A regulação da IA vai chegar antes da sua empresa estar pronta

Equipe Viver de IA · 2026-08-13

O PL 2338 avança na Câmara e o AI Act europeu entra em vigor em agosto. Quem espera a lei ficar clara vai implementar tarde.

A lei ainda está em rascunho, mas o risco já é seu

O Senado aprovou o PL 2338/2023 no fim de 2024, e agora ele está na Câmara, onde uma Comissão Especial vai ouvir especialistas e provavelmente mexer no texto. É o que a coluna do JOTA descreve: a presidente da Comissão já sinalizou que a Câmara quer protagonismo e ênfase em inovação. Na Europa, o AI Act entra em fase de sanção real a partir de agosto de 2025, com risco de sanção pra quem não estiver em conformidade.

Tradução pra quem toca empresa no Brasil: o texto vai mudar, os prazos vão escorregar, e mesmo assim você já opera com IA hoje. A regra ainda não fechou, mas a responsabilidade pelo que sua IA faz com dado de cliente, com decisão de crédito, com triagem de currículo, já é sua.

Esse é o descompasso que a gente vê na prática. A empresa trata regulação de IA como um evento futuro ("quando a lei sair, a gente adapta") quando na verdade é uma condição presente. O sistema que você ligou na semana passada já processa dado pessoal, já toma ou sugere decisão, já deixa rastro.

A abordagem por risco muda o que você precisa documentar

O PL brasileiro segue o modelo europeu: classifica aplicações pelo potencial de dano. Isso não é detalhe jurídico, é design de operação.

Na nossa leitura, a parte que mais gente vai interpretar errado é achar que "baseado em risco" significa "só as big techs se preocupam". Não é assim que funciona. Risco é medido pelo que o sistema decide, não pelo tamanho de quem o roda. Um escritório pequeno que usa IA pra pré-analisar contrato de cliente e um banco que usa IA pra negar crédito estão em camadas de risco diferentes, e a documentação exigida acompanha isso.

O que a abordagem por risco cobra de você, na prática:

• Saber onde a IA toca decisão que afeta uma pessoa (crédito, contratação, atendimento, precificação)
• Ter registro de qual modelo faz o quê, com quais dados, desde quando
• Conseguir explicar a lógica de uma decisão automatizada quando alguém perguntar
• Manter humano no ponto certo do fluxo, não como carimbo, como revisão real

Quem construiu a operação de IA com esse mapa já pronto vai adaptar em semanas. Quem plugou ferramenta solta em cada setor sem registro vai gastar meses só descobrindo o que tem rodando.

Documentar não trava a IA, destrava

Tem uma crença cara aqui: a de que estrutura de governança é freio. A gente discorda. A empresa que sabe exatamente qual modelo faz o quê é a mesma que escala rápido, porque não tem medo de ligar coisa nova.

A Costa Law é o exemplo que a gente usa quando esse assunto entra. O sócio Danillo Costa estruturou uma arquitetura de agentes de IA integrada a toda a operação jurídica, da análise documental à elaboração de contratos e due diligences completas, e o resultado foi +R$ 360.000 em economia anual. Repara: num escritório, dado sensível de cliente e sigilo profissional são a espinha dorsal. Não dá pra jogar IA em cima disso sem saber quem processa o quê. A economia veio justamente porque a arquitetura foi pensada com a operação inteira mapeada, não improvisada.

A empresa que sabe exatamente qual modelo faz o quê é a mesma que escala rápido, porque não tem medo de ligar coisa nova.

Esse é o ponto que a regulação vai forçar de graça: se você já sabe o que sua IA faz, conformidade é preencher um formulário. Se você não sabe, conformidade é uma auditoria interna que você adiou por dois anos.

O risco de ter 27 leis antes de ter uma

A coluna do JOTA aponta algo que passa despercebido e importa muito: Goiás aprovou uma Política Estadual de Fomento à Inovação em IA em maio de 2025, aguardando sanção do governador. Uma lei estadual entrando em vigor antes da federal.

Se essa tendência se espalhar, e há motivo pra achar que vai, o Brasil pode ter um mosaico estadual antes de ter regra nacional. Pra quem opera em um estado só, tanto faz. Pra quem tem cliente em vários, isso é dor de cabeça de compliance multiplicada por unidade da federação.

Aqui vale a honestidade: ninguém sabe ainda como isso vai se resolver. Se a lei federal vai prevalecer, se os estados vão manter suas versões, se vai virar litígio. A própria coluna trata isso como "desafio para garantir a segurança jurídica". A gente não vai fingir que tem a resposta que o Congresso ainda não deu. O que dá pra afirmar é: incerteza jurídica não é motivo pra parar, é motivo pra construir de um jeito que aguenta mudança.

Também discutem tirar tudo da ANPD

Um ponto técnico da coluna que tem consequência prática: estuda-se rever a centralização da função regulatória na ANPD, distribuindo pra agências setoriais lidarem com IA em seus domínios.

Se isso passar, a IA do seu setor pode ser regulada pela agência do seu setor, não por um órgão único de dados. Saúde com uma régua, financeiro com outra, transporte com outra. Faz sentido, porque o risco de IA em radiologia não é o mesmo de IA em cobrança. Mas cria um cenário onde "estar em conformidade" depende de qual mercado você atua.

Pra decisão de hoje, isso reforça o mesmo princípio: quanto mais sua operação de IA estiver documentada por função e por dado, mais fácil responder a qualquer régua que apareça, venha ela da ANPD ou de uma agência setorial.

O que fazer enquanto a lei não fecha

Esperar o texto final pra começar a organizar é o pior caminho, porque quando a lei sair o prazo de adequação vai ser curto e sua concorrência já vai estar rodando IA há dois anos. Dá pra se antecipar sem advogado e sem esperar Brasília:

• Faça um inventário do que já roda: liste toda ferramenta de IA em uso, em qual setor, tocando qual dado
• Marque onde a IA influencia decisão sobre pessoas (contratar, cobrar, atender, precificar) porque é aí que a régua vai pesar
• Defina onde tem humano revisando de verdade, e onde tem só carimbo automático
• Guarde registro de qual modelo faz o quê desde quando, isso é o que uma auditoria pede
• Antes de ligar a próxima ferramenta, decida se ela é de baixo ou alto risco, e documente essa decisão
• Se você nem sabe o que já tem rodando na empresa, comece pelo diagnóstico de IA pra mapear a operação antes de qualquer coisa

A regulação vai chegar num formato ou noutro. Quem construiu com mapa vai preencher formulário. Quem construiu no escuro vai pagar a conta da arrumação.

Fonte: Um panorama da regulação da IA no Brasil e no mundo

Relacionados

Agentes de IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

Humano no loop: quando deixar a IA decidir sozinha

IA para análise de contratos e documentos jurídicos