PL 2338: o longo caminho do Brasil rumo ao marco legal da inteligência artificial

O que aconteceu e por que importa

O Projeto de Lei 2338/2023, que estabelece o marco regulatório para o desenvolvimento e uso de inteligência artificial no Brasil, atravessou um estágio decisivo em dezembro de 2024: foi aprovado pelo Senado Federal e seguiu para apreciação da Câmara dos Deputados. Em março de 2025, a Mesa Diretora da Câmara recebeu o autógrafo e redistribuiu a matéria para tramitação conjunta com outras propostas sobre o tema. Em abril, foi criada uma Comissão Especial específica para analisar o projeto — o que demonstra a complexidade da matéria e a intenção do parlamento de tratá-la com atenção dedicada.

O PL 2338 não é uma iniciativa isolada. Ele surge de uma comissão temporária interna do Senado, liderada sob a coordenação do ministro Ricardo Villas Bôas Cuevas, do Superior Tribunal de Justiça, e incorpora dispositivos de pelo menos oito projetos de lei anteriores sobre o tema. A proposta também se inspira abertamente no Regulamento Europeu sobre Inteligência Artificial, conhecido como AI Act, publicado pela União Europeia em 2024. Essa inspiração internacional não é trivial: indica que o Brasil está tentando absorver lições de uma jurisdição que dedicou anos ao debate antes de regular.

A matéria é relevante porque a IA já penetrou todas as camadas da vida econômica e social brasileira. Sistemas de crédito, ferramentas de recrutamento, plataformas de ensino a distância, sistemas públicos de concessão de benefícios — todos esses campos já operam com algum grau de automação decisória. Sem um marco legal, a responsabilidade por erros algorítmicos permanece indefinida, e os direitos dos cidadãos afetados por decisões automatizadas carecem de proteção explícita.

A inspiração europeia e a estrutura de risco

O modelo adotado pelo PL 2338 organiza os sistemas de IA em categorias de risco, seguindo a mesma lógica do AI Act europeu. A versão brasileira prevê quatro níveis: risco mínimo, limitado, alto e excessivo. Sistemas classificados como de risco excessivo são proibidos de serem desenvolvidos ou implementados no país. Sistemas de alto risco estão sujeitos a obrigações mais rigorosas, como avaliações de conformidade, medidas de segurança e monitoramento contínuo. Sistemas de risco limitado exigem transparência e marcação de conteúdo gerado por IA. Sistemas de risco mínimo ficam sujeitos a obrigações leves ou nenhuma obrigação específica.

A inspiração no modelo europeu traz vantagens e desvantagens. A vantagem é que a estrutura foi testada em um ambiente regulatório sofisticado e já passou por debates públicos extensos. A desvantagem é que a realidade regulatória europeia — com agências fortes, sistema jurídico detalhado e tradição de compliance — é diferente da brasileira. Adaptar uma estrutura como essa ao contexto institucional do Brasil requer recursos que ainda não estão plenamente disponíveis.

Contexto histórico e regulatório

A regulação de inteligência artificial no Brasil não começa do zero com o PL 2338. A Lei Geral de Proteção de Dados Pessoais (LGPD), de 2018, já estabelece princípios que se aplicam ao tratamento de dados por sistemas automatizados. O próprio Marco Civil da Internet, de 2014, contém disposições sobre responsabilidade de provedores que são relevantes para plataformas que utilizam IA na moderação de conteúdos.

O que o PL 2338 agrega é uma camada específica para sistemas de IA que vai além da proteção de dados. A proposta cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), a ser coordenado pela Autoridade Nacional de Proteção de Dados (ANPD). Isso significa que a mesma agência que já lida com LGPD herdaria uma nova atribuição — o que levanta questões sobre capacidade institucional, dada a escassez de recursos que a ANPD enfrenta desde sua criação.

Em termos internacionais, o AI Act da União Europeia foi o marco regulatório mais detalhado e influente até agora. A Austrália, a Alemanha e o Reino Unido também editaram normas ou estão em processo de discussão. Esse movimento global cria pressão para que o Brasil não fique isolado: sem um marco próprio, empresas brasileiras podem ficar submetidas a normas estrangeiras quando operam em mercados internacionais, ou podem ser forçadas a adotar frameworks de compliance determinados por clientes e parceiros.

A tramitação na Câmara: audiências e debates

A Comissão Especial da Câmara, criada em abril de 2025, já promoveu diversas audiências públicas para debater o projeto. Em maio de 2025, a relatoria ouviu representantes da Associação Brasileira de Inteligência Artificial (ABRIA), da Associação Brasileira de Startups (ABStartups), da Associação Brasileira das Empresas de Software (ABES), da Conferência Nacional da Indústria (CNI) e de especialistas acadêmicos. Esses debates revelaram um espectro amplo de posições.

Do lado da indústria de tecnologia, há preocupação com requisitos de transparência que podem ser interpretados como barreiras à inovação. Do lado da sociedade civil e da academia, há preocupação com a proteção de direitos autorais — especialmente após artistas brasileiros manifestarem receio de que seus trabalhos sejam utilizados para treinar modelos generativos sem autorização ou compensação. Do lado do governo, há interesse em garantir que a regulação não inviabilize o uso de IA no serviço público.

Dados, evidências e o que os números mostram

O PL 2338, em sua versão atual, classifica como alto risco os sistemas de IA que atuam em áreas como recrutamento, educação, concessão de crédito e serviços públicos. Essa categorização abrange um universo amplo de aplicações. Estimativas do setor indicam que dezenas de milhares de sistemas no Brasil poderiam cair nessa classificação, embora não haja um levantamento oficial que confirme esse número.

O texto aprovado no Senado em dezembro de 2024 já trouxe modificações em relação à versão anterior. Uma das mais significativas foi a diferenciação no nível de avaliação exigido para sistemas de IA de baixo risco. A partir da nova redação, a avaliação preliminar para sistemas de baixo risco é obrigatória apenas para sistemas generativos e de propósito geral — como grandes modelos de linguagem. Para outros sistemas de baixo risco, a avaliação é facultativa. Essa mudança respondeu a críticas de que a versão original impunha ônus regulatórios excessivos a sistemas com impacto limitado.

Outro dado relevante diz respeito à concentração de mercado. No Brasil, como em outros países, o mercado de IA avançada é dominado por poucas empresas — em sua maioria norte-americanas ou chinesas. Isso significa que os obrigações de compliance do PL 2338, se aprovados, recairão principalmente sobre multinacionais que operam no país. O impacto sobre startups brasileiras de IA, que frequentemente utilizam modelos das big techs como base, depende de como essas obrigações serão repassadas pela cadeia de fornecedores.

O que os dados ainda não respondem

Não há dados públicos sobre o número de sistemas de IA em operação no Brasil que se enquadrariam nas categorias de alto risco do projeto. Tampouco há informações consolidadas sobre casos de danos causados por sistemas automatizados que chegaram ao Judiciário. Essa ausência de dados dificulta a avaliação exata do impacto que a regulação proposta teria — tanto em termos de benefício para cidadãos quanto em termos de custo para empresas.

Tampouco há avaliação governamental formalizada sobre a capacidade da ANPD de assumir novas funções regulatórias. A agência foi criada em 2020, perdeu seu primeiro presidente por exoneração política e só recentemente conseguiu uma estrutura mais estável. Ampliar suas atribuições para incluir a regulação de IA, sem aumento proporcional de orçamento e quadro funcional, pode criar um gargalo de enforcement — ou seja, a lei existiria, mas sem capacidade efetiva de fazê-la cumprir.

Impactos práticos e consequências

Se aprovado nos termos atuais, o PL 2338 afetará diretamente empresas que utilizam sistemas de IA em processos decisórios com impacto em direitos. Uma instituição financeira que usa scoring algorítmico para aprovação de crédito, por exemplo, teria que garantir que o sistema atendesse aos requisitos de transparência, governança e monitoramento contínuo. Um empregador que utiliza triagem automatizada de currículos teria que documentar como o sistema funciona e permitir que candidatos contestem decisões automatizadas.

O impacto sobre pequenas e médias empresas tende a ser significativo. Enquanto grandes empresas de tecnologia já investem em compliance globalmente, startups e empresas de médio porte podem enfrentar custos de adequação proporcionalmente maiores em relação ao seu faturamento. O projeto tenta mitigar esse problema com a criação de regimes de sandbox regulatório — espaços controlados onde empresas podem testar soluções de IA sem cumprir todas as obrigações imediatamente —, mas a implementação desses regimes ainda não está detalhada.

Quem assume custos e riscos

Os custos de adequação ao PL 2338, se aprovado, serão distribuídos de forma desigual. Grandes empresas de tecnologia, que já investem em compliance globalmente, tendem a absorver o impacto com mais facilidade. Startups enfrentam um cenário diferente: podem ser forçadas a escolher entre arcar com custos de compliance ou desistir de desenvolver certas aplicações. Esse efeito potencialmente concentrador do mercado é uma das críticas que o setor de inovação dirige ao projeto.

Para os cidadãos, os benefícios potenciais incluem maior transparência em decisões automatizadas, direito à contestação de vieses algorítmicos e proteção contra uso de IA em contextos de risco excessivo. Esses benefícios são reais, mas dependem de enforcement efetivo. Se a ANPD não tiver recursos para fiscalizar, as obrigações existentes no papel podem não se traduzir em práticas efetivas.

Contrapontos, críticas e limites da análise

O PL 2338 recebe críticas de diferentes direções, e é importante registrá-las para evitar uma visão unilateralmente favorável do projeto.

Primeira crítica: o risco de sobregulação. Setores da indústria argumentam que a imposição de obrigações detalhadas a sistemas de IA antes que a tecnologia esteja plenamente consolidada pode travar inovação. A história regulatória mostra que é difícil calibrar regras para tecnologias em evolução rápida — regulação prematura pode se tornar obsoleta rapidamente, ou pode favorecer players estabelecidos que têm recursos para cumprir requisitos complexos.

Segunda crítica: a extensão dos poderes da ANPD. A agência foi criada para proteger dados pessoais, não para regular sistemas de IA. Há quem defenda a criação de uma autoridade específica para IA, mas isso implicaria custo político e orçamentário adicional em um momento de austeridade fiscal. A sobrecarga da ANPD com novas atribuições pode diluir sua capacidade de cumprir sua missão original de proteção de dados.

Terceira crítica: a proteção de direitos autorais. Artistas e criadores brasileiros têm se mobilizado para garantir que o texto final inclua proteções efetivas contra o uso não autorizado de suas obras para treinamento de modelos generativos. A versão atual do projeto permite o uso de conteúdo protegido para fins de pesquisa, jornalismo e educação, desde que a fonte seja legítima e não haja uso comercial. Críticos argumentam que essa exceção é ampla demais e pode ser usada para legitimar apropriação massiva de conteúdo criativo.

Cenários e síntese

O PL 2338 deve continuar sua tramitação na Comissão Especial da Câmara ao longo de 2025 e 2026. O cenário mais provável é de aprovação com modificações, dado o histórico de projetos de lei relevantes no Congresso brasileiro — que quase nunca são aprovados sem alterações substantivas. O texto que sair da Comissão Especial poderá ser substancialmente diferente do que saiu do Senado.

O cenário de inação também é possível: o Congresso brasileiro tem um histórico de paralisia em temas de tecnologia e plataformas digitais, como demonstra a inexistência de legislação sobre plataformas após anos de debates. Se o Legislativo não aprovar o marco este ano, o STF poderá continuar a preencher lacunas por via jurisprudencial — como já vem fazendo em temas de responsabilidade de plataformas digitais.

A questão central não é se o Brasil precisa de um marco legal para IA — essa necessidade é amplamente reconhecida. A questão é se o marco que vier será proporcional aos riscos, exequível na prática e capaz de equilibrar inovação com proteção de direitos. O PL 2338 é um avanço significativo nesse debate, mas ainda há distância considerável entre o texto proposto e uma regulação que funcione de fato no contexto institucional brasileiro.

Este artigo foi elaborado com apoio de inteligência artificial generativa como ferramenta de assistência à redação. O conteúdo foi revisado e validado antes da publicação. As análises e opiniões expressas são de responsabilidade do autor e não constituem aconselhamento jurídico.