Marco Regulatório da IA: o que muda pra sua operação
Equipe Viver de IA · 2026-09-10
A Câmara avançou com o PL 2.688/2025 e a conta da conformidade vai bater na empresa que usa IA, não só em quem a fabrica.
O essencial
- O PL 2.688/2025 ainda não é lei, mas a direção regulatória é clara: rastreabilidade, revisão humana e auditabilidade serão obrigações para quem usa IA em decisões que afetam pessoas.
- Empresas médias serão mais impactadas que grandes plataformas, pois carecem de estrutura de compliance para absorver exigências de documentação e auditoria.
- Operações de IA construídas sem rastro de decisão precisarão ser reconstruídas, não apenas ajustadas, tornando o custo de esperar maior que o de agir agora.
- A lei responsabiliza quem usa o sistema, não só quem o fabrica: entender como a própria IA decide deixou de ser opcional.
A conta de conformidade não é só das big techs
Se a sua empresa usa IA pra atender cliente, qualificar lead ou aprovar pagamento, o PL 2.688/2025 que a Comissão de Comunicação da Câmara aprovou no dia 18 de março fala com você, não só com a OpenAI ou o X.
O texto (que ainda vai passar por Ciência e Tecnologia, Finanças e CCJ antes do Plenário, então nada disso é lei ainda) impõe obrigações pra quem opera sistemas de IA: rastreabilidade de conteúdo artificial, revisão humana de decisões automáticas, transparência, auditabilidade e proteção de dados. Pra sistemas de alto risco, avaliação de impacto algorítmico e auditoria periódica.
A leitura preguiçosa é: "isso é problema de plataforma grande". Na nossa leitura, é o contrário. A big tech tem departamento jurídico e time de compliance pra absorver o custo. Quem vai sentir de verdade é a empresa média que plugou um agente no WhatsApp em três semanas e nunca documentou como aquilo decide.
O gatilho da lei foi abuso, mas a régua pega todo mundo
Vale entender o que moveu o relator. O parecer do deputado Jadyel Alencar cita um caso concreto: segundo pesquisa do Center for Countering Digital Hate citada no texto, nos primeiros 11 dias após o lançamento da geração de imagem do Grok (em 29 de dezembro de 2025), foram produzidos mais de três milhões de conteúdos sexualizados, 23 mil deles envolvendo crianças. Uma imagem imprópria com criança a cada 41 segundos.
O motor político da lei é esse horror. Ninguém discute a urgência.
Mas a régua que uma lei desenha pra conter o pior caso acaba valendo pro caso comum. Transparência, revisão humana, auditabilidade: essas obrigações não distinguem entre um deepfake criminoso e o seu bot de atendimento que nega uma proposta de crédito. Se o sistema decide algo que afeta uma pessoa, alguém vai poder perguntar como decidiu. E a empresa vai ter que responder.
A empresa que não sabe explicar como o próprio agente decide já está em dívida com uma lei que ainda nem passou.
O que a maioria vai interpretar errado
A reação típica quando uma regulação assim aparece divide as empresas em dois erros opostos.
O primeiro é o pânico: "então melhor não usar IA até virar lei". Errado. A lei ainda tem três comissões e o Plenário pela frente, o texto vai mudar, e parar de usar IA agora é abrir mão de eficiência real por medo de uma regra que ainda está em rascunho.
O segundo é a negação: "quando virar lei a gente se adapta". Esse é o mais caro. Porque as obrigações centrais do PL (rastreamento, revisão humana, documentação) não são um botão que você liga depois. São arquitetura. Quem construiu a operação de IA sem pensar em rastreabilidade vai ter que reconstruir, não ajustar.
A verdade honesta: ainda não dá pra saber o texto final nem os prazos de vigência. Qualquer um que te vender "o kit de conformidade do Marco da IA" hoje está vendendo fumaça. O que dá pra saber é a direção, e a direção é clara.
Rastreabilidade não é custo, é o que separa operação de gambiarra
Aqui está o ponto que a gente aprendeu apanhando em implementação: as exigências que parecem burocráticas na lei são exatamente o que faz uma operação de IA funcionar bem, com ou sem lei.
Revisão humana de decisão automática? Toda operação séria já tem um humano no loop nos pontos críticos. Rastreamento de quem decidiu o quê? Isso é o que permite você descobrir por que o agente errou e corrigir. Documentação do fluxo? É o que impede que a saída de uma pessoa da equipe leve o conhecimento embora.
Quando a Caveo montou a "Sofia", uma SDR baseada em IA integrada ao WhatsApp, com automação completa do fluxo de dados da landing page ao Pipedrive, o resgate de 30% em leads veio justamente porque cada etapa era rastreável. Dá pra ver onde o lead entrou, o que a IA respondeu, onde parou. Isso não foi feito pra atender lei nenhuma. Foi feito porque operação sem rastro é operação que você não consegue melhorar.
A lei está, na prática, obrigando o mercado a fazer o que as implementações bem-feitas já fazem.
Alto risco: o rótulo que vai gerar mais confusão
O PL prevê obrigações mais pesadas pra sistemas de "alto risco": avaliação de impacto algorítmico e auditoria periódica. E o setor público ganha a exigência de avaliar impacto sobre direitos fundamentais antes de adotar esses sistemas.
O problema prático é que "alto risco" é uma categoria que ninguém sabe ainda onde começa. Um bot que responde dúvida de produto claramente não é. Um sistema que decide concessão de crédito ou triagem de currículo provavelmente é. E no meio existe uma faixa cinzenta enorme onde a maioria das empresas vive.
O que a gente recomenda enquanto o texto amadurece:
- Mapeie onde a IA decide sozinha algo que afeta uma pessoa. Preço, crédito, aprovação, triagem, atendimento de reclamação. Esses são os pontos que uma futura lei vai olhar primeiro.
- Garanta que existe um humano com autoridade de reverter cada uma dessas decisões automáticas. Não como enfeite, como parte do fluxo.
- Documente o "como" antes que virem obrigação. Que dado entra, que regra o sistema segue, quem revisa. Se você não consegue escrever isso hoje, sua operação tem um buraco independente de lei.
O que fazer com isso agora
O Marco Regulatório ainda vai andar meses no Congresso. Mas a empresa que espera a lei pra se organizar vai correr atrás de conformidade e de operação ao mesmo tempo, no aperto. A que se organiza agora ganha os dois de graça.
- Faça o inventário do que a sua IA já faz. Muita empresa nem sabe quantos fluxos automatizados rodam, quem conectou, o que decidem. Você não pode auditar o que não conhece.
- Separe o que é atendimento simples do que é decisão sensível. A régua da lei vai apertar no segundo grupo, não no primeiro.
- Construa com rastro desde já. Log de decisão, ponto de revisão humana, dado de entrada versionado. Isso vale pra lei e vale pra qualidade.
- Não terceirize o entendimento. A lei responsabiliza quem usa, não só quem fabrica. Você precisa saber como seu próprio sistema opera.
Se você não tem o mapa da própria operação de IA, é por aí que começa, com um diagnóstico de IA que mostre onde a IA já decide na sua empresa antes de qualquer lei perguntar.
Fonte: Comissão aprova criação do Marco Regulatório da Inteligência Artificial ...
Relacionados
Agentes de IA: o guia completo
Soluções de IA prontas para empresas
Como escalar atendimento de alto ticket sem perder o toque premium: a lição da Dexi Digital
Gemini 3 executa melhor, mas quem manda ainda é a operação
Perguntas frequentes
O Marco Regulatório da IA já é lei e preciso me adequar agora?
Não. O PL 2.688/2025 foi aprovado pela Comissão de Comunicação em março de 2025, mas ainda precisa passar por mais três comissões e pelo Plenário antes de virar lei.
Minha empresa usa IA só pra atendimento e qualificação de leads. A lei se aplica a mim?
Sim. O PL impõe obrigações a qualquer empresa que opere sistemas de IA que afetem pessoas, não apenas a grandes plataformas de tecnologia.
Quais obrigações o PL prevê para empresas que usam IA?
Rastreabilidade de conteúdo artificial, revisão humana de decisões automáticas, transparência, auditabilidade e proteção de dados; sistemas de alto risco exigem também avaliação de impacto algorítmico e auditoria periódica.
O que é considerado sistema de IA de 'alto risco' pelo projeto de lei?
O texto ainda não define os limites com precisão, mas sistemas que decidem concessão de crédito ou triagem de currículos provavelmente se enquadram; bots de dúvidas sobre produtos, provavelmente não.
Posso esperar o texto final da lei para adaptar minha operação?
Não é recomendado: rastreabilidade, revisão humana e documentação são decisões de arquitetura que precisam ser construídas desde o início, não adicionadas depois.
Isto não é teoria. É o que já implementamos.
521 cases reais, todos com número aberto, e 158 soluções de IA prontas para empresas brasileiras.