Marco Legal da IA no Brasil (PL 2338): o que muda

O Marco Legal da Inteligência Artificial no Brasil (PL 2338/2023) é o projeto de lei que cria as regras nacionais para desenvolvimento, fornecimento e uso de sistemas de IA — com classificação de risco, direitos para pessoas afetadas, responsabilidade civil para empresas e multas de até R$ 50 milhões por infração. Aprovado por unanimidade no Senado em dezembro de 2024, o texto tramita agora na Câmara dos Deputados, com votação final ainda incerta em 2026. Este guia é para quem decide e para quem responde legalmente pela adoção de IA — C-level e jurídico/compliance: o que a lei propõe hoje, o que já está em vigor por outras vias (ANPD, LGPD) e o que fazer antes mesmo de o texto virar lei.

O que é o PL 2338 e por que ele é chamado de "Marco Legal da IA"

O PL 2338/2023 é o projeto de lei federal que estabelece normas gerais para o desenvolvimento, a implementação e o uso de sistemas de inteligência artificial no Brasil. Ele nasceu de um relatório da Comissão de Juristas do Senado e recebeu apelido de "Marco Legal da IA" por cumprir, para IA, o papel que o Marco Civil da Internet cumpriu para a web: um arcabouço nacional único, em vez de regras fragmentadas por setor.

O texto segue, em linhas gerais, o modelo europeu de regulação por risco (o AI Act da União Europeia) — sistemas mais perigosos recebem mais obrigações, sistemas de baixo risco recebem menos. Mas é importante não confundir os dois: o AI Act é lei da União Europeia, com jurisdição sobre operações na UE; o PL 2338 é uma lei brasileira, com jurisdição sobre sistemas de IA desenvolvidos, fornecidos ou usados no Brasil. Uma multinacional que já se adequou ao AI Act não está automaticamente em conformidade com o PL 2338 — os prazos, as autoridades e as penalidades são diferentes.

O projeto foi aprovado por unanimidade no plenário do Senado Federal em 10 de dezembro de 2024 e, desde então, tramita na Câmara dos Deputados para votação final.

Status atual da tramitação (o que muda entre a promessa e a lei)

Em agosto de 2026, o PL 2338 ainda não é lei em vigor — está em tramitação na Câmara. A Câmara instalou uma Comissão Especial para analisar o texto, sob relatoria do deputado Aguinaldo Ribeiro (PP-PB). O presidente da Câmara, Hugo Motta, havia alinhado a apresentação do relatório final para 19 de maio de 2026 e a votação em plenário para 27 de maio — mas a essa altura o calendário legislativo brasileiro de IA já havia sido adiado mais de uma vez: a votação, originalmente prevista para o fim de 2025, foi empurrada por impasses políticos sobre o equilíbrio entre proteção de direitos e estímulo à inovação.

Duas mudanças relevantes aconteceram no meio do caminho:

• O Executivo entrou no jogo. Em dezembro de 2025, o governo enviou um projeto complementar propondo o Sistema Nacional de Regulação e Governança de IA (SIA) e posicionando a ANPD como sua coordenadora — texto que o relator incorporou ao PL 2338 em articulação com o governo.
• Nem todos os parlamentares querem fechar o texto em 2026. O senador Eduardo Gomes (MDB-TO), relator na comissão temporária do Senado, defendeu publicamente que a regulação de IA deveria virar uma "lei viva" — atualizada continuamente conforme a tecnologia muda — e chegou a dizer que a votação final poderia escorregar para 2027 dado o calendário eleitoral e o tempo curto de pauta no Congresso em 2026.

O que isso significa na prática para uma empresa brasileira: não dá para tratar "esperar a lei sair" como estratégia. O texto já mudou de forma relevante em menos de dois anos de tramitação (aprovação no Senado, substitutivo do relator, entrada do projeto do Executivo sobre a ANPD), e a data de votação final já foi adiada mais de uma vez. Empresas que esperarem o Diário Oficial para começar a se organizar vão correr contra o prazo quando a lei sair — e quem começa agora, com o texto atual como referência, entra na vigência já pronto, não correndo atrás.

Como o PL 2338 classifica sistemas de IA por risco

O núcleo regulatório do PL 2338 é a classificação de sistemas de IA em níveis de risco, com obrigações proporcionais a cada nível — a mesma lógica do AI Act europeu, adaptada ao contexto brasileiro.

Nível de risco	O que é	Consequência prática
Risco excessivo	Uso proibido por lei	Sistema não pode ser colocado em operação no Brasil
Alto risco	Uso permitido, com obrigações pesadas	Avaliação de impacto, supervisão humana, documentação, canal de contestação
Outros riscos (baixo/moderado)	Maioria dos sistemas de produtividade, geração de conteúdo, assistentes internos	Obrigações de transparência mais leves; boas práticas recomendadas

Sistemas de risco excessivo (proibidos)

O texto proíbe expressamente sistemas de IA que:

• Fazem pontuação social (social scoring) de pessoas por órgãos públicos, com efeitos negativos em contextos não relacionados ao propósito original da coleta de dados.
• Exploram vulnerabilidades de grupos específicos — crianças, idosos, pessoas com deficiência — para distorcer seu comportamento de forma prejudicial.
• Usam técnicas subliminares, manipulativas ou enganosas que induzem comportamento danoso à saúde, à segurança ou aos direitos da pessoa.
• Operam armas autônomas letais sem supervisão humana significativa.

Se um caso de uso da sua empresa se encaixa em qualquer uma dessas categorias, a resposta não é "ajustar a governança" — é não implementar.

Sistemas de alto risco (o que gera mais trabalho de compliance)

O PL 2338 lista domínios que se enquadram como alto risco por padrão, entre eles: gestão de infraestrutura crítica, educação e formação profissional (acesso, avaliação, certificação), recrutamento e seleção de trabalhadores, avaliação de crédito e scoring financeiro, diagnóstico e tratamento em saúde, administração da justiça, processos democráticos e veículos autônomos. Recrutamento por IA e crédito automatizado — dois casos de uso já comuns em grandes empresas brasileiras — caem direto nessa categoria.

Para sistemas de alto risco, o texto prevê obrigações como:

1. Avaliação de impacto algorítmico antes de colocar o sistema em operação.
2. Documentação técnica e registro de operações — rastreabilidade de como o sistema decide.
3. Supervisão humana efetiva — não nominal: alguém precisa poder revisar e reverter a decisão do sistema.
4. Canal de contestação para pessoas afetadas pela decisão automatizada — que só funciona na prática se a empresa consegue explicar a decisão primeiro; o detalhamento técnico de como fazer isso está em IA explicável (XAI): o direito à explicação na prática.
5. Transparência sobre o uso de IA no processo decisório.
6. Testes regulares para identificar viés e discriminação — a metodologia de identificação com métricas de fairness e mitigação por fase do pipeline está detalhada em viés algorítmico em IA: como identificar e mitigar.

Esse conjunto de obrigações é, na prática, o esqueleto de um programa de compliance de IA — o mesmo tipo de estrutura que detalhamos em compliance e IA: inventário de sistemas, avaliação de risco por caso de uso, trilha documental e papéis definidos. Empresas que já rodam esse programa não vão precisar construir do zero quando o PL 2338 virar lei; vão precisar ajustar o que já existe.

Quem responde: desenvolvedor, fornecedor e empresa usuária

O PL 2338 distribui responsabilidade entre os "agentes de IA" — um termo guarda-chuva que inclui quem desenvolve o sistema, quem fornece (disponibiliza comercialmente) e quem opera (usa o sistema na prática, inclusive dentro da própria empresa). Isso importa porque muda o raciocínio jurídico de "a culpa é do fornecedor da ferramenta" para "cada agente responde pela sua parcela".

Para sistemas de risco alto ou excessivo, o texto prevê responsabilidade civil objetiva — fornecedor e operador respondem pelos danos causados na medida da participação de cada um, independentemente de culpa comprovada. Na prática, isso significa que contratar um sistema de IA de terceiros para automatizar recrutamento ou crédito não transfere todo o risco para o fornecedor: a empresa que opera o sistema segue exposta pela forma como o usa, configura e supervisiona.

Esse desenho de responsabilidade compartilhada é o mesmo motivo pelo qual governança de IA não pode ser um documento isolado no jurídico — precisa ser um framework de referência que orienta decisão técnica, decisão de negócio e supervisão executiva ao mesmo tempo. É o que detalhamos em framework de governança de IA, com base em referenciais como NIST AI RMF e OCDE — hoje voluntários, mas que antecipam boa parte do que o PL 2338 vai exigir por lei.

Quando a IA opera dentro da relação de trabalho — seleção, promoção, monitoramento de desempenho —, a responsabilidade do PL 2338 se soma a uma frente regulatória própria, tramitando em paralelo: o PL 3088/2024, que trata especificamente de governança de IA nas relações de trabalho, com exigências de transparência algorítmica e negociação coletiva que o Marco Legal geral não detalha.

O papel da ANPD como autoridade central

O PL 2338 (na versão incorporada com o projeto do Executivo de dezembro de 2025) posiciona a ANPD (Autoridade Nacional de Proteção de Dados) como coordenadora do Sistema Nacional de Regulação e Governança de IA (SIA) — a estrutura que vai harmonizar normas, emitir diretrizes vinculantes e fiscalizar setores ainda sem regulação específica, como os modelos de IA de propósito geral.

A ANPD não está esperando a lei sair para agir. Em dezembro de 2025, publicou seu Mapa de Temas Prioritários para o biênio 2026–2027, colocando inteligência artificial como um dos quatro eixos centrais de fiscalização. Em paralelo, mantém um sandbox regulatório de IA com empresas selecionadas: a fase de nivelamento (treinamento sobre regulação e ambiente experimental) foi concluída em fevereiro de 2026, e as empresas participantes já estão na fase de testes práticos.

Esse movimento tem uma implicação direta: mesmo sem o PL 2338 em vigor, a ANPD já fiscaliza tratamento de dados pessoais por sistemas de IA sob a LGPD — e já sinalizou que IA generativa é prioridade de supervisão. Uma empresa que trata a LGPD como piso mínimo de governança de dados em IA já está, na prática, um passo à frente da futura lei. Para quem quer formalizar essa supervisão em nível de diretoria, o caminho é o mesmo descrito em o papel do conselho de administração na governança de IA: o board precisa pedir relatório de risco de IA com a mesma regularidade que pede relatório financeiro.

Multas e penalidades previstas

O texto atual do PL 2338 prevê multas de até R$ 50 milhões por infração, ou até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício fiscal (excluídos tributos) — o que for maior. Esse desenho — teto fixo alto combinado com percentual de faturamento — segue a mesma lógica do AI Act europeu e da própria LGPD, e é desenhado para que a multa doa em empresas grandes na mesma proporção que dói em empresas pequenas.

Vale registrar a ressalva: o valor da multa está no texto em tramitação, não em lei sancionada — pode mudar até a votação final na Câmara e o eventual retorno ao Senado (se houver alterações substantivas). Mas o valor não é o ponto mais importante para quem decide hoje: é o sinal de que a exposição financeira por descuido em IA deixará de ser hipotética e vai virar linha de risco quantificável no orçamento jurídico — do mesmo jeito que a LGPD fez com dados pessoais a partir de 2020.

O que fazer agora, mesmo com a lei ainda em tramitação

A pergunta certa não é "quando o PL 2338 vira lei", é "o que muda se eu esperar para agir só depois que virar". A resposta, na prática, é: menos tempo para adequação, mais sistemas de alto risco já em produção sem controle, e um board que descobre a exposição depois que ela já virou passivo. Cinco frentes concretas para começar agora:

1. Inventarie os sistemas de IA em uso — inclusive os adotados informalmente por áreas de negócio (recrutamento, crédito, atendimento). Sem inventário, não dá para saber quais sistemas cairiam em "alto risco" pelo texto atual.
2. Classifique por risco usando os critérios do PL 2338 como referência — mesmo sem obrigação legal ainda, aplicar a régua de risco excessivo/alto/outros hoje evita retrabalho quando a classificação virar exigível.
3. Formalize supervisão humana e canal de contestação nos sistemas que decidem sobre pessoas (crédito, recrutamento, atendimento automatizado) — é a obrigação mais citada no texto e a mais barata de implementar cedo.
4. Monte trilha de auditoria desde já. Documentação técnica, registro de decisões e evidência de teste de viés são exatamente o que um auditor (interno, externo ou regulatório) vai pedir primeiro. O processo está detalhado em auditoria de IA.
5. Avalie certificação voluntária como antecipação regulatória. A ISO/IEC 42001 é hoje voluntária, mas cobre boa parte do que o PL 2338 vai exigir por lei — adotar cedo é converter um custo de compliance futuro em vantagem competitiva presente (evidência de maturidade para clientes e parceiros).

Essas cinco frentes formam, na prática, o programa descrito em compliance e IA e ancoram a estrutura maior de governança de IA — a lei muda o nível de obrigatoriedade, não muda o que uma empresa madura já deveria estar fazendo.

FAQ

O PL 2338 já é lei no Brasil?

Não. Em agosto de 2026, o PL 2338 ainda está em tramitação — foi aprovado no Senado em dezembro de 2024 e segue em análise na Câmara dos Deputados, com data de votação final incerta e já adiada mais de uma vez. Enquanto não é sancionado, a LGPD e a fiscalização da ANPD já se aplicam a boa parte do uso de IA que envolve dados pessoais.

Quando o PL 2338 será votado?

A Câmara chegou a alinhar votação em plenário para 27 de maio de 2026, após relatório final apresentado em 19 de maio, mas parlamentares como o senador Eduardo Gomes já sinalizaram que a votação definitiva pode escorregar para 2027 dado o calendário eleitoral e o tempo de pauta limitado no Congresso. Trate qualquer data específica como sujeita a mudança até a votação efetivamente acontecer.

Quais empresas o PL 2338 afeta?

Todo "agente de IA" que desenvolve, fornece ou opera sistemas de inteligência artificial cujo efeito ocorre no Brasil — independentemente de a empresa ter sede aqui. Isso inclui empresas brasileiras que usam ferramentas de IA de terceiros (inclusive estrangeiras) em processos como recrutamento, crédito, atendimento e decisões automatizadas.

Qual a diferença entre o PL 2338 e o AI Act europeu?

O AI Act é lei da União Europeia, com jurisdição sobre operações realizadas na UE; o PL 2338 é um projeto de lei brasileiro, com jurisdição sobre sistemas de IA desenvolvidos, fornecidos ou usados no Brasil. Os dois seguem uma lógica parecida de classificação por risco, mas têm autoridades, prazos e valores de multa diferentes — conformidade com um não garante conformidade com o outro.

O que é considerado sistema de IA de alto risco pelo PL 2338?

O texto lista, entre outros, sistemas usados em infraestrutura crítica, educação (acesso, avaliação, certificação), recrutamento e seleção de trabalhadores, avaliação de crédito, diagnóstico e tratamento em saúde, administração da justiça, processos democráticos e veículos autônomos. Esses sistemas exigem avaliação de impacto, supervisão humana efetiva, documentação e canal de contestação.

Quanto pode ser a multa por descumprir o PL 2338?

O texto atual prevê multa de até R$ 50 milhões por infração, ou até 2% do faturamento da empresa, grupo ou conglomerado no Brasil no último exercício fiscal (excluídos tributos) — o que for maior. Esse valor está no projeto em tramitação e pode ser alterado até a votação final.

Qual autoridade vai fiscalizar o PL 2338?

O texto posiciona a ANPD como coordenadora do Sistema Nacional de Regulação e Governança de IA (SIA), responsável por harmonizar normas, emitir diretrizes vinculantes e fiscalizar setores sem regulação específica. A ANPD já atua hoje via LGPD e já publicou um mapa de temas prioritários que inclui IA para o biênio 2026–2027, mesmo antes da lei entrar em vigor.

Minha empresa deveria esperar o PL 2338 virar lei para agir?

Não. O texto já mudou de forma relevante nos últimos dois anos e a data de votação final segue incerta — esperar significa correr contra o prazo quando a lei sair. Inventariar sistemas de IA, classificar por risco, formalizar supervisão humana e montar trilha de auditoria agora custa menos e reduz exposição imediata, independentemente do calendário legislativo.

Uma das exigências do PL 2338 — identificador de proveniência para conteúdo sintético — já tem paralelo em vigor na Europa e no contexto eleitoral brasileiro: veja o guia prático em Rotulagem de conteúdo gerado por IA: o que fazer.

Conclusão

O PL 2338 ainda não é lei, mas já é o texto de referência que qualquer C-level e time jurídico brasileiro deveria usar para calibrar risco de IA hoje — porque a direção regulatória (classificação por risco, responsabilidade objetiva, ANPD como autoridade central, multas na casa de dezenas de milhões) já está clara, mesmo que a data final não esteja. A decisão que importa agora não é sobre o calendário do Congresso — é sobre se a sua empresa vai construir governança de IA proativamente ou reativamente, depois que a exposição já virou passivo. Se quiser um diagnóstico de onde sua empresa está nessa régua de risco e o que priorizar antes da lei entrar em vigor, agende um diagnóstico gratuito com a Jetpacks — uma conversa de 30–45 minutos para mapear exposição e prioridades.