Crédito saiu do rol de alto risco do PL 2338. Duas portas ficaram abertas

O texto aprovado pelo Senado não lista a análise de crédito entre os sistemas de inteligência artificial de alto risco. O item que ocupava esse lugar no projeto original de Rodrigo Pacheco — o inciso que tratava da "avaliação da capacidade de endividamento das pessoas naturais ou estabelecimento de sua classificação de crédito" — hoje cuida de outra coisa: avaliação e classificação de chamadas ou determinação de prioridades para serviços públicos essenciais, como bombeiros e assistência médica.

A mudança não passou em silêncio na tramitação. Durante a passagem pelo Senado houve emenda para excluir o crédito do rol, emenda para mantê-lo com exceção expressa para detecção de fraude, e a própria ANPD propôs essa formulação com exceção. Prevaleceu a exclusão. A Coalizão Direitos na Rede já havia registrado a retirada como equívoco, recomendando a volta ao projeto. E a nota técnica do CGI.br de março de 2026 voltou ao ponto, citando nominalmente os birôs de crédito que pontuam toda a população brasileira.

O que isso significa, em termos práticos

Para instituição financeira, a leitura apressada do fato produz duas conclusões erradas, em direções opostas.

A primeira é concluir que não há nada a fazer. Errado, por dois motivos que estão no próprio texto aprovado.

O art. 14, inciso IV alcança sistemas de "avaliação de critérios de acesso, elegibilidade, concessão, revisão, redução ou revogação de serviços privados e públicos que sejam considerados essenciais". Crédito é serviço privado. Se é essencial é questão aberta — e a lei não a resolve, porque não define o que seja serviço essencial. Deixou a definição para o regulamento.

O art. 16 completa o desenho: cabe às autoridades setoriais "estabelecer listas sobre hipóteses classificadas ou não classificadas como de alto risco dentro das finalidades e contextos definidos no art. 14". O Banco Central, a CVM e a Susep são as autoridades setoriais do setor financeiro. Podem classificar scoring de crédito como alto risco sem que o Congresso aprove nada.

A segunda conclusão errada é a oposta: supor que a classificação virá e tratar como certo o pior cenário, o que leva a investir na conformidade de um regime que talvez não se aplique.

Há uma terceira leitura, menos intuitiva e mais consequente. A retirada do crédito do rol não reduz o risco regulatório — desloca. Com o crédito na lista, a instituição saberia exatamente o que fazer. Sem o item, cada banco decide por conta própria se seu score é essencial, se é alto risco e que documentação produzir. A decisão fica com o jurídico de cada instituição, e a divergência entre instituições passa a ser o padrão.

O que vale independentemente da lista

Três dispositivos alcançam qualquer agente de IA, independentemente do rol. É aqui que a discussão sobre crédito deixa de importar tanto quanto se imagina.

O art. 13, inciso II proíbe o poder público de usar IA para "avaliar, classificar ou ranquear as pessoas naturais, com base no seu comportamento social ou em atributos da sua personalidade, por meio de pontuação universal, para o acesso a bens e serviços e políticas públicas". É risco excessivo — vedado, não apenas regulado. E note o recorte: alcança o poder público, não a iniciativa privada. Bancos privados não estão sob esse comando.

O art. 8 assegura supervisão humana de sistemas de alto risco, mas seu parágrafo único abre exceção: a supervisão "não será exigida caso sua implementação seja comprovadamente impossível ou implique esforço desproporcional", hipótese em que o agente adota medidas alternativas. É a brecha mais relevante para o setor financeiro, porque decisão de crédito em volume tem exatamente a característica de tornar a supervisão individual desproporcional. Quem operar com essa justificativa precisa documentá-la antes, não depois.

E o art. 25 torna a avaliação de impacto algorítmico obrigação do desenvolvedor ou do aplicador sempre que o sistema ou seu uso forem de alto risco, com conclusões públicas nos termos do art. 28 e alimentação da base de dados pública de IA de alto risco do art. 44.

O regulador que já está no comando

Enquanto o PL espera parecer na Câmara, o setor financeiro tem um regulador instalado e um prazo correndo.

O texto aprovado define a ANPD como autoridade competente que coordena o Sistema Nacional de Regulação e Governança de Inteligência Artificial, com as autoridades setoriais ao lado. Para o mercado financeiro, isso significa uma regulação de dois níveis: norma geral da ANPD, norma específica do Banco Central, da CVM e da Susep.

E há norma vigente que não depende de aprovação alguma. A Resolução Conjunta nº 18, de 28 de novembro de 2025, dispõe sobre a política de qualidade das informações prestadas na esfera de atuação do Banco Central pelas instituições financeiras e demais instituições autorizadas a funcionar pelo BCB. Publicada no Diário Oficial de 1º de dezembro de 2025, entrou em vigor em 1º de janeiro de 2026, com prazo de adequação até 31 de dezembro de 2026.

A norma exige uma Política de Qualidade das Informações Prestadas, com doze dimensões de qualidade — entre elas acurácia, integridade, consistência, comparabilidade, tempestividade e rastreabilidade —, dicionário de dados, regras de negócio e trilhas de verificação que permitam acompanhar a informação desde a origem até a disponibilização ao usuário final. Atribui responsabilidades indelegáveis ao Conselho de Administração e exige a designação de responsável de nível C-level pela qualidade das informações reportadas.

A distinção de escopo é o que importa, e ela costuma ser apagada. A RC18 não governa todo dado interno da instituição: governa a informação que ela presta ao Banco Central — dados, documentos e relatórios remetidos ou disponibilizados. Um modelo de crédito treinado com base interna não está automaticamente coberto. O que está coberto é a informação reportada ao regulador que se apoia naquele modelo ou dele deriva.

A sobreposição é real, mas mais estreita do que parece. Ela existe quando a saída do modelo alimenta provisão, capital regulatório, risco reportado ou qualquer informação remetida ao BCB. Nesse ponto, a exigência de rastreabilidade da RC18 e a exigência de documentação do PL descrevem o mesmo objeto por dois ângulos — e é aí que um dossiê único economiza trabalho.

O que a exclusão do crédito não resolve

Há um efeito de segunda ordem que vale registrar. A lista de alto risco tem função de sinalização: o regulado sabe onde o regulador vai olhar. Quando um item sai da lista e não é substituído por definição clara, o investimento em conformidade perde referência. Quem já construiu a estrutura mantém; quem ainda não construiu espera. E a espera, num setor em que a maior parte das empresas brasileiras não mede o retorno da IA, tende a se prolongar até o primeiro incidente.

Um segundo efeito é de custo. A avaliação de impacto algorítmico sobre um sistema de alto risco tem contorno definido e escopo delimitado. A mesma avaliação sobre um sistema cuja classificação é discutível precisa cobrir as duas hipóteses: demonstrar conformidade com o regime de alto risco, caso se aplique, e justificar por que talvez não se aplique. Sai mais caro do que a regra clara.

Conclusão

A questão do crédito está encerrada no texto: não está no rol do art. 14. O que não está encerrado é o efeito prático dessa ausência, porque duas rotas de enquadramento seguem disponíveis — a interpretação de crédito como serviço essencial no inciso IV e o poder regulamentar das autoridades setoriais no art. 16.

Para a instituição financeira, isso muda a pergunta. Não é mais "serei classificada como alto risco?". É "se eu for, tenho o dossiê pronto?". A resposta a essa segunda pergunta independe da tramitação, e é a única que a instituição controla.

Fica uma pendência que o projeto não resolve. O texto cria base de dados pública de IA de alto risco, no art. 44, mas não define quem mantém o inventário dos sistemas em uso antes da classificação — nem exige que as instituições declarem quais modelos operam em decisão de crédito. Sem esse inventário prévio, a lista de alto risco e a base pública descrevem o que foi classificado, não o que existe. E a primeira tarefa de qualquer regulador, ao assumir, será descobrir o tamanho do universo sobre o qual tem competência.

Referências

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. PL 2338 — Substitutivo — Comissão Especial: contribuições da ANPD. Brasília: ANPD, maio 2024. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-apresenta-propostas-de-alteracao-do-substitutivo-ao-pl-2338-sobre-inteligencia-artificial. Acesso em: 28 out. 2026.

BANCO CENTRAL DO BRASIL; CONSELHO MONETÁRIO NACIONAL. Resolução Conjunta nº 18, de 28 de novembro de 2025. Dispõe sobre a política de qualidade das informações prestadas na esfera de atuação do Banco Central do Brasil pelas instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. Brasília: BCB/CMN, 2025. Publicada no DOU de 1º dez. 2025, Seção 1, p. 118-119. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20Conjunta&numero=18. Acesso em: 28 out. 2026.

BRASIL. Câmara dos Deputados. PL 2338/2023 — texto final aprovado pela Comissão Temporária Interna sobre Inteligência Artificial do Senado Federal. Brasília: Câmara dos Deputados, 17 mar. 2025. Disponível em: https://www.camara.leg.br/proposicoesWeb/prop_mostrarintegra?codteor=2868197. Acesso em: 28 out. 2026.

BRASIL. Câmara dos Deputados. PL 2338/2023 — Ficha de tramitação e proposições apensadas. Brasília: Câmara dos Deputados, 2026. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262. Acesso em: 28 out. 2026.

BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Brasília: Presidência da República, 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 28 out. 2026.

BRASIL. Senado Federal. PL 2338/2023 — Matéria legislativa, emendas e histórico de tramitação. Brasília: Senado Federal, 2024. Disponível em: https://www25.senado.leg.br/web/atividade/materias/-/materia/157233. Acesso em: 28 out. 2026.

COALIZÃO DIREITOS NA REDE. Projeto de Lei n. 2338/2023: por uma regulação de Inteligência Artificial que defenda direitos. 18 jun. 2024. Disponível em: https://direitosnarede.org.br/2024/06/18/projeto-de-lei-n-2338-2023/. Acesso em: 28 out. 2026.

COMITÊ GESTOR DA INTERNET NO BRASIL. Nota Técnica de Contribuições do CGI.br ao PL 2338/2023 — Regulação da Inteligência Artificial no Brasil. São Paulo: CGI.br, 5 mar. 2026. Disponível em: https://www.cgi.br/media/docs/publicacoes/4/pt-br/20260305145405/Nota_Tecnica_PL_2338_Regulacao_IA.pdf. Acesso em: 28 out. 2026.

CONGRESSO NACIONAL. PL 2338/2023 — Matérias bicamerais. Brasília: Congresso Nacional, 2024. Disponível em: https://www.congressonacional.leg.br/materias/materias-bicamerais/-/ver/pl-2338-2023. Acesso em: 28 out. 2026.

DELOITTE BRASIL. Resolução Conjunta nº 18. São Paulo: Deloitte, 2025. Análise das dimensões de qualidade e dos prazos de vigência e adequação. Disponível em: https://www.deloitte.com/br/pt/Industries/financial-services/perspectives/resolucao-conjunta-numero-dezoito.html. Acesso em: 28 out. 2026.

EY BRASIL. Confiança e governança de dados: o impulso da RC18 no setor financeiro. São Paulo: EY, 29 set. 2026. Disponível em: https://www.ey.com/pt_br/insights/financial-services/confianca-e-governanca-de-dados-o-impulso-da-rc18-no-setor-financeiro. Acesso em: 28 out. 2026.

EY BRASIL. Nova resolução do BC e adoção da IA exigem gestão eficiente de dados nas instituições financeiras. São Paulo: EY, 27 ago. 2026. Disponível em: https://www.ey.com/pt_br/newsroom/2026/08/nova-resolucao-bc-adocao-ia-exigem-gestao-eficiente-dados-instituicoes-financeiras. Acesso em: 28 out. 2026.

Nadelson Costa Nogueira Júnior