Marco legal da inteligência artificial no Brasil: o que muda com o PL 2338/2023 em 2026

A trajetória de cinco anos até a votação na Câmara

O Brasil está prestes a ganhar sua primeira lei específica sobre inteligência artificial depois de mais de cinco anos de tramitação legislativa. O PL 2338/2023, que estabelece o Marco Legal da IA, foi aprovado por unanimidade no Senado Federal em 10 de dezembro de 2024 e atualmente tramita na Câmara dos Deputados, onde deve ser submetido a votação final ainda em 2026. O projeto, de autoria do presidente do Senado Rodrigo Pacheco, representa a consolidação de um longo processo de consultas públicas, audiências e negociações entre governo, setor de tecnologia, academia e sociedade civil.

A origem do marco regulatório remonta a 2020, quando o PL 21/2020 foi apresentado na Câmara dos Deputados e posteriormente aprovado pelos parlamentares daquela Casa. Porém, o texto foi considerado insuficiente por organizações da sociedade civil e especialistas, levando à abertura de um novo processo no Senado. Em 2022, foi criada uma Comissão de Juristas dedicada à regulação da IA, cujo trabalho resultaria no PL 2338/2023 apresentado pelo senator Rodrigo Pacheco em maio de 2023. A Comissão Temporária de IA do Senado analisou o projeto ao longo de 2023 e 2024, realizando dezenas de audiências públicas que reuniram mais de 300 especialistas, empresas, academia e representantes da sociedade civil.

A arquitetura de classificação por risco adotada pelo projeto

O PL 2338/2023 adota modelo inspirado no AI Act europeu, classificando sistemas de inteligência artificial por nível de risco e aplicando obrigações proporcionais ao potencial de dano de cada tecnologia. No nível mais alto estão os sistemas proibidos, que não podem ser desenvolvidos nem comercializados no território nacional. Essa categoria inclui armas autônomas letais que tomam decisões fatais sem supervisão humana, sistemas de pontuação social governamental que classificam cidadãos pelo Estado, técnicas subliminares que explorem vulnerabilidades psicológicas, reconhecimento de emoções em ambientes de trabalho e educação, e raspagem indiscriminada de imagens faciais em espaços públicos.

Os sistemas de alto risco, embora permitidos, enfrentam obrigações severas. Essa categoria abrange triagem curricular e recrutamento de pessoal, análise de crédito e risco financeiro, sistemas de saúde para diagnóstico e triagem, avaliação e classificação de alunos em instituições de ensino, análise de reincidência criminal e vigilância biométrica no sistema de justiça, serviços públicos essenciais, imigração, veículos autônomos e infraestrutura crítica. Para esses sistemas, o projeto exige avaliação de impacto algorítmico prévia, governança robusta com registros de auditoria, supervisão humana efetiva sobre decisões, transparência sobre o funcionamento do sistema e documentação técnica completa disponível para a autoridade reguladora.

O nível de risco baixo ou moderado e as obrigações mínimas

A maior parte das aplicações de IA comercial, incluindo chatbots genéricos, sistemas de recomendação de produtos e assistentes virtuais, é classificada como risco baixo ou moderado. Para esses sistemas, as obrigações são mais brandas, limitando-se basicamente a informações básicas de transparência: o usuário deve saber que está interagindo com uma inteligência artificial, qual a finalidade do sistema, quais dados são coletados e quem é o operador responsável. Também é exigido que conteúdo gerado por IA, como deepfakes e imagens sintéticas, seja identificado como tal.

Os direitos dos afetados por sistemas de inteligência artificial

Um dos aspectos mais inovadores do PL 2338/2023 é a criação de um catálogo de direitos específicos para qualquer pessoa afetada por decisão de inteligência artificial. Esses direitos não existem hoje de forma unificada no ordenamento jurídico brasileiro e representam a principal conquista cidadã do projeto. O direito à informação prévia garante que, antes de qualquer interação, a pessoa saiba que está diante de um sistema de IA, qual a finalidade, quais dados são coletados e quem é o operador e desenvolvedor.

O direito à explicação permite que qualquer pessoa afetada por decisão automatizada exija explicação técnica e compreensível sobre os critérios utilizados, os dados relevantes e a lógica geral do sistema. O direito à revisão humana assegura que decisões totalmente automatizadas que impactem direitos ou produzam efeitos jurídicos possam ser contestadas perante um ser humano qualificado. Na prática, isso significa que se um banco negar crédito apenas com base em algoritmo, o cliente tem o direito de solicitar revisão por um analista humano.

O projeto também estabelece o direito à não-discriminação algorítmica, proibindo práticas que resultem em discriminação direta, indireta ou por viés algorítmico com base em raça, gênero, orientação sexual, religião, convicção política, condição socioeconômica ou deficiência. Há ainda o direito à privacidade e proteção de dados, que reforça os princípios já estabelecidos pela LGPD, e o direito à contestação administrativa, permitindo que reclamações sejam feitas diretamente à autoridade competente sem necessidade de ação judicial prévia.

A estrutura de governança e o papel da ANPD

O projeto cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial, conhecido como SIA, que organiza a fiscalização de forma distribuída. A Autoridade Nacional de Proteção de Dados Pessoais assume o papel de coordenação central, atuando em conjunto com reguladores setoriais como o Banco Central no controle de sistemas financeiros, a ANVISA em aplicações de saúde e a ANATEL em telecomunicações. A estrutura conta ainda com um órgão colegiado chamado CNRIA, o Conselho Nacional de Regulação de Inteligência Artificial, e um comitê científico e multissetorial para consultas técnicas.

As sanções previstas seguem uma escala proporcional à gravidade da infração. Infrações leves resultam em advertência e obrigação de adequação. Infrações médias geram multa simples limitada a 2% do faturamento bruto, com teto de R$ 50 milhões. Infrações graves adicionam a suspensão parcial da atividade à multa. Nas infrações gravíssimas, há proibição de operar e multa no valor máximo. Reincidência dobra o valor da multa aplicada. Para pequenos negócios e escritórios de advocacia, a multa é proporcional ao faturamento, evitando que sanções inviabilizem operações de menor porte.

A conexão com outras normas do ecossistema regulatório

O PL 2338/2023 não atua isoladamente, mas se integra a um ecossistema regulatório que já inclui a LGPD, o Marco Civil da Internet, o Código de Defesa do Consumidor e resoluções do CNJ sobre uso de tecnologia no Judiciário. Essa conexão é especialmente relevante porque muitas das obrigações do projeto se sobrepõem ou complementam obrigações já existentes na legislação de proteção de dados. Para empresas que já se adequaram à LGPD, boa parte do caminho para conformidade ao marco da IA já está percorrido, embora novos investimentos em governança algorítmica sejam necessários.

Contrapontos e tensões no processo legislativo

O PL 2338/2023 não está livre de críticas e tensões que devem ser consideradas em qualquer análise equilibrada. Setores de tecnologia e grandes empresas de IA manifestaram resistência a obrigações consideradas excessivas, especialmente as relacionadas à transparência de algoritmos e à avaliação de impacto prévia. Essas empresas argumentam que excesso de regulação pode comprometer a competitividade brasileira no mercado global de tecnologia e inibir inovação. Por outro lado, organizações de direitos humanos e defesa do consumidor alertam que o projeto, embora seja um avanço, ainda apresenta lacunas na proteção de grupos vulneráveis.

Uma complicação constitucional relevante surgiu após a aprovação no Senado: ao atribuir competências regulatórias à ANPD, o texto aprovado pode conter vício de iniciativa, porque legislação que cria ou expande estruturas administrativas e despesas públicas só pode ser proposta pelo Poder Executivo. Para sanar esse problema, o governo enviou projeto complementar em dezembro de 2025 criando o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial. Esse projeto complementar deverá ser consolidado com o PL 2338/2023 antes ou durante a votação na Câmara.

O calendário eleitoral de 2026 também representa fator de pressão sobre o processo legislativo. Com eleições presidenciais em outubro, existe uma janela de oportunidade que se fecha em agosto, quando o Congresso entra em período de recesso. Se a votação não for concluída nessa janela, o projeto deverá ser adiado para 2027, aumentando a incerteza sobre o futuro do marco regulatório.

Cenários e impactos esperados para empresas e cidadãos

Quando aprovado e sancionado, o PL 2338/2023 deverá produzir efeitos em diversos setores da economia e da sociedade. Para empresas que já utilizam IA em processos de decisão, a obrigatoriedade de avaliação de impacto algorítmico e documentação técnica exigirá investimentos em compliance. Escritórios de advocacia que usam ferramentas de IA para pesquisa e análise de documentos deverão revisar suas práticas para garantir que resultados não sejam usados como base exclusiva para decisões jurídicas sem supervisão humana adequada.

Para os cidadãos, os direitos previstos no projeto representam avanço significativo na proteção contra decisões automatizadas arbitrárias. A possibilidade de solicitar explicação sobre critérios utilizados por algoritmos de crédito, por exemplo, dá ao consumidor instrumento concreto para contestar decisões que considere injustas. Contudo, a efetividade desses direitos dependerá da capacidade da autoridade reguladora em fazer cumprir as obrigações e da disposição do setor privado em adaptar seus sistemas.

O cenário mais provável para 2026 é a aprovação do projeto com possíveis emendas que ateniem ou esclareçam pontos específicos do texto. Vetos presidenciais também são uma possibilidade, considerando a pressão de diferentes interesses econômicos e políticos. A vacatio legis de 12 a 24 meses prevista no projeto dará ao mercado tempo para se adequar, mas empresas que começarem a preparação antes da publicação oficial estarão em vantagem competitiva quando as obrigações entrarem em vigor.