O PL 2338 ainda não é lei, mas sua operação já é regulável
Equipe Viver de IA · 2026-08-01
O projeto está travado numa Comissão Especial da Câmara, e é exatamente aí que a maioria das empresas vai errar a leitura.
O essencial
- A ausência de lei específica de IA não elimina o risco: LGPD e responsabilidade civil já cobrem decisões automatizadas que afetam pessoas.
- A regulação por risco do PL 2338 incide sobre quem usa IA, não apenas sobre quem a desenvolve, expondo a maioria das PMEs brasileiras.
- Empresas sem inventário dos sistemas de IA em operação acumulam passivo invisível que se torna exposição real quando a lei for aprovada.
- Construir ou adotar soluções com rastreabilidade desde o início reduz o custo de adaptação a qualquer versão final do texto legal.
A lei não saiu, e isso é a pior desculpa possível
O PL 2338/2023 foi aprovado no Senado em dezembro de 2024, chegou à Câmara em março de 2025 e, segundo o próprio artigo do Jusbrasil, aguarda a instalação de uma Comissão Especial desde abril de 2025. Traduzindo para quem toca empresa: não há lei da IA em vigor no Brasil, e não dá para saber quando haverá, nem em que forma o texto vai sair da Câmara, porque ele ainda está "sujeito a novas modificações", como a própria fonte admite.
A leitura preguiçosa é esperar. "Quando a lei sair, a gente se adapta."
Na nossa leitura, é o contrário. O fato de a lei não ter saído não significa que sua operação de IA está num vácuo. Significa que ela já está sendo governada por tudo que já existe: LGPD, Código de Defesa do Consumidor, responsabilidade civil comum. O PL 2338, quando virar lei, vai organizar e endurecer isso, não criar do zero.
A ausência de lei específica não é ausência de risco, é risco não catalogado.
O que o PL 2338 realmente muda para uma PME
O artigo destaca que a espinha dorsal do projeto é a classificação dos sistemas de IA por risco, inspirada no AI Act europeu. É aí que mora o ponto que quase todo gestor vai ler errado.
A maioria imagina que "regulação de IA" é assunto de quem treina modelo, de big tech, de quem faz IA. Não é. A abordagem baseada em risco olha para o USO. Um CRM que sugere empreendimento para um cliente, um agente que aprova pagamento, um sistema que decide prioridade de atendimento: o risco está no que a IA decide sobre uma pessoa, não em quem programou.
Ou seja: a empresa que só USA IA de terceiros também entra na conta. E a maioria das empresas brasileiras que a gente conhece está exatamente nesse lugar, usando ferramenta pronta sem saber o que ela decide por dentro.
O que muda na prática quando a lei apertar:
- Rastreabilidade de decisão. Vai ser preciso saber por que a IA decidiu o que decidiu. Sistema caixa-preta comprado de fornecedor obscuro vira passivo.
- Direito de explicação ao afetado. Quem foi impactado por uma decisão automatizada pode exigir entender. Isso já ecoa a LGPD.
- Registro de quem faz o quê. Fornecedor, operador, quem responde por dano. Se você não sabe onde a IA da sua empresa está rodando, você não tem esse mapa.
O erro que a gente mais vê: adotar IA sem saber onde ela está
Quem implementa IA em empresa de verdade descobre uma coisa incômoda: a maioria não tem inventário do que já roda. Um setor contratou um chatbot, outro plugou uma automação, alguém colou dado de cliente num modelo público para "agilizar". Isso vira uma dívida invisível que, no dia em que a Comissão Especial destravar e a lei sair, vira exposição real.
A parte boa: quem constrói IA com controle desde o início não precisa refazer nada.
Quando a Quartto Imóveis desenvolveu um CRM próprio com rastreamento de leads e sugestão de empreendimentos, gerando R$ 1.200 de economia mensal, o ganho óbvio foi custo. O ganho que ninguém contabiliza é que a decisão da IA está dentro de um sistema que a empresa controla e consegue auditar, não numa caixa-preta de terceiro. Isso é governança nascida junto com a solução, não colada depois.
O mesmo vale para a Marquesi Consultoria, que adotou a plataforma Nina como agente de IA para atendimento e gestão de leads, com R$ 400 mensais de economia imediata. Num escritório jurídico, saber exatamente qual agente fala com o cliente e o que ele registra não é preciosismo, é a diferença entre estar preparado e estar improvisando quando a lei chegar.
O que dá para saber e o que não dá
Seja honesto sobre o que ninguém tem como cravar hoje.
Não dá para saber o texto final. A fonte é clara: o projeto está numa fase de deliberação sujeita a modificações. Qualquer consultor que te vender "adequação ao PL 2338" agora está vendendo adequação a um texto que pode mudar na Câmara. Desconfie.
O que dá para saber com segurança:
- A direção é classificação por risco baseada no uso. Isso está no texto aprovado no Senado e é o mesmo caminho do AI Act europeu que o artigo cita. Essa espinha dorsal dificilmente cai.
- A LGPD já cobre boa parte do que o PL vai reforçar. Dado pessoal processado por IA já tem dono, base legal e direito de acesso, independentemente da lei nova.
- Quem tem inventário e controle das próprias decisões automatizadas se adapta a qualquer versão do texto com custo baixo.
Então a preparação certa não é jurídica, é operacional. Não é contratar quem escreva política de IA para gaveta. É saber onde a IA da sua empresa mora e o que ela decide.
O que fazer antes da lei, sem gastar com adivinhação
Dá para se antecipar sem pagar consultoria para prever texto de lei. A ordem que funciona:
- Mapeie onde a IA já roda. Todo chatbot, automação, agente e ferramenta que consome dado de cliente. Se você não consegue listar em uma página, esse é o primeiro problema.
- Marque as decisões que afetam pessoas. Aprovação de crédito, priorização de atendimento, recomendação, triagem. Essas são as que a regulação por risco vai olhar primeiro.
- Cheque a rastreabilidade. Para cada decisão automatizada, você consegue explicar por que ela aconteceu? Se a resposta é "o sistema decide", há trabalho aí.
- Prefira construir com controle a plugar caixa-preta. Sistema próprio ou solução onde você enxerga a lógica envelhece melhor que ferramenta fechada de fornecedor que você não audita.
- Comece pelo diagnóstico. Antes de qualquer política ou ferramenta nova, mapeie a operação com o diagnóstico de IA para saber o que já existe e onde está o passivo.
A lei vai chegar quando chegar. A empresa que sabe onde sua IA está e o que ela decide não vai correr atrás de nada. Vai só assinar embaixo do que já faz.
Fonte: A Regulação da Inteligência Artificial no Brasil
Relacionados
Agentes de IA: o guia completo
Soluções de IA prontas para empresas
Cache de IA para reduzir custo em fluxos repetitivos
Melhores plataformas de IA: como comparar sem cair no hype
Perguntas frequentes
O PL 2338 já está em vigor? Preciso me adequar agora?
Não está em vigor. O projeto foi aprovado no Senado em dezembro de 2024 e aguarda Comissão Especial na Câmara desde abril de 2025, sujeito a modificações. Mas a operação de IA já é regulável pela LGPD e pelo Código de Defesa do Consumidor.
Minha empresa só usa IA de terceiros, sem desenvolver nada. Isso me protege da regulação?
Não. A abordagem do PL é baseada no uso, não em quem programou. Se a IA toma decisões sobre pessoas na sua operação, sua empresa entra na conta independentemente de quem desenvolveu a ferramenta.
O que muda na prática para uma PME quando a lei for aprovada?
Será necessário rastrear por que a IA tomou cada decisão, garantir o direito de explicação a quem foi afetado e manter registro claro de quem responde por cada sistema automatizado.
Devo contratar uma consultoria jurídica para me adequar ao PL 2338 agora?
Não é a prioridade. O texto ainda pode mudar na Câmara, então a preparação certa é operacional: mapear onde a IA já roda na empresa e quais decisões ela toma sobre pessoas.
Por onde começo para preparar minha empresa antes da lei sair?
Liste todos os chatbots, automações e agentes que consomem dados de clientes, identifique as decisões automatizadas que afetam pessoas e verifique se cada uma delas pode ser explicada e auditada.
Isto não é teoria. É o que já implementamos.
528 cases reais, todos com número aberto, e 157 soluções de IA prontas para empresas brasileiras.