Marco legal da IA na Câmara: o que fazer antes da lei
Equipe Viver de IA · 2026-07-31
O PL 2.338/2023 travou em 2026, mas a régua de compliance que ele desenha já é a régua que sua operação vai ter que passar.
O essencial
- O PL 2.338/2023 está na Câmara sem parecer e com votação empurrada para 2026, mas a responsabilidade civil por danos causados por IA já existe na legislação brasileira vigente.
- O risco regulatório depende do uso específico, não da empresa como um todo: o mesmo negócio pode ter usos de risco baixo, alto risco e território proibido simultaneamente.
- Supervisão humana em decisões relevantes sobre pessoas é ao mesmo tempo boa prática operacional e o requisito central para usos de alto risco sob o PL.
- Documentar a origem de dados e conteúdos usados em treinamento é a ação mais urgente dado que esse é o ponto do texto com maior probabilidade de mudança antes da promulgação.
A lei está parada, mas o relógio de compliance da sua operação não
Quem opera IA no Brasil hoje ganhou um tempo extra, e vai usar mal.
O PL 2.338/2023, o marco legal da IA, foi aprovado pelo Senado em 10 de dezembro de 2024 e está na Câmara desde março de 2025, ainda sem parecer do relator, segundo a Barbieri Advogados. A votação, que era pra sair no fim de 2025, foi empurrada pra 2026 por impasse político e calendário eleitoral. Traduzindo pra dono de empresa: a lei que vai reger como você usa IA ainda não tem texto final, não tem data e pode mudar de forma nos pontos que mais te afetam.
A leitura preguiçosa disso é "então dá pra esperar". A leitura que a gente tem, depois de colocar IA pra rodar em mais de 190 empresas brasileiras, é o contrário: a ausência de lei fechada não te isenta de nada. Ela só transfere o risco de "multa administrativa futura" pra "processo civil hoje".
O que a maioria vai ler errado nessa notícia
O erro de interpretação é achar que compliance de IA começa quando a lei for publicada.
Não começa. A própria matéria diz que o PL constrói um regime com densidade normativa comparável à LGPD, com responsabilidade civil e sanções para descumprimento. E responsabilidade civil no Brasil não espera lei específica sair: se seu sistema de IA discrimina um candidato, nega um crédito com viés ou toma uma decisão relevante sobre uma pessoa sem supervisão humana, você já pode ser processado com base no que existe hoje. O marco legal não cria esse risco. Ele organiza e amplia.
Então o gestor que lê "lei adiada para 2026" e relaxa está lendo a manchete. Quem lê a estrutura do texto entende que os deveres já estão desenhados e a maioria deles é boa prática que você deveria ter de qualquer forma.
A ausência de lei fechada não te isenta de nada, ela só transfere o risco de multa futura pra processo civil hoje.
A classificação por risco é o único mapa que importa agora
Se você vai ler uma coisa do PL, leia a parte de risco.
A matéria descreve três camadas: sistemas de risco inaceitável (proibidos, como manipulação subliminar e pontuação social), sistemas de alto risco (saúde, educação, justiça criminal, emprego, infraestrutura crítica, com documentação técnica, supervisão humana, avaliação de impacto e auditabilidade obrigatórias) e o resto, com regra mais leve focada em transparência ao usuário.
Aqui está a decisão prática que quase ninguém faz e que muda tudo: classificar cada uso de IA que você já tem rodando. Não a empresa, o uso.
Na prática, o mesmo negócio costuma ter usos das três camadas ao mesmo tempo:
- Um atendimento automatizado no WhatsApp que qualifica lead: risco baixo, exige transparência de que o usuário fala com IA.
- Uma IA que triaga currículo ou apoia decisão de contratação: alto risco, entra na régua reforçada.
- Um agente que decide sozinho algo relevante sobre uma pessoa sem humano no circuito: território perigoso.
A gente vê muita empresa tratando "IA" como uma coisa só, com uma política só. Não é assim que a régua funciona. O peso do compliance depende de onde a IA toca a vida de uma pessoa.
Onde o baixo risco vira ativo, não passivo
A parte boa dessa história: a maioria dos usos de IA que dão dinheiro cai na camada leve.
Quando a IA faz triagem inicial de lead, agenda visita, responde cliente ou acelera análise de documento interno, o dever principal é transparência com o usuário, e isso é barato de cumprir. É onde o retorno aparece rápido e o risco regulatório é menor.
Alguns exemplos concretos de mecanismo:
- A Besser Home colocou a "Bruna", uma SDR virtual com IA que qualifica e agenda visitas para todos os leads 24/7, integrada a um CRM customizado, e gerou R$ 480.000 em receita. Um usuário que sabe que fala com um agente é atendimento com transparência, exatamente a régua leve.
- A Costa e Savian Advogados usa IA para condensar e analisar grandes volumes de documentos financeiros e contábeis, com a IA como complemento ao trabalho dos advogados aprimorando rascunhos, e economiza R$ 48.000 por ano. O humano no circuito não é só compliance, é o que faz o resultado ser confiável.
Repare no ponto da Costa e Savian: a IA entra como complemento, com o advogado revisando. Isso é supervisão humana. A empresa fez por qualidade, e por acaso já está do lado certo do que o PL pede pra usos sensíveis. É esse alinhamento que a gente defende: quem estrutura bem a operação tende a chegar no compliance sem esforço extra.
Direitos autorais e treinamento: o ponto que ainda não dá pra cravar
Aqui é honesto admitir o limite.
A matéria mostra que o texto do Senado obrigava empresas a informar quais obras protegidas foram usadas no treinamento de IA generativa e dava ao autor o direito de vetar esse uso, e que esse tema reabriu disputa forte na Câmara, com setor cultural puxando pra mais proteção e plataformas resistindo por inviabilidade técnica. Ou seja: essa é a parte do PL mais provável de mudar antes de virar lei.
A gente não vai fingir que sabe onde isso vai parar, porque não dá pra saber com o texto ainda em negociação. O que dá pra dizer é o comportamento defensivo: se sua empresa treina modelo próprio com conteúdo de terceiros, ou usa geração de imagem e texto com base incerta, esse é o risco jurídico mais vivo e mais indefinido do momento. Documente origem do que você usa. Não porque a lei mandou, ela ainda não mandou, mas porque quando mandar, quem não tem rastro vai correr atrás no escuro.
O que fazer antes da lei sair
Esperar o texto final pra agir é a pior das decisões, porque quando ele sair vira corrida.
Passos que fazem sentido agora, com ou sem lei publicada:
- Faça um inventário de todo uso de IA que já roda na empresa, incluindo o que a equipe adotou por conta própria (o "shadow AI" costuma ser maior do que a diretoria imagina).
- Classifique cada uso pela camada de risco: transparência simples, alto risco com supervisão, ou território a evitar.
- Garanta que todo ponto onde a IA fala com pessoa deixe claro que é IA, esse é o custo mais barato e o mais esquecido.
- Coloque humano no circuito de qualquer decisão relevante sobre uma pessoa, e registre isso.
- Documente origem de dados e conteúdo usados em treinamento, porque é o ponto mais incerto.
- Antes de comprar mais ferramenta, mapeie a operação inteira com o diagnóstico de IA para empresas, pra decidir o que precisa de blindagem e o que só precisa rodar.
A lei vai chegar depois de você. Melhor que ela te encontre com a casa já arrumada do que dependendo dela pra arrumar.
Fonte: Regulamentação da Inteligência Artificial no Brasil 2026
Relacionados
Agentes de IA: o guia completo
Soluções de IA prontas para empresas
Agentes de IA para empresas: onde substituem o manual
Plataforma de IA para empresas substitui a consultoria?
Perguntas frequentes
A lei de IA foi adiada para 2026, então posso esperar para me preocupar com compliance?
Não. A ausência de lei fechada não isenta a empresa de responsabilidade civil, que já existe com base na legislação atual e pode gerar processos hoje.
Como saber se meu uso de IA exige supervisão humana e documentação técnica?
Depende da camada de risco do uso específico: IA que apoia decisões sobre pessoas em áreas como emprego, saúde ou crédito é considerada alto risco e exige supervisão humana e auditabilidade.
Um chatbot de atendimento ou qualificação de leads exige muito para estar em conformidade?
Não. Esse tipo de uso cai na camada de risco baixo, cujo principal requisito é deixar claro ao usuário que está falando com uma IA.
Minha empresa precisa se preocupar com os dados usados para treinar modelos de IA?
Sim. O uso de obras protegidas em treinamento é o ponto mais incerto e disputado do PL; documentar a origem dos dados agora é o comportamento defensivo recomendado.
Por onde começar para estruturar o compliance de IA na minha empresa?
O primeiro passo é fazer um inventário de todos os usos de IA em operação, incluindo os adotados pelas equipes por conta própria, e classificar cada um pela camada de risco correspondente.
Isto não é teoria. É o que já implementamos.
528 cases reais, todos com número aberto, e 157 soluções de IA prontas para empresas brasileiras.