Marco legal da IA: o que é, o que já vale no Brasil e o que a PME precisa fazer

Marco legal da IA é como se costuma chamar o PL 2338/2023, projeto de lei sobre inteligência artificial em tramitação no Brasil. O Senado o aprovou em 10/12/2024, e a ficha de tramitação da Câmara dos Deputados, consultada em 25/10/2026, registra a situação “Aguardando Parecer do(a) Relator(a) na Comissão Especial”. Ou seja, o projeto ainda não foi votado até o fim e não é lei.

Este guia explica o que é o marco legal da IA e em que fase ele está. Mostra o que a LGPD já exige hoje de quem usa IA com dados de pessoas e o que a literatura acadêmica examinou sobre esse tipo de regulação. Depois traz um roteiro de cinco passos para a PME se organizar sem esperar a lei. O que for critério da CGLC vem marcado no texto, e nada aqui é parecer jurídico.

Na leitura da CGLC: o dono de PME que pergunta pelo marco legal da IA costuma querer saber uma coisa só: se isso já vale para ele. A resposta tem duas partes. O projeto específico ainda está em tramitação, mas o uso de IA com dados de pessoas não está fora do alcance da legislação que já existe.

O que é o marco legal da IA

O marco legal da IA é o PL 2338/2023, projeto que nasceu no Senado e é de autoria de Rodrigo Pacheco, segundo a página da matéria no Senado. Na Câmara, a ementa registrada é “Dispõe sobre o desenvolvimento, o fomento e o uso ético e responsável da inteligência artificial com base na centralidade da pessoa humana”. Trata-se de um projeto, e o texto pode mudar até a votação final.

Frazão (2024) analisa os desafios do projeto para implementar uma regulação da IA baseada em riscos. O artigo descreve a classificação brasileira de riscos, as regras de governança, a aplicação dos princípios da prevenção e da precaução e a responsabilidade administrativa e civil. Faz também referência ao AI Act europeu. O artigo foi publicado em junho de 2024, antes da aprovação do texto pelo Senado.

Leitura da CGLC: “baseada em riscos” quer dizer que a exigência cresce com o impacto do sistema sobre as pessoas. Uma ferramenta que sugere o título de um post não está no mesmo patamar de uma que ajuda a decidir quem é contratado. Para a PME, o ponto prático é saber em qual dessas situações cada uso de IA da empresa se encaixa.

Em que fase está o projeto

A tabela reúne os marcos registrados pelas fontes públicas do Senado e da Câmara. A coluna da direita diz de onde cada informação vem.

Marco	O que as fontes registram	Fonte
10/12/2024	O Plenário do Senado aprova o projeto e o envia à Câmara dos Deputados	Senado Notícias
17/03/2025	A Câmara recebe o Ofício 235/2025, do Senado, que submete o projeto à revisão da Câmara dos Deputados, nos termos do art. 65 da Constituição	Ficha de tramitação da Câmara
29/04/2025	Despacho do projeto à Comissão Especial	Ficha de tramitação da Câmara
20/05/2025	Designado o relator, deputado Aguinaldo Ribeiro (PP-PB)	Ficha de tramitação da Câmara
25/10/2026	Situação: “Aguardando Parecer do(a) Relator(a) na Comissão Especial”. As últimas ações listadas são apensações de projetos relacionados, a mais recente em 02/09/2026	Ficha de tramitação da Câmara, consultada nesta data

Esse retrato vale para a data da consulta. Como a tramitação depende de decisões do Congresso, a CGLC recomenda conferir a ficha da Câmara antes de tomar qualquer decisão que dependa do texto final.

O que já vale hoje: a LGPD

Enquanto o marco legal específico não é aprovado, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) já trata de um ponto central para quem usa IA: as decisões automatizadas. O art. 20 diz, na redação dada pela Lei nº 13.853/2019:

“O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.”

O § 1º do mesmo artigo acrescenta que o controlador deverá fornecer, sempre que solicitadas, “informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial”.

O art. 6º lista, entre os princípios do tratamento de dados pessoais, a transparência (“garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial”) e a não discriminação (“impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos”).

Leitura da CGLC: o art. 20 alcança decisões tomadas unicamente com base em tratamento automatizado. Para a empresa que usa IA para triar currículos, classificar clientes ou definir condição de cobrança, a CGLC recomenda que consiga explicar o critério e mantenha uma pessoa capaz de rever o resultado quando o titular pedir. Esse cuidado já vale sem o marco legal. Para os temas vizinhos, veja governança de IA e ética da inteligência artificial.

O que o texto aprovado pelo Senado prevê

A tabela resume o que a Agência Senado descreveu do texto aprovado em 10/12/2024. Ele pode ser alterado na Câmara, por isso cada linha vale como retrato daquela versão.

Tema	O que a Agência Senado relata
Níveis de risco	O texto proíbe sistemas de “risco excessivo”, com exemplos como armas autônomas, técnicas subliminares e exploração de vulnerabilidades de pessoas ou grupos para induzir comportamentos danosos à saúde e à segurança. Sistemas de alto risco recebem regras mais rígidas, conforme o impacto sobre a vida e os direitos das pessoas
Trabalho	Entre os exemplos de alto risco está a “tomada de decisões sobre recrutamento, avaliação, promoção e demissão de trabalhadores”
Direitos de quem é afetado	Direito à informação prévia de que se está interagindo com sistemas de IA, além de privacidade, proteção de dados pessoais e não discriminação ilícita. Para sistemas de alto risco, direito à explicação da decisão, à contestação e à revisão humana, considerando o contexto e o risco associado
Supervisão humana	Os supervisores devem poder intervir no sistema. Quando a supervisão for comprovadamente impossível ou exigir esforço desproporcional, ela não será exigida, mas os agentes deverão implementar medidas alternativas eficazes
Sanções	Multas de até R$ 50 milhões ou 2% do faturamento bruto do grupo ou conglomerado, por infração; a matéria não detalha qual dos dois limites prevalece. Outras sanções: advertência; proibição de tratar determinados dados; suspensão parcial ou total, temporária ou permanente, do desenvolvimento, fornecimento ou operação do sistema
Micro e pequenas empresas	O poder público deve definir “critérios distintos” para sistemas ofertados por micro e pequenas empresas e startups nacionais
Fiscalização	A Autoridade Nacional de Proteção de Dados (ANPD) coordena o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA) e é a autoridade competente para impor sanções e aplicar multas

Leitura da CGLC: duas linhas merecem atenção da PME. A primeira é a do trabalho, porque muita empresa pequena decide sobre pessoas. A segunda é a das empresas menores: a Agência Senado relata que o poder público deve definir critérios distintos, e a matéria não detalha o que eles significarão na prática.

O que a literatura examinou sobre esse tipo de regulação

Os três textos abaixo analisam desenhos de regulação de IA: dois examinam a proposta europeia de AI Act e um examina o PL 2338/2023 em versão anterior à aprovação no Senado. A ponte para a empresa pequena é sempre leitura da CGLC.

Estudo	Objeto	O que os autores relatam
Frazão (2024), UNIO EU Law Journal	PL 2338/2023, em versão anterior à aprovação no Senado, como regulação baseada em riscos	Analisa os desafios do projeto, descreve a classificação brasileira de riscos, as regras de governança, a aplicação dos princípios da prevenção e da precaução e a responsabilidade administrativa e civil. O artigo faz referência ao AI Act europeu
Veale e Zuiderveen Borgesius (2021), Computer Law Review International	Proposta de regulamento europeu de IA, de abril de 2021	Consideram razoáveis aspectos como regras diferentes para níveis de risco diferentes. Relatam que algumas disposições têm implicações jurídicas surpreendentes e que outras podem ser pouco eficazes para os objetivos declarados, e têm preocupações significativas sobre o regime de fiscalização e a harmonização máxima
Mökander, Axente, Casolari e Floridi (2022), Minds and Machines	Avaliações de conformidade e monitoramento pós-comercialização na proposta europeia de AI Act	Argumentam que a proposta pode ser interpretada como um plano para um ecossistema europeu de auditoria de IA. Concluem destacando sete aspectos que mereceriam emendas ou esclarecimentos, entre eles a necessidade de traduzir conceitos vagos em critérios verificáveis e de fortalecer as salvaguardas institucionais das avaliações de conformidade baseadas em verificações internas

Leitura da CGLC: a partir do apontamento de Mökander e colegas sobre critérios verificáveis, a CGLC entende que regra por nível de risco depende de critérios verificáveis. Para a PME, o equivalente é escrever, para cada uso de IA, o que ele decide, com quais dados e quem pode rever. É essa a lógica dos cinco passos a seguir. A exigência que de fato virá dependerá do texto que a Câmara aprovar.

Cinco passos para a PME se organizar sem esperar a lei

O diagrama resume a sequência que a CGLC sugere. A sequência não depende de a lei ser aprovada nem do texto final, porque os passos 2 a 4 também ajudam a empresa a se preparar para o que a LGPD já prevê sobre decisões automatizadas.

1. 1. Mapear

   Onde a empresa usa IA, quem usa, para quê e com que dados

2. 2. Marcar o que decide sobre pessoas

   Contratação, avaliação, promoção, desligamento, crédito e cobrança

3. 3. Nomear quem revisa

   Uma pessoa com poder de rever e reverter o resultado da ferramenta

4. 4. Registrar o critério

   O que a ferramenta considera, quando foi configurada e quem aprovou

5. 5. Reler a cada marco

   Conferir a tramitação na Câmara e rever o mapa quando o texto mudar

A tabela mostra como aplicar o roteiro em quatro usos comuns na PME. Todas as linhas são critério da CGLC.

Uso de IA	Decide sobre pessoas?	Cuidado mínimo
Redigir e-mail ou post com IA generativa	Não	Revisão humana do conteúdo e cuidado para não colar dados pessoais no texto enviado à ferramenta
Triar currículos com ferramenta de IA	Sim, entra na decisão de contratar	Pessoa do RH que revise a triagem e critério registrado por escrito
Classificar clientes por perfil de crédito ou cobrança	Sim, afeta condição comercial	Critério explicável e canal para o cliente pedir revisão
Chatbot de atendimento	Em geral não, mas pode afetar o cliente	Avisar que a conversa é com uma IA e oferecer o caminho até uma pessoa

Para o passo 1, o texto sobre adoção de IA nas empresas ajuda a enxergar o que a empresa já usa, e o guia de IA responsável traz o lado dos riscos. Para a visão geral do tema, veja IA para empresas.

Erros comuns de quem espera a lei para agir

Na leitura da CGLC, estes são os erros mais comuns:

• Achar que não há regra alguma. A LGPD está em vigor, e o art. 20 prevê o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais.
• Copiar o texto do projeto como se fosse lei. O texto pode mudar na Câmara. Um quadro de obrigações montado a partir dele, sem indicar a data da versão, fica desatualizado.
• Confiar na ferramenta sem pessoa que revise. Quando ninguém na empresa pode rever o resultado, fica difícil corrigir um erro.
• Tratar o assunto como tarefa só do jurídico. Quem sabe onde a IA é usada é o time, e o mapa só fica completo se o dono, o RH e o comercial participarem.

Perguntas frequentes

O que é o marco legal da IA?

É como se costuma chamar o PL 2338/2023, projeto de autoria do senador Rodrigo Pacheco sobre o uso da inteligência artificial no Brasil. O Plenário do Senado o aprovou em 10/12/2024, e ele tramita na Câmara dos Deputados. Frazão (2024) analisa os desafios de implementar uma regulação da IA baseada em riscos no projeto.

O marco legal da IA já está em vigor?

Não, pelo que registra a ficha de tramitação da Câmara, consultada em 25/10/2026: a situação é “Aguardando Parecer do(a) Relator(a) na Comissão Especial”. Como o assunto está em andamento, vale conferir a ficha antes de decidir qualquer coisa que dependa do texto.

A PME precisa cumprir o PL 2338 agora?

O projeto está em tramitação, e a ficha da Câmara não o mostra como norma em vigor. Já a LGPD vale hoje: o art. 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses. Na leitura da CGLC, o roteiro de cinco passos serve às duas situações.

Usar IA para triar currículos entra no alto risco?

A Agência Senado relata que o texto aprovado pelo Senado cita, entre os exemplos de alto risco, a “tomada de decisões sobre recrutamento, avaliação, promoção e demissão de trabalhadores”. A classificação final depende do texto que a Câmara aprovar. Na leitura da CGLC, a PME que usa IA na triagem deve manter uma pessoa que revise o resultado e um critério registrado.

A multa do marco legal da IA vale para empresa pequena?

A Agência Senado relata multas de até R$ 50 milhões ou 2% do faturamento bruto do grupo ou conglomerado, por infração, e não detalha qual limite prevalece. Relata também que o poder público deve definir “critérios distintos” para sistemas ofertados por micro e pequenas empresas e startups nacionais. Esses critérios não estão detalhados na matéria, e a leitura da CGLC é que a PME não deve presumir tratamento mais brando.

Outros artigos relacionados

• Ética da inteligência artificial: princípios, riscos e como aplicar
• IA responsável: o que é, os riscos e como governar o uso na empresa
• Governança de IA: o que é, como montar e o mínimo que a PME precisa ter
• Adoção de IA nas empresas: o cenário, as barreiras e por onde começar

Fontes e referências

• Brasil. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), arts. 6º e 20, com a redação da Lei nº 13.853/2019. Planalto. https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
• Câmara dos Deputados. Ficha de tramitação do PL 2338/2023. Consultada em 25/10/2026. https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262
• Senado Federal. PL 2338/2023, página da matéria. https://www25.senado.leg.br/web/atividade/materias/-/materia/157233
• Senado Notícias (10/12/2024). Senado aprova regulamentação da inteligência artificial; texto vai à Câmara. https://www12.senado.leg.br/noticias/materias/2024/12/10/senado-aprova-regulamentacao-da-inteligencia-artificial-texto-vai-a-camara
• Frazão, A. (2024). Regulation of artificial intelligence in Brazil: examination of Draft Bill no. 2338/2023. UNIO EU Law Journal, 10(1), 55-70. https://doi.org/10.21814/unio.10.1.5842
• Mökander, J., Axente, M., Casolari, F., & Floridi, L. (2022). Conformity assessments and post-market monitoring: A guide to the role of auditing in the proposed European AI regulation. Minds and Machines, 32(2), 241-268. https://doi.org/10.1007/s11023-021-09577-4
• Veale, M., & Zuiderveen Borgesius, F. (2021). Demystifying the Draft EU Artificial Intelligence Act: Analysing the good, the bad, and the unclear elements of the proposed approach. Computer Law Review International, 22(4), 97-112. https://doi.org/10.9785/cri-2021-220402

A CGLC (Centro de Gestão e Liderança Contemporânea) é um laboratório de cocriação de soluções que apoia empresas e líderes no desenvolvimento de lideranças, cultura de inovação e gestão de pessoas.