Marco Legal da IA: em que pé está o PL 2338 e o que fazer agora
A votação foi adiada de novo, e isso criou a impressão de que dá para esperar. Dá — mas o custo de esperar sem se preparar é maior do que parece, porque o modelo já é conhecido.
Resposta curta
O PL 2338/2023, o Marco Legal da Inteligência Artificial, foi aprovado por unanimidade no plenário do Senado em 10 de dezembro de 2024 e seguiu para a Câmara dos Deputados em março de 2025, onde aguarda parecer do relator em Comissão Especial. O texto segue o modelo europeu de classificação por risco — excessivo, alto e baixo/moderado —, cria direitos de transparência, explicação e contestação, institui um sistema nacional de governança e prevê sanções que chegam a R$ 50 milhões por infração. Como o modelo já é público, empresas conseguem se adiantar classificando seus próprios usos de IA por risco antes da aprovação.
Setembro de 2026 chegou com o mesmo assunto voltando às manchetes: o Brasil regula algoritmos por várias leis setoriais, mas continua sem um marco legal próprio de inteligência artificial. Para quem toca uma empresa, a pergunta prática é se vale mexer em alguma coisa agora ou esperar a votação.
Onde o projeto está hoje
O PL 2338/2023 foi aprovado por unanimidade no plenário do Senado Federal em 10 de dezembro de 2024, com relatoria do senador Eduardo Gomes, consolidando contribuições de mais de trezentos especialistas, empresas, academia e sociedade civil. Em março de 2025 seguiu para a Câmara dos Deputados, onde aguarda o parecer do relator em Comissão Especial. A votação foi sendo empurrada e a expectativa se concentra em 2026.
Fonte: Senado Federal — tramitação do PL 2338/2023
O que o texto propõe, em termos práticos
A arquitetura segue a do AI Act europeu: em vez de regular a tecnologia, regula o uso, conforme o risco que ele oferece às pessoas.
- Risco excessivo: usos proibidos, como manipulação de comportamento em prejuízo do próprio usuário
- Alto risco: aplicações em crédito, saúde, seleção de pessoal, educação e segurança, sujeitas a avaliação de impacto, documentação e supervisão humana
- Risco baixo ou moderado: obrigações mais leves, centradas em transparência
- Direitos do afetado: saber que houve uso de IA, receber explicação e poder contestar a decisão
- Sistema Nacional de Regulação e Governança da IA, para coordenar a fiscalização
- Sanções que chegam a R$ 50 milhões por infração
Por que não é razoável simplesmente esperar
Primeiro, porque boa parte das obrigações já existe. A LGPD se aplica a qualquer IA que trate dados pessoais, o Código de Defesa do Consumidor alcança decisões automatizadas que afetam o consumidor, e o Estatuto Digital da Criança e do Adolescente, instituído pela Lei nº 15.211/2025, está em vigor desde 17 de março de 2026 e impõe deveres a plataformas e serviços digitais.
Segundo, porque o marco legal, quando aprovado, funcionará como complemento da LGPD e não como substituto. As obrigações de proteção de dados continuam valendo para qualquer sistema de IA que trate dado pessoal.
Terceiro, e mais concreto: o custo de adequar um sistema depois que ele está em produção, com integrações e histórico, é muito maior do que desenhá-lo já considerando registro de decisão, supervisão humana e explicabilidade.
O que dá para adiantar agora
- Inventariar onde a empresa já usa IA, incluindo o uso informal das equipes em ferramentas gratuitas — que quase sempre existe e ninguém registrou.
- Classificar cada uso pelo risco que oferece à pessoa afetada, usando as categorias do projeto como referência.
- Garantir que todo uso de alto risco tenha registro do que foi decidido e caminho claro de revisão humana.
- Resolver as pendências de LGPD, que já valem hoje: base legal, transferência internacional e cláusula de não uso dos dados para treinamento.
- Definir um responsável interno pelo tema. Sem dono, a adequação não sai do slide.
Nenhum desses passos depende da aprovação da lei, e todos continuam úteis se o texto final mudar. É o que separa preparação de aposta.
Um lembrete sobre prazos legislativos
O projeto já foi adiado mais de uma vez, e pode ser de novo. O risco para a empresa não é a lei entrar em vigor amanhã: é chegar a data com sistemas em produção que não registram nada, não explicam nada e não têm supervisão humana. Reformar isso sob prazo custa caro. Fazer agora, no ritmo normal do negócio, custa uma fração.
Este artigo reflete a situação em setembro de 2026 e será atualizado conforme a tramitação avançar.