A regulação de IA no Brasil começou em 2020, não com o PL 2338

"O país debate um marco legal que ainda não vigora enquanto a obrigação de explicar decisão automatizada completou seis anos. A confusão de cronologia não é acadêmica: ela define o que a empresa pode deixar para depois."

O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024, chegou à Câmara em março de 2025 e segue aguardando parecer do relator na Comissão Especial, com a última movimentação registrada em 26 de outubro de 2026. Nenhum dos seus dispositivos tem eficácia jurídica.

No mesmo período, o art. 20 da Lei Geral de Proteção de Dados completou seis anos de vigência.

A conclusão que a maior parte das organizações extrai do primeiro parágrafo é que pode esperar. É a leitura errada, e não por antecipação: por contagem. A regulação de IA no Brasil não começou com um marco de IA. Começou dentro da lei de proteção de dados, avançou pela agenda de fiscalização e hoje opera em pelo menos cinco camadas, das quais o PL é a mais nova e a menos relevante para quem precisa decidir agora.

Camada 1: o direito de revisão, desde 2020

O art. 20 da LGPD assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses.

Três palavras fazem todo o trabalho nesse dispositivo. "Tomadas": exige decisão, não sugestão. "Unicamente": exclui o sistema que apenas organiza a informação para um humano decidir. "Afetem seus interesses": é o campo mais largo do artículo, e é onde cabem crédito negado, cadastro bloqueado, triagem de currículo, seleção de beneficiário.

Não é faculdade do controlador. É direito do titular, com pedido que precisa ser respondido. E a resposta exige algo que a maior parte das organizações não tem: a capacidade de explicar por que o sistema decidiu.

Camada 2: a fiscalização já escolheu o tema

Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027. São quatro eixos, e o quarto é "inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais".

Isso encerra uma objeção comum em diretoria: a de que a ANPD ainda não teria posição sobre IA. Tem, e ela está escrita na agenda de fiscalização do órgão que aplica a LGPD.

O Plano de Gestão Anual de 2026 detalha as ações, incluindo atividades de fiscalização voltadas a direitos dos titulares, com atenção específica ao tratamento de dados biométricos, de saúde e financeiros — exatamente os três campos em que a decisão automatizada tem maior impacto.

Camada 3: os reguladores setoriais não esperaram ninguém

Esta é a camada que a discussão sobre o PL 2338 apaga, e é a que já produz obrigação concreta.

No sistema financeiro, a Circular BCB nº 3.978/2020 exige política formal de prevenção à lavagem, procedimentos e controles internos, e obriga a comunicação de operações suspeitas ao Coaf. Um modelo de detecção de fraude opera dentro desse arcabouço, com exigência de parametrização documentada.

Na saúde, a Anvisa trata software com finalidade médica como dispositivo médico, com classe de risco definida pela finalidade e pelo risco associado. Em agosto de 2026, abriu novo edital para avaliação regulatória de dispositivos médicos inovadores em classes III e IV — o projeto-piloto anterior recebeu 107 propostas e selecionou 10.

No exercício profissional, a Resolução CFM nº 2.454, de 11 de fevereiro de 2026, normatiza o uso de IA na medicina e estabelece deveres ao médico, entre eles empregar a IA como apoio à decisão clínica e comunicar ao paciente qualquer utilização.

No Judiciário, as Resoluções CNJ nº 615/2025 e 674/2026 disciplinam o uso de IA e a validação humana de atos classificados por ferramenta automatizada — já em aplicação prática em tribunais.

A consequência prática é direta: quem opera em setor regulado tem obrigação hoje, e o endereço da obrigação é o regulador setorial, não o Legislativo.

Camada 4: o que ainda tramita, e o que isso significa

O PL 2338 não é o único texto em curso. O PL 2688/2025, que institui marco próprio, foi aprovado na Comissão de Comunicação em março de 2026 e prevê obrigações de identificação de conteúdo artificial, revisão humana de decisões automáticas, transparência, auditabilidade e avaliação de impacto para sistemas de alto risco.

Dois projetos com o mesmo objeto, em estágios diferentes, nenhum deles em vigor.

Isso produz um efeito que costuma passar despercebido: a empresa que estrutura governança hoje não está seguindo um deles. Está construindo a base documental que qualquer um dos dois vai exigir — inventário de sistemas, avaliação de impacto, trilha de decisão, registro de revisão. É a parte comum, e é a parte que leva tempo.

Camada 5: a assimetria que o texto aprovado criou

Aqui entra o ponto mais consequente, e o menos discutido.

No substitutivo da Comissão Especial, o rol de alto risco do art. 14 previa a avaliação da capacidade de endividamento das pessoas naturais e a classificação de crédito — com uma exceção escrita: "com exceção dos sistemas de inteligência artificial utilizados para efeitos de detecção de fraude financeira".

No texto final aprovado, o rol vai até o inciso XII, sobre gestão da imigração e controle de fronteiras. A avaliação de capacidade de endividamento e o score de crédito não figuram na lista. E a detecção de fraude, que era exceção expressa, deixou de existir como exceção porque deixou de existir o inciso que a excepcionava.

O resultado é uma inversão de prioridade regulatória. O uso que decide acesso a crédito — e portanto acesso a moradia, a consumo, a capital de giro — sai do regime mais rigoroso. O uso que o próprio Banco Central aponta como subutilizado, com apenas 30% das instituições empregando IA para detectar fraude segundo o Relatório de Estabilidade Financeira de outubro de 2026, também não recebe exigência reforçada.

E há o detalhe que transforma a assimetria em brecha operacional. O art. 14 qualifica uma parte das hipóteses com a expressão "quando houver risco relevante à integridade física e mental das pessoas". É uma qualificação defensável — e é, na prática, um campo de disputa. Quem alegar que seu sistema não atinge esse patamar precisa documentar a avaliação preliminar antes de operar, com a justificativa registrada.

Sem essa documentação, "não é alto risco" é opinião. Com ela, é posição defensável.

O que a empresa deve fazer antes de a lei existir

A sequência que decorre das cinco camadas tem uma ordem, e a ordem é o ponto.

Primeiro, inventário: quantos sistemas tomam ou recomendam decisão sobre pessoas, com qual base legal, sob qual regulador setorial.

Segundo, avaliação preliminar por sistema: qual o risco, qual a justificativa registrada, qual a documentação que sustenta a classificação — inclusive para os que se pretende classificar como não sendo de alto risco.

Terceiro, trilha de revisão: quem olha a decisão, com qual critério, com qual registro.

Nenhuma das três depende de lei nova. A primeira responde ao art. 20 da LGPD. A segunda antecipa o que os dois projetos exigem. A terceira é o que a Resolução CFM 2.454 já impõe na medicina e o que a Resolução CNJ 615/2025 já impõe no Judiciário.

Conclusão

O erro de cronologia tem custo. Tratar o PL 2338 como o começo da obrigação faz a organização postergar trabalho que já poderia estar pronto — e quando a lei chegar, ela vai encontrar um país que passou 19 meses discutindo um texto enquanto a base documental continuava inexistente.

A regulação de IA no Brasil é um edifício de cinco andares em que o quarto ainda está em obra e os outros quatro já têm morador. Quem espera o quarto ficar pronto para começar a se mudar vai descobrir que os andares de baixo já são fiscalizados.

Fica uma pendência que nenhum dos textos resolve. Nem o PL 2338, nem o PL 2688, nem a agenda da ANPD definem quantos sistemas de IA em operação no país tomam decisão sobre pessoas — o inventário nacional não existe. Sem ele, a política pública regula o que os fornecedores declaram, não o que as organizações efetivamente usam.

Referências

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Mapa de Temas Prioritários para o biênio 2026-2027 e atualização da Agenda Regulatória 2025-2026. Brasília: ANPD, 24 dez. 2025. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-mapa-de-temas-prioritarios-para-o-bienio-2026-2027-e-atualiza-agenda-regulatoria-2025-2026. Acesso em: 28 out. 2026.

AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Plano de Gestão Anual 2026. Brasília: ANPD, out. 2026. Disponível em: https://www.gov.br/anpd/pt-br/acesso-a-informacao/acoes-e-programas/governanca/governanca-estrategica/plano_de_gestao_anual_2026.pdf. Acesso em: 28 out. 2026.

AGÊNCIA NACIONAL DE VIGILÂNCIA SANITÁRIA. Anvisa lança novo edital para avaliação regulatória de dispositivos médicos inovadores. Brasília: Anvisa, 5 ago. 2026. Disponível em: https://www.gov.br/anvisa/pt-br/assuntos/noticias-anvisa/2026/anvisa-lanca-novo-edital-para-avaliacao-regulatoria-de-dispositivos-medicos-inovadores. Acesso em: 28 out. 2026.

BANCO CENTRAL DO BRASIL. Circular nº 3.978, de 23 de janeiro de 2020. Dispõe sobre a política, os procedimentos e os controles internos a serem adotados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil visando à prevenção da utilização do sistema financeiro para a prática dos crimes de lavagem ou ocultação de bens, direitos e valores. Brasília: BCB, 2020. Disponível em: https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_L.pdf. Acesso em: 28 out. 2026.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 28 out. 2026.

BRASIL. Câmara dos Deputados. PL 2338/2023 — texto final aprovado pela Comissão Temporária Interna sobre Inteligência Artificial do Senado Federal. Brasília: Câmara dos Deputados, 17 mar. 2025. Disponível em: https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2868197. Acesso em: 28 out. 2026.

BRASIL. Câmara dos Deputados. PL 2338/2023 — Ficha de tramitação e proposições apensadas. Brasília: Câmara dos Deputados, 2026. Situação: aguardando parecer do relator na Comissão Especial. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262. Acesso em: 28 out. 2026.

BRASIL. Câmara dos Deputados. Comissão aprova criação do Marco Regulatório da Inteligência Artificial no Brasil (PL 2688/2025). Brasília: Câmara dos Deputados, 19 mar. 2026. Disponível em: https://www2.camara.leg.br/atividade-legislativa/comissoes/comissoes-permanentes/ccom/noticias/comissao-aprova-criacao-do-marco-regulatorio-da-inteligencia-artificial-no-brasil. Acesso em: 28 out. 2026.

CONSELHO FEDERAL DE MEDICINA. Resolução CFM nº 2.454, de 11 de fevereiro de 2026. Normatiza o uso da inteligência artificial na medicina. Brasília: CFM, 2026. Disponível em: https://sistemas.cfm.org.br/normas/arquivos/resolucoes/BR/2026/2454_2026.pdf. Acesso em: 28 out. 2026.

O GLOBO. Incidentes cibernéticos no sistema financeiro batem recorde, e fraudes já são 7 em cada 10 casos, diz BC. Rio de Janeiro, 27 out. 2026. Cobertura do Relatório de Estabilidade Financeira. Disponível em: https://oglobo.globo.com/economia/noticia/2026/10/27/incidentes-ciberneticos-no-sistema-financeiro-batem-recorde-e-fraudes-ja-sao-7-em-cada-10-casos-diz-bc.ghtml. Acesso em: 28 out. 2026.

Nadelson Costa Nogueira Júnior