Marco legal da IA: como a empresa deve se preparar

A regulação da inteligência artificial no Brasil ainda está em construção legislativa, mas a exposição jurídica das empresas que já usam IA é atual. O PL 2338/2023, que propõe o marco legal da inteligência artificial, foi aprovado no plenário do Senado Federal em 10 de dezembro de 2024 e tramita na Câmara dos Deputados desde março de 2025, onde aguarda análise em Comissão Especial. Trata-se de projeto de lei: não há norma geral de IA em vigor. A consequência prática é que a governança corporativa de IA hoje se apoia em normas já existentes, com atenção ao desenho que o projeto sinaliza para o futuro.

Em que estágio está o marco legal da IA

O PL 2338/2023 percorreu a primeira casa legislativa e está na segunda. A aprovação no Senado ocorreu em 10 de dezembro de 2024, e a matéria passou à Câmara dos Deputados em março de 2025, onde a tramitação corre em Comissão Especial. Projetos podem ser alterados na casa revisora, o que significa que o texto final, se aprovado, pode diferir da versão aprovada no Senado. Planejamento corporativo construído sobre dispositivos específicos do texto atual é planejamento sujeito a revisão.

O que o texto propõe: SIA, ANPD e risco

O projeto propõe o Sistema Nacional de Regulação e Governança de Inteligência Artificial, identificado pela sigla SIA. O SIA é a arquitetura institucional prevista para coordenar a aplicação da futura lei, e nela a Autoridade Nacional de Proteção de Dados exerceria papel de coordenação, articulando-se com os reguladores setoriais já existentes. A escolha institucional é relevante para setores regulados: bancos, seguradoras, saúde e telecomunicações tenderiam a conviver com exigências setoriais somadas à coordenação central.

A lógica normativa do projeto é a governança baseada em risco. Governança baseada em risco é o modelo em que a intensidade das obrigações varia conforme o potencial de dano do sistema, e não conforme a sofisticação técnica da tecnologia. O mesmo modelo pode atrair deveres leves quando sugere textos internos e deveres intensos quando participa de decisões sobre crédito, emprego ou acesso a serviços. O desenho guarda paralelo com o EU AI Act, regulamento europeu que adotou classificação por níveis de risco.

O que já obriga hoje, sem esperar a lei

A Lei Geral de Proteção de Dados, Lei 13.709/2018, alcança qualquer sistema de inteligência artificial que trate dados pessoais. Isso abrange a fase de treinamento, a fase de uso e o armazenamento de registros. A lei exige base legal para o tratamento, informação adequada ao titular e observância dos princípios de finalidade e necessidade. A LGPD também prevê o direito do titular de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

Responsabilidade civil, relações de consumo e relações de trabalho incidem sobre o resultado da decisão, não sobre a ferramenta. Uma recusa de crédito, uma triagem de currículos ou uma resposta automatizada a cliente produzem efeitos jurídicos atribuíveis à empresa que os adotou, ainda que o sistema tenha sido fornecido por terceiro. A ausência de lei específica de IA não afasta esses regimes.

Como a empresa deve se preparar

A preparação viável no cenário atual é estrutural e independe do desfecho legislativo. Ela consiste em saber o que a empresa usa, com que finalidade e sob qual controle humano.

• Inventário de sistemas de IA em uso: relação das ferramentas contratadas, embarcadas em softwares de terceiros e adotadas informalmente por equipes, com identificação de fornecedor, dado tratado e área usuária.
• Classificação de risco por caso de uso: avaliação de cada aplicação segundo o efeito sobre pessoas, e não segundo a tecnologia, separando usos de apoio interno de usos que influenciam decisões sobre indivíduos.
• Base legal e conformidade com a LGPD: definição da hipótese de tratamento aplicável, avaliação de necessidade e finalidade e verificação da informação prestada a titulares.
• Cláusulas específicas com fornecedores de IA: previsão contratual sobre uso de dados do cliente para treinamento, confidencialidade, localização de processamento, auditabilidade, responsabilidade por saídas e cooperação em incidentes.
• Revisão humana e registro de decisões: definição de quem revisa, em que momento e com qual autonomia, e manutenção de registro que permita reconstruir como determinada decisão foi produzida.

O que revisar nos contratos com fornecedores

Contratos de tecnologia redigidos antes da popularização da IA generativa costumam ser silentes sobre pontos hoje centrais. Três lacunas são frequentes: a autorização implícita para uso de dados do contratante no aprimoramento de modelos, a ausência de definição sobre titularidade das saídas geradas e a inexistência de dever de informar mudanças relevantes no modelo subjacente. A revisão contratual é medida de baixo custo e efeito imediato, porque atua sobre instrumentos que já vinculam as partes.

O efeito prático da preparação antecipada

Empresas que mantêm inventário, classificação e registro reduzem o custo de adaptação a qualquer cenário regulatório. Se o projeto for aprovado com a lógica de risco que hoje apresenta, a classificação já feita orienta o esforço de conformidade. Se o texto for alterado, o inventário permanece útil, porque documenta o que a organização usa e com qual finalidade. Em ambos os casos, a documentação produzida serve como elemento de demonstração de diligência diante de titulares, clientes corporativos e autoridades.