PL 2.338 da IA: o que sua empresa faz enquanto não fecha

Equipe Viver de IA · 2026-09-15

A regulação de IA no Brasil ainda tem peça em aberto, e é justamente aí que a maioria trava sem precisar.

O texto ainda tem peça faltando, e sua empresa não precisa esperar

O Projeto de Lei 2.338/2023 chegou numa nova versão pelo Senado, e o próprio material da GFT admite um ponto que muita gente vai ignorar: a entidade responsável pela supervisão das empresas ainda não foi definida. A ANPD entra coordenando o Sistema Nacional de Regulação e Governança de Inteligência Artificial, mas quem de fato fiscaliza, aplica multa e olha o seu sistema no dia a dia é uma pergunta em aberto no texto.

A leitura errada aqui é a de sempre: "ainda não tem lei fechada, então dá pra esperar". A gente discorda, e discorda por experiência de campo.

O que o PL 2.338 faz não é criar uma obrigação nova do nada. Ele organiza e dá nome a coisas que qualquer operação séria já deveria estar fazendo: saber quais sistemas de IA rodam na casa, o que cada um decide, com que dados, e o que acontece quando erra. Isso não depende de decreto pra começar.

O que muda de verdade pra empresa brasileira

O projeto se inspira no modelo europeu e classifica sistemas por grau de risco. Segundo a matéria da GFT, tem três blocos que importam pra quem toca operação:

• Risco excessivo: sistemas proibidos, como identificação biométrica à distância e técnicas subliminares prejudiciais.
• Alto risco: regulamentados pelo SIA, com Avaliação de Impacto Algorítmico obrigatória e resultado compartilhado com a autoridade competente.
• Propósito geral e IA generativa: regras de governança, documentação de riscos e qualidade de dados.

Repara numa coisa. A maioria das empresas que a gente vê usando IA no Brasil hoje não está no bloco de alto risco. Um agente que responde WhatsApp, um sistema que gera petição, um dashboard que analisa campanha, nada disso é biometria à distância nem decisão que define crédito, emprego ou saúde de alguém sozinha.

Ou seja: pro grosso das operações, o PL 2.338 pesa muito mais em transparência e documentação do que em proibição. E é exatamente essa parte que dá pra resolver agora, sem consultor de compliance e sem esperar a lei sair do forno.

A obrigação de saber o que sua IA faz não nasce com a lei, ela só passa a ser cobrada.

Onde a maioria vai interpretar errado

O erro número um vai ser confundir "esperar a regulação" com "não fazer nada". A nova versão do texto, aliás, joga na direção contrária: ela reduziu a classificação de risco de sistemas de identificação biométrica e criou incentivo pra microempresa, pequena empresa e startup, que terão acesso prioritário a ambientes de testagem. O recado do Senado é experimentem, com regra.

O erro número dois é achar que governança de IA é papel. Não é. É saber responder três perguntas sobre cada sistema que você liga:

• Que decisão essa IA toma, e onde tem gente no meio conferindo?
• Com que dados ela foi alimentada, e esses dados são seus de direito?
• O que a empresa faz quando ela erra ou vaza algo?

Quem implementa IA sabe que essas perguntas não são burocracia. São o que separa uma automação que aguenta escala de uma que explode no primeiro problema sério. A comunicação de incidentes graves, que o PL 2.338 lista como obrigação, é só a versão legal de uma prática que operação madura já tem.

Documentar não trava velocidade, ele é o que sustenta a velocidade

Tem um medo legítimo aqui: o de que governar IA vai emperrar a implementação. A gente vê o contrário na prática.

Quando a Costa Law estruturou uma arquitetura de agentes de IA integrada a toda a operação jurídica, da análise documental à confecção de contratos e due diligences, o resultado foi +R$ 360.000 em economia anual. Isso só se sustenta porque a operação sabe onde cada agente atua e o que ele não pode decidir sozinho. Num escritório de advocacia, aliás, um sistema que gera documento sem rastro de origem e sem revisão é risco de personalidade e direito autoral, exatamente dois dos pontos que o PL 2.338 nomeia.

Mesma lógica na MdLab, onde a geração de petições roda sobre a base de conhecimento do próprio escritório, gerando R$ 4.000/mês de economia. O sistema funciona porque a fonte dos dados é conhecida e controlada, não é um modelo público chutando texto. Isso é conformidade de dados na veia, meses antes de qualquer lei exigir.

Não é coincidência. Documentar de onde vem o dado e onde entra a revisão humana é o que faz a IA valer dinheiro de forma repetível. O PL 2.338 só vai cobrar formalmente o que operação boa já faz por interesse próprio.

O que não dá pra saber ainda, e o que isso significa pro seu prazo

Honestidade: com a autoridade de supervisão ainda indefinida no texto, ninguém consegue cravar hoje qual vai ser o nível exato de exigência documental pra sistema de alto risco, nem o valor final das sanções. A matéria da GFT descreve o leque de sanções, de advertência a multa e suspensão, mas o detalhe operacional depende de quem for fiscalizar e de como o texto sair da tramitação.

Quem prometer pra você o checklist definitivo de conformidade com o PL 2.338 hoje está vendendo certeza que a lei ainda não deu.

O que dá pra afirmar é o sentido da coisa. Brasil segue a linha europeia, a régua é risco, e transparência é a espinha dorsal. Isso não vai mudar entre versões.

O que fazer agora, sem esperar o texto final

Enquanto a autoridade competente não é definida, o movimento inteligente é ganhar tempo de arrumação em vez de perder tempo de espera:

1. Faça o inventário dos seus sistemas de IA. Liste tudo que já usa IA na operação, mesmo o que ninguém chama de IA. Você provavelmente tem mais do que imagina.
2. Classifique por risco, na régua do próprio PL. A maioria vai cair fora do alto risco, e isso te dá tranquilidade pra acelerar onde é seguro.
3. Marque onde tem gente no circuito. Todo sistema que toca decisão sobre pessoa precisa de revisão humana registrada.
4. Documente a origem dos dados de cada modelo. É a exigência que mais aparece no texto e a mais barata de resolver agora.
5. Antes de mais governança em cima do que já existe, mapeie a operação inteira com o diagnóstico de IA, pra saber o que priorizar em vez de reagir sistema por sistema.

Empresa que chega na lei já sabendo o que roda dentro de casa não vai ter susto. Vai ter relatório.

Fonte: Pontos Chaves do projeto de Lei 2.338/2023, que regulamenta o uso ...

Relacionados

Agentes de IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

Dois terços têm ganho com IA, mas o ROI ainda emperra

Como treinar o time quando a IA entra na rotina