A regulamentação da inteligência artificial no Brasil hoje se apoia em leis que já estão em vigor: a Lei Geral de Proteção de Dados Pessoais (LGPD), o Código de Defesa do Consumidor (CDC), o Código Civil, a Lei de Direitos Autorais e o Marco Civil da Internet. Em paralelo, o Projeto de Lei nº 2338/2023 propõe um marco específico para a inteligência artificial (IA), com obrigações proporcionais ao nível de risco de cada sistema. O projeto segue em tramitação e o texto ainda pode mudar; por isso, vale acompanhar o andamento sem tratá-lo como lei.
Para a empresa, a preparação começa pelo que já é exigido: saber quais sistemas de IA usa, com quais dados e com quais contratos. A seguir, veja o que vale hoje, o que está em discussão e como se preparar.
Sumário
- Como está a regulamentação da inteligência artificial no Brasil e o papel do PL 2338/2023
- Regras em vigor versus propostas legislativas: o que já se aplica às empresas
- Classificação por nível de risco e a avaliação de impacto algorítmico
- Como estruturar a governança e políticas internas de inteligência artificial
- Conclusão
- Perguntas Frequentes
Como está a regulamentação da inteligência artificial no Brasil e o papel do PL 2338/2023
A principal proposta de marco legal específico para a IA é o Projeto de Lei nº 2338/2023, apresentado no Senado Federal. O texto busca equilibrar o estímulo à inovação com a proteção dos direitos fundamentais, a segurança jurídica e a não discriminação. Aprovado pelo Senado em dezembro de 2024, o projeto foi enviado à Câmara dos Deputados em março de 2025, onde segue em tramitação. A redação final, os prazos de adaptação e a data de vigência só serão conhecidos se e quando ele for aprovado e sancionado; acompanhe o andamento.
“Art. 1º Esta Lei estabelece normas gerais de caráter nacional para o desenvolvimento, implementação e uso responsável de sistemas de inteligência artificial (IA) …” — PL 2338/2023, texto inicial (Senado Federal, 2023)
A lógica central do projeto é a abordagem baseada em risco: quanto maior o potencial de dano de um sistema, maiores as obrigações de quem o desenvolve ou utiliza. Os detalhes dessa classificação estão mais abaixo, na seção sobre níveis de risco.
A mesma lógica aparece na União Europeia. O Regulamento (UE) 2024/1689, conhecido como AI Act, adota uma abordagem baseada em risco e tem aplicação escalonada, com obrigações que passam a valer em etapas. Ele é uma referência frequente no debate brasileiro, e empresas que oferecem sistemas de IA no mercado europeu devem verificar se são alcançadas por ele.
Enquanto não há lei específica aprovada no Brasil, o uso de IA pelas empresas já está sujeito às normas em vigor, detalhadas a seguir.
Regras em vigor versus propostas legislativas: o que já se aplica às empresas
O uso de IA não acontece em um vácuo normativo. Várias normas já se aplicam a quem desenvolve, contrata ou usa sistemas de IA. O quadro separa o que está em vigor do que está em discussão:
| Norma | Situação | O que significa para a empresa |
|---|---|---|
| LGPD (Lei nº 13.709/2018) | Em vigor | Todo uso de dados pessoais em sistemas de IA precisa de base legal, transparência e segurança. O art. 20 garante ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. |
| CDC (Lei nº 8.078/1990) | Em vigor | Nas relações de consumo, o fornecedor responde independentemente de culpa por defeitos do produto ou do serviço (arts. 12 e 14), o que alcança também falhas de sistemas de IA usados no atendimento ou na prestação. |
| Código Civil (Lei nº 10.406/2002) | Em vigor | Quem causa dano a outra pessoa deve repará-lo (arts. 186 e 927). O parágrafo único do art. 927 prevê responsabilidade independente de culpa quando a atividade desenvolvida implica risco para terceiros. |
| Lei de Direitos Autorais (Lei nº 9.610/1998) | Em vigor | Protege obras de autoria humana. O uso de obras de terceiros para treinar modelos e a proteção do conteúdo gerado por IA ainda são temas em debate. |
| Marco Civil da Internet (Lei nº 12.965/2014) | Em vigor | Disciplina o uso da internet no Brasil, a guarda de registros, a proteção de dados e a responsabilidade dos provedores de aplicações. |
| PL 2338/2023 | Em discussão no Congresso Nacional | Propõe classificação por nível de risco, avaliação de impacto algorítmico para sistemas de alto risco e regras de governança e responsabilidade. Não cria obrigações enquanto não for aprovado e sancionado. |
| AI Act (Regulamento (UE) 2024/1689) | Em vigor na União Europeia, com aplicação escalonada | Relevante para empresas que atuam no mercado europeu e referência para o debate no Brasil. |
Na prática, a pergunta que a empresa deve fazer hoje não é “a lei de IA já foi aprovada?”, e sim “o uso que fazemos de IA cumpre a LGPD, o CDC e os contratos que assinamos?”. A Autoridade Nacional de Proteção de Dados (ANPD), por exemplo, já pode fiscalizar, com base na LGPD, tratamentos de dados pessoais feitos por sistemas de IA.
Classificação por nível de risco e a avaliação de impacto algorítmico
O PL 2338/2023 propõe classificar os sistemas de IA conforme o risco que representam para os direitos das pessoas. As listas de cada categoria podem mudar ao longo da tramitação; os exemplos abaixo, do texto original, ilustram a lógica do projeto:
- Risco excessivo: usos que seriam proibidos, como técnicas subliminares para induzir a pessoa a se comportar de forma prejudicial à sua saúde ou segurança e sistemas de pontuação social usados pelo poder público de forma ilegítima ou desproporcional.
- Alto risco: usos permitidos, mas sujeitos a obrigações reforçadas. O texto original incluía, por exemplo, recrutamento e seleção de candidatos, avaliação de crédito, aplicações em saúde, administração da justiça e gestão de infraestruturas críticas.
- Demais sistemas: sujeitos às regras gerais do projeto, como transparência e respeito aos direitos das pessoas afetadas.
Para os sistemas de alto risco, o projeto propõe a Avaliação de Impacto Algorítmico (AIA): um estudo prévio que mapeia os efeitos adversos do sistema sobre direitos fundamentais e as medidas para reduzi-los. Em linhas gerais, uma avaliação desse tipo considera:
- possíveis vieses discriminatórios e falhas nos dados usados para treinar o sistema;
- como explicar às pessoas afetadas, de forma compreensível, o funcionamento e os critérios das decisões;
- medidas de segurança da informação e de proteção de dados;
- mecanismos de supervisão humana para interromper ou revisar decisões automatizadas.
Mesmo antes de qualquer aprovação, fazer esse exercício para os sistemas mais sensíveis da empresa, como os usados em seleção de pessoas ou concessão de crédito, ajuda a identificar problemas que já podem gerar responsabilidade pela LGPD e pelo CDC. Se o sistema tratar dados pessoais, a análise pode ser aproveitada no Relatório de Impacto à Proteção de Dados Pessoais (RIPD), que a ANPD pode exigir (art. 38 da LGPD).
Como estruturar a governança e políticas internas de inteligência artificial
A preparação não depende da aprovação do PL 2338/2023. As medidas abaixo reduzem riscos que já existem e deixam a empresa em melhor posição para se adaptar a regras futuras:
- Inventário de sistemas: identificar quais áreas usam IA, para qual finalidade, com quais dados e de qual fornecedor.
- Classificação interna de risco: separar os usos que afetam decisões sobre pessoas (recrutamento, crédito, preços, atendimento) dos usos de apoio, como resumos e rascunhos de texto.
- Política interna de uso: regras para os empregados sobre ferramentas autorizadas, informações que não podem ser inseridas e revisão humana. O tema está detalhado no artigo sobre uso de IA generativa na empresa e política interna.
- Contratos com fornecedores: cláusulas sobre o uso dos dados da empresa, confidencialidade, segurança e responsabilidade.
- Avaliação de impacto nos usos sensíveis: documentar riscos de discriminação, falhas e impactos a direitos antes de adotar sistemas críticos.
- Capacitação: treinar gestores e equipes de RH, marketing e tecnologia sobre vieses, sigilo e proteção de dados.
- Acompanhamento regulatório: designar alguém para acompanhar o andamento do PL 2338/2023 e as orientações da ANPD, e revisar as medidas quando houver mudança.
Essas medidas se encaixam na estrutura de um programa de compliance: responsáveis definidos, regras escritas, treinamento e revisão periódica. Um achado comum do inventário é descobrir mais ferramentas em uso do que a direção imaginava, muitas delas em contas pessoais.
Conclusão
A regulação específica da IA no Brasil ainda está em construção, mas o uso de IA pelas empresas já tem regras. Em resumo:
- LGPD, CDC, Código Civil, Lei de Direitos Autorais e Marco Civil da Internet já se aplicam aos sistemas de IA;
- o PL 2338/2023 propõe regras por nível de risco, mas não cria obrigações enquanto não for aprovado e sancionado;
- inventário, política interna, contratos e avaliação dos usos sensíveis são medidas úteis desde já;
- acompanhe a tramitação e revise as medidas quando o texto mudar.
Acompanhar a regulamentação da inteligência artificial no Brasil faz parte da gestão de riscos da empresa. Para analisar o seu caso, fale com o escritório.
Perguntas Frequentes
O que muda para as empresas com o Projeto de Lei nº 2338/2023?
Enquanto não for aprovado e sancionado, o projeto não cria obrigações. O texto propõe que quem desenvolve ou usa sistemas de alto risco, como os aplicados ao recrutamento de pessoas, tenha deveres reforçados: avaliação de impacto algorítmico, documentação técnica, transparência e supervisão humana. Como a redação ainda pode mudar, acompanhe o andamento.
Quais leis já disciplinam o uso de ferramentas algorítmicas no Brasil?
Mesmo sem um marco legal específico aprovado, aplicam-se a Lei Geral de Proteção de Dados Pessoais (LGPD), inclusive o art. 20, que garante a revisão de decisões automatizadas; o Código de Defesa do Consumidor (CDC), que prevê responsabilidade independente de culpa por defeitos de produtos e serviços; o Código Civil, que obriga a reparar danos causados a terceiros; a Lei de Direitos Autorais; e o Marco Civil da Internet.
O que é a Avaliação de Impacto Algorítmico (AIA)?
É um estudo prévio, proposto no PL 2338/2023 para sistemas de alto risco, que identifica e busca reduzir os riscos que um sistema de IA pode gerar aos direitos fundamentais. Ele considera a qualidade dos dados usados no treinamento, o risco de discriminação, as medidas de segurança e a possibilidade de intervenção humana nas decisões automatizadas.
Por onde começar a governança preventiva de dados e sistemas inteligentes?
Pelo inventário das ferramentas de IA em uso e dos dados que as alimentam. Em seguida, a empresa deve adotar uma política de uso para os empregados, proibir a inserção de segredos de negócio e de dados pessoais em ferramentas não autorizadas, revisar os contratos com fornecedores e capacitar as equipes.
Advogada e sócia fundadora da Mônica Villani Advogados, em Santo André (SP). Atua em Direito Digital, Privacidade e Proteção de Dados (LGPD e GDPR), Inteligência Artificial, Compliance e Direito Empresarial. OAB/SP 290.309. Certificada como Data Protection Officer (DPO) pela EXIN e membro da IAPP. Reconhecida como a advogada mais admirada em Direito Digital pela Análise Advocacia 2026. Formada pela Faculdade de Direito de São Bernardo do Campo, com formação complementar na PUC-SP e na FGV-SP.
Precisa de orientação jurídica sobre este tema?
Envie sua mensagem e o escritório retorna o contato.
