agente identifica a finalidade do sistema, o contexto de uso e quem pode ser afetado. Essa análise define quais obrigações se aplicam, e deixá-la documentada é a primeira prova de boa-fé em uma fiscalização.

No topo da escala estão os sistemas de risco excessivo, cujo uso é proibido. O texto aprovado no Senado inclui:

• técnicas que manipulam o comportamento das pessoas de forma a causar danos à saúde, à segurança ou a direitos fundamentais;
• sistemas que exploram vulnerabilidades de grupos específicos, como crianças, idosos ou pessoas com deficiência;
• pontuação social de cidadãos pelo poder público para limitar acesso a bens e serviços;
• previsão de crimes com base em traços de personalidade ou comportamento passado;
• identificação biométrica a distância e em tempo real em espaços públicos, salvo exceções restritas ligadas à segurança pública.

Logo abaixo vêm os sistemas de alto risco. Eles são permitidos, mas com obrigações maiores de governança, transparência e supervisão humana. O texto lista aplicações como recrutamento e seleção de pessoas, decisões sobre promoção ou desligamento, admissão e avaliação em instituições de ensino, apoio a diagnósticos em saúde, gestão de infraestrutura crítica e acesso a serviços essenciais. Os demais sistemas, que são a maioria dos usos corporativos do dia a dia, ficam com obrigações mais leves, centradas em transparência e boas práticas.

Quem responde pelo quê: desenvolvedores, distribuidores e aplicadores

O projeto define três papéis na cadeia da inteligência artificial. O desenvolvedor cria ou treina o sistema. O distribuidor o disponibiliza no mercado. O aplicador o usa em suas próprias atividades. A maioria das PMEs brasileiras se enquadra como aplicadora: contrata um software de RH com triagem automática, um CRM com pontuação de leads ou um assistente de IA integrado ao pacote de escritório.

Ser aplicador não isenta a empresa de responsabilidade. Para sistemas de alto risco, o texto prevê, entre outras medidas:

• avaliação de impacto algorítmico, que documenta riscos, medidas de mitigação e resultados esperados;
• supervisão humana efetiva sobre decisões relevantes, e não um "carimbo" automático;
• registros que permitam rastrear como o sistema chegou a determinado resultado;
• testes de confiabilidade, segurança e combate a vieses discriminatórios;
• transparência para as pessoas afetadas sobre o uso de IA.

Do outro lado estão os direitos de quem é afetado. Entre eles: ser informado de que está interagindo com uma IA, receber explicação sobre decisões automatizadas, contestar resultados, pedir revisão humana e não sofrer discriminação. Nada disso é totalmente novo. A LGPD, no artigo 20, já garante ao titular dos dados o direito de pedir revisão de decisões tomadas apenas com base em tratamento automatizado. Na prática, o marco da IA amplia e detalha uma obrigação que já existe.

A fiscalização ficaria a cargo do Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), coordenado pela Autoridade Nacional de Proteção de Dados (ANPD), com a participação de órgãos reguladores setoriais. As sanções previstas no texto do Senado vão de advertência a multas de até R$ 50 milhões por infração ou 2% do faturamento do grupo no Brasil. Também incluem a suspensão do uso do sistema.

Os riscos que já existem hoje, mesmo antes da lei

É um erro tratar o marco legal como problema para quando a lei for sancionada. Boa parte dos riscos ligados à IA já é concreta e tem base jurídica atual na LGPD, no Código de Defesa do Consumidor, na legislação trabalhista e nos contratos com clientes. As empresas que estão na frente são as que tratam a regulação como consequência de uma boa governança, e não o contrário.

O risco mais comum nas PMEs é o chamado shadow AI: colaboradores usando ferramentas de IA generativa por conta própria, em contas pessoais e sem nenhuma política. Nesse cenário, contratos, planilhas financeiras, dados de clientes e código-fonte são colados em serviços externos sem que a empresa saiba onde essas informações ficam guardadas, por quanto tempo e se podem ser usadas para treinar modelos. Isso é um incidente de segurança e de proteção de dados à espera de acontecer.

Outros pontos de atenção frequentes:

• Decisões sobre pessoas sem revisão humana: filtros automáticos de currículos ou de crédito que rejeitam candidatos e clientes sem que ninguém saiba explicar o critério.
• Contratos frágeis com fornecedores: cláusulas que não tratam de uso de dados para treinamento, localização do processamento, responsabilidade por falhas ou direito de auditoria.
• Conteúdo gerado sem verificação: textos, pareceres e respostas a clientes produzidos por IA com informações incorretas ou que podem violar direitos autorais.
• Permissões excessivas: assistentes de IA corporativos que, por herdarem os acessos do usuário, expõem documentos que nunca deveriam estar visíveis a todos.

Uma IA corporativa encontra tudo o que o usuário tem permissão para ver. Se as permissões estão bagunçadas, a IA apenas torna essa bagunça visível mais rápido.

Primeiros passos de adequação: um roteiro prático para PMEs

A boa notícia é que a adequação não exige um projeto caro nem uma equipe jurídica dedicada. O próprio PL prevê tratamento diferenciado para micro e pequenas empresas e startups, além de ambientes de testes regulatórios (sandboxes). O que se espera é proporcionalidade e evidência de que a empresa conhece e controla o que usa. Um roteiro inicial pode seguir esta ordem:

1. Inventário de IA: liste todas as ferramentas com recursos de inteligência artificial em uso, incluindo as embutidas em softwares que a empresa já assina, como ERP, CRM, plataforma de RH, atendimento e pacote de escritório. Registre a finalidade, a área responsável e os dados envolvidos.
2. Classificação preliminar de risco: para cada uso, responda se ele influencia decisões sobre pessoas (contratação, crédito, acesso a serviços, saúde). Esses usos merecem prioridade e documentação mais robusta.
3. Política de uso aceitável: defina quais ferramentas são aprovadas, que tipo de informação nunca pode ser inserida nelas e como validar conteúdo gerado por IA antes de enviá-lo a clientes.
4. Ferramentas corporativas no lugar de contas pessoais: ofereça alternativas licenciadas e com proteção de dados empresariais. Isso reduz o shadow AI de forma muito mais eficaz do que proibições.
5. Revisão de permissões e classificação de dados: antes de ativar assistentes de IA integrados, organize quem acessa o quê e aplique rótulos de confidencialidade a documentos sensíveis.
6. Supervisão humana e trilha de auditoria: garanta que decisões relevantes tenham um responsável identificado e que exista registro do que foi decidido e por quê.
7. Revisão de contratos: inclua nos contratos com fornecedores de IA cláusulas sobre uso de dados, segurança, notificação de incidentes e responsabilidade.
8. Treinamento contínuo: capacite equipes sobre riscos, boas práticas e direitos das pessoas afetadas. A maior parte dos incidentes nasce de desconhecimento, não de má-fé.

Esse roteiro conversa diretamente com o programa de adequação à LGPD que muitas empresas já começaram. Inventário de dados, base legal, controle de acesso e resposta a incidentes são as mesmas fundações. O marco da IA acrescenta uma camada sobre elas. Quem já fez o dever de casa da LGPD parte bem à frente.

Como a Duk ajuda sua empresa a adotar IA com segurança e conformidade

A regulação da inteligência artificial é, antes de tudo, um tema de governança de TI: saber quais sistemas estão em uso, quem acessa quais dados, onde as informações ficam e como cada ação é registrada. É exatamente nesse terreno que a Duk Informática & Cloud trabalha há mais de 18 anos, como parceira de TI de mais de 550 empresas.

Como Microsoft Gold Partner, a Duk ajuda empresas a adotar IA corporativa com controles adequados. Isso inclui revisão de permissões no Microsoft 365, classificação e proteção de informações sensíveis, gestão de identidades e acessos, políticas de uso de dispositivos e aplicativos, e monitoramento contínuo do ambiente. O objetivo é que a equipe use a inteligência artificial para ganhar produtividade, enquanto a empresa mantém visibilidade e evidências para responder a clientes, auditores e reguladores.

Se a sua empresa já usa IA, ou pretende usar, sem um inventário claro e sem política definida, o melhor momento para organizar a casa é agora, antes que a lei e os clientes exijam. Fale com a equipe da Duk para fazer um diagnóstico do seu ambiente e montar um plano de adequação proporcional ao tamanho e ao risco do seu negócio.