PL de IA regula risco, mas o Brasil não decidiu quem constrói

Equipe Viver de IA · 2026-09-16

A regulação avança em governança e trava na infraestrutura, e é aí que a decisão da sua empresa muda.

O que muda pra sua empresa quando a lei regula risco e ignora quem constrói

A parte prática pra quem tem CNPJ é curta: o PL 2.338/2023 vai dizer o que você não pode fazer com IA de alto risco, e não vai dizer nada sobre onde essa IA vai rodar, quem vai treinar, com qual dado, em qual data center. Segundo o JOTA, o texto foi desenhado "na tentativa de proteger direitos, não para equilibrar o fomento à inovação". A distinção parece jurídica. Ela é operacional.

Porque a conta de quem implementa IA no país já embute essa lacuna. A infraestrutura instalada aqui é cara, os incentivos ainda não existem (a própria matéria diz que "essas iniciativas, até agora, não existem"), e o Redata, que suspenderia impostos pra atrair data center, virou novela: a Câmara aprovou, a MP caducou no Senado por prazo, e agora depende de PL. Enquanto isso, o investimento fica parado. O secretário do MDIC, Uallace Lima, é citado dizendo que "tem muitos investimentos que estão parados aguardando o Redata".

Traduzindo pro dono de empresa: a lei que vem aí mexe no seu risco de compliance. Ela não mexe no seu custo de rodar IA. Esse continua sendo problema seu.

Por que a regulação de risco é a parte fácil do debate

O modelo do PL classifica sistemas em quatro faixas (risco excessivo, alto, limitado e mínimo) com obrigações que pesam mais conforme o risco. Ana Frazão, que integrou a Comissão de Juristas do Senado, defende o escalonamento porque empresas em áreas de menor risco "terão condições de fazê-lo com maior facilidade".

Faz sentido. E, na nossa leitura, é justamente por ser a parte mais fácil de escrever que ela saiu primeiro. Definir o que é proibido é um trabalho de advogado sentado numa mesa. Definir quem terá autonomia tecnológica pra construir IA no Brasil é política industrial, orçamento, energia, engenharia. Uma coisa cabe num artigo de lei. A outra não.

E aqui vale uma admissão honesta: ninguém, nem nós, sabe hoje se o Brasil vai virar produtor ou vai continuar consumidor de IA treinada lá fora. Isso depende de decisões que ainda não foram tomadas (Redata incluído). Quem cravar uma previsão está chutando.

O erro de leitura que a maioria das empresas vai cometer

A armadilha que a gente já viu de perto: gestor lê "vai ter marco legal de IA" e conclui que precisa esperar a lei pra começar a implementar. Congela projeto, espera segurança jurídica, adia.

Esse raciocínio inverte a ordem das coisas.

A imensa maioria do que uma empresa brasileira faz com IA hoje (atendimento, qualificação de lead, automação de pedido, análise de dado interno) cai nas faixas de risco mínimo ou limitado. Não é o alto risco que a lei mira. Você não precisa esperar regulação de risco excessivo pra montar um agente de atendimento ou um SDR automatizado, porque nada disso está no radar de proibição.

O PL vai mexer no seu risco de compliance, não no seu custo de rodar IA, e são as empresas que confundem os dois que ficam paradas esperando a lei errada.

Quem entende essa separação segue construindo. Quem não entende, espera um sinal verde que, pro seu caso, já estava verde.

Autonomia tecnológica é decisão de país, mas dependência é escolha de empresa

O PL não resolve autonomia nacional. Certo. Mas tem uma versão dessa mesma pergunta que cabe dentro da sua operação, e essa você decide sozinho: você quer que sua IA seja um sistema terceirizado que você aluga, ou algo que você controla?

É a mesma tensão que a matéria levanta em escala de país, rebaixada pra escala de CNPJ. E aqui a experiência de quem implementa fala mais alto que a lei.

A Del Match Delivery ganhou 3X em capacidade de demanda substituindo sistemas terceirizados por ferramentas internas alinhadas aos próprios fluxos (case aqui). A Operalog chegou a uma análise 5x mais rápida montando a IA sobre infraestrutura própria de dados no Databricks (case aqui). Nos dois casos, o ganho não veio de escolher a IA mais poderosa do mundo. Veio de ter controle sobre onde o dado mora e como o sistema opera.

Enquanto o Congresso decide se o Brasil terá data center barato, a empresa que trata seus próprios dados como ativo já sai na frente de quem terceirizou tudo e não sabe onde a informação está.

Risco alto não é sobre tamanho de empresa, e isso importa pra pequena

Um ponto da matéria que passa fácil e não deveria: Frazão avisa que "mesmo um pequeno agente" pode gerar dano excessivo dependendo do tipo de IA. Ou seja, a lei não pega leve com você só porque sua empresa é pequena. Ela olha o que o sistema faz, não o faturamento de quem o construiu.

Na prática, isso muda a pergunta que o gestor deveria fazer. Não é "minha empresa é grande o bastante pra se preocupar com a lei". É "o que meu agente decide sozinho, e sobre a vida de quem".

Um agente que responde dúvida de cliente e agenda entrega: baixo risco. Um agente que aprova ou nega crédito, que faz triagem de currículo, que decide preço por perfil de pessoa: aí o jogo muda, independentemente do porte. Mapear isso antes de a lei chegar é barato. Descobrir depois é caro.

O que fazer enquanto o Congresso decide o que não decidiu

A leitura útil desta notícia não é acompanhar a tramitação. É agir na parte que já está sob seu controle:

• Separe compliance de custo. A lei mexe no que você pode fazer, não no que rodar IA te custa. Não trave projeto de baixo risco esperando definição de alto risco.
• Classifique seus próprios agentes por risco. Liste o que cada automação decide e sobre quem. Baixo risco segue; qualquer coisa que decide sobre pessoa (crédito, contratação, preço individual) você trata com cuidado desde já.
• Trate seus dados como ativo próprio. A autonomia que o país ainda debate você constrói na sua casa, escolhendo controlar onde o dado mora em vez de terceirizar tudo.
• Não espere o Redata pra ser competitivo. O incentivo de infraestrutura pode vir ou não. Sua vantagem operacional com IA não depende dele.
• Comece pela operação, não pela lei. Antes de reagir a um marco legal, é bom saber onde a IA realmente destrava valor no seu negócio. Um diagnóstico de IA mostra isso em dias, não em legislaturas.

A regulação vai definir limites. Quem constrói dentro deles continua sendo você.

Fonte: PL de IA define limites, mas não aponta caminhos para o ... - JOTA

Relacionados

Agentes de IA: o guia completo

Soluções de IA prontas para empresas

Mais de 500 cases reais de IA

Como medir agente de IA sem se enganar com número bonito

Chrome com Gemini navega sozinho: o risco é o agente sem dono