Marco Legal da IA no Brasil: o que é o PL 2.338/2023, onde estamos e o que falta para virar lei

O que é o PL 2.338/2023 e por que ele importa

O Projeto de Lei 2.338/2023, batizado de Marco Legal da Inteligência Artificial, e o principal instrumento legislativo do Brasil para regular o uso de sistemas de IA no pais. Ele foi proposto pelo senador Eduardo Gomes (PL-TO) e relatado pelo senador Rodrigo Pacheco, e define regras para quem desenvolve, comercializa e usa sistemas de inteligência artificial em território nacional.

A importância do projeto vai além do texto em si. Ele sinaliza ao mercado, aos investidores e aos cidadãos que o Brasil esta construindo um ambiente jurídico previsível para a IA, tema que divide opiniões entre quem defende regulação forte para proteger direitos e quem teme que excesso de regras afaste investimentos e freie a inovação.

Para desenvolvedores e empresas de tecnologia, o projeto cria obrigações concretas. Para usuários finais, cria direitos que hoje não existem em lei. E para o Brasil, representa uma escolha sobre o tipo de relação que o pais quer ter com uma das tecnologias mais transformadoras da historia.

O que o projeto propõe: a lógica de classificação por risco

O PL 2.338/2023 adota a mesma lógica do AI Act europeu: classificar sistemas de IA por nível de risco e aplicar obrigações proporcionais a esse risco. A ideia e que quanto maior o potencial de dano a pessoas, maiores as exigências sobre quem desenvolve ou usa o sistema.

O projeto divide os sistemas em três categorias:

• Risco excessivo: uso proibido ou severamente restrito. Incluem sistemas de pontuação social generalizada (como o credito social chinês), manipulação subliminar de comportamento e vigilância biométrica em massa em espaços públicos sem previsão legal. Esses usos são vedados independentemente de quem os aplique.
• Risco alto: exige conformidade rigorosa antes da implantação. Sistemas usados em recrutamento e seleção, concessão de credito, saúde, educação, segurança pública e infraestrutura crítica entram aqui. Quem os opera precisa documentar os modelos, garantir supervisão humana, realizar avaliações de impacto e registrar o sistema no órgão regulador.
• Risco baixo ou moderado: obrigações menores, focadas principalmente em transparência. O usuário deve saber que esta interagindo com um sistema de IA, especialmente em chatbots e conteúdo sintético.

Essa estrutura permite que uma startup que usa IA para recomendar playlists tenha obrigações muito menores do que uma empresa que usa IA para decidir se libera ou nega um empréstimo.

O que o projeto aprovou no Senado em dezembro de 2024

O plenário do Senado Federal aprovou o PL 2.338/2023 por unanimidade em 10 de dezembro de 2024. O resultado foi considerado histórico: um projeto que tramitava ha anos, com dezenas de audiências públicas e versões alternativas concorrentes, finalmente teve consenso no Senado.

O texto aprovado no Senado:

• Estabelece o Sistema Nacional de Regulação e Governanca de Inteligência Artificial (SIA) como órgão regulador central
• Cria o Conselho Nacional de Inteligência Artificial (CONIA) como instância de governanca multisetorial
• Define direitos dos cidadãos afetados por decisões automatizadas: direito a informação, a explicação das decisões, a revisão humana e a contestação
• Prevê multas de até R$ 50 milhões ou 2% do faturamento bruto por violações
• Protege usos para fins de pesquisa científica, segurança nacional e defesa pública com regras específicas

Com a aprovação no Senado, o projeto foi encaminhado a Câmara dos Deputados para votação final. E aqui que o processo ainda esta travado.

Onde o projeto esta hoje: a Câmara dos Deputados

Na Câmara, o PL 2.338/2023 tramita com um texto reescrito pelo relator, deputado Aguinaldo Ribeiro (PP-PB). A votação, que estava prevista para o final de 2025, foi adiada por impasses políticos e divergências sobre pontos sensíveis do texto.

Em 2026, a presidência da Câmara, sob Hugo Motta (Republicanos-PB), colocou o projeto como prioridade legislativa. Em maio de 2026, estava prevista a votação no plenário. No entanto, novos adiamentos continuam sendo uma possibilidade: o projeto compete por espaço na pauta com outras prioridades e alguns grupos setoriais ainda pressionam por alterações no texto.

O principal ponto de atrito na Câmara e o equiilibrio entre proteção de direitos e incentivo a inovação. Setores como fintech, healthtech e agtech temem que obrigações de conformidade muito rigorosas para sistemas de risco alto elevem os custos operacionais a ponto de inviabilizar projetos, especialmente para startups menores.

O que falta para o projeto virar lei

O caminho que ainda precisa ser percorrido e o seguinte:

• Aprovação no plenário da Câmara: o relator Aguinaldo Ribeiro precisa apresentar o parecer final e o texto precisa ser votado em plenário. Se a Câmara fizer alterações de mérito no texto aprovado pelo Senado, o projeto volta ao Senado para nova análise. Se aprovar o texto sem alterações substanciais, segue direto para sanção presidencial.
• Sanção ou veto presidencial: após a aprovação legislativa, o presidente Lula tem 15 dias úteis para sancionar ou vetar o projeto, parcial ou totalmente.
• Regulamentação por decreto: mesmo após aprovado como lei, vários artigos dependem de regulamentação específica do poder executivo, especialmente os relacionados ao funcionamento do SIA e ao registro de sistemas de IA de risco alto.
• Período de adaptação: o projeto prevê período de adaptação de 24 meses após a publicação para que empresas se adequem, com exceção de alguns artigos que entram em vigor imediatamente.

Na prática, mesmo que o projeto seja aprovado ainda em 2026, a maioria das obrigações mais rigorosas só passarão a valer plenamente em 2028.

Benefícios esperados com a aprovação

Defensores do projeto apontam uma serie de ganhos concretos para o pais:

• Segurança jurídica para empresas: hoje, quem usa IA no Brasil navega em um vazio legal. Com o marco aprovado, as regras ficam claras e previsivises, facilitando o planejamento de longo prazo e atraindo investimentos que exigem estabilidade regulatoria.
• Proteção de direitos dos cidadãos: milhões de brasileiros já são afetados por decisões automatizadas em credito, saúde e emprego sem saber. O projeto cria o direito de saber quando uma IA tomou uma decisão sobre você, entender os critérios e pedir revisão humana.
• Redução de discriminação algoritmica: o texto obriga empresas de risco alto a realizar avaliações de impacto que incluem análise de viés e discriminação. Isso cria pressão para que sistemas de IA sejam menos enviesados em relação a género, raça e região.
• Posicionamento competitivo do Brasil: países sem regulação clara de IA perdem credibilidade em parcerias internacionais, especialmente com a União Europeia, que já exige adequação ao AI Act de parceiros comerciais. Um marco legal robusto posiciona o Brasil como destino seguro para empresas globais de tecnologia.
• Estimulo a confiança no mercado: pesquisas mostram que consumidores adotam serviços baseados em IA com mais disposição quando percebem que existem regras claras de proteção. A regulação pode aumentar a adoção de produtos de IA por usuários que hoje desconfiam da tecnologia.

Riscos e críticas ao projeto

O projeto também concentra críticas substantivas, especialmente do setor de tecnologia e de pesquisadores de inovação:

• Risco de onerar pequenas empresas desproporcionalmente: uma startup que usa um modelo de IA contratado de terceiros para automatizar processos internos pode ser responsabilizada integralmente por falhas do modelo que estão fora do seu controle. O texto atual distribui responsabilidade de forma ampla, o que preocupa empresas pequenas sem estrutura jurídica robusta.
• Definição ampla de 'agente de IA': o projeto usa definições amplas que podem capturar sistemas simples de automação que tecnicamente não são 'inteligência artificial' no sentido moderno do termo. Isso cria incerteza sobre quais ferramentas do dia a dia precisam de conformidade formal.
• Concentração de mercado: obrigações de conformidade rigorosas favorecem grandes empresas que podem absorver os custos de documentação, auditoria e registro. Startups sem capital suficiente podem não conseguir cumprir os requisitos e perder espaço para gigantes já estabelecidas.
• Risco de defasagem tecnológica: a lei foi pensada para os sistemas de IA de 2023-2024. A tecnologia avança mais rápido do que processos legislativos, e existe o risco de que o texto aprovado já esteja parcialmente obsoleto no momento em que entrar em vigor.
• Custos para o judiciário: o projeto cria uma serie de direitos de contestação que dependem do judiciário para serem exercidos. Sem estrutura especializada e capacitação de juízes, isso pode gerar uma onda de litígios de difícil resolução.

Como o Brasil se compara com outros países na regulação da IA

O Brasil não e o único pais regulando IA, e a comparação internacional ajuda a entender as escolhas feitas no PL 2.338/2023:

• União Europeia: o AI Act europeu, aprovado em agosto de 2024, e a referência global. Classifica sistemas por risco, proíbe aplicações de alto risco sem conformidade e prevê multas de até 35 milhões de euros ou 7% do faturamento global. O PL brasileiro e fortemente inspirado nesse modelo.
• Estados Unidos: optaram por uma abordagem voluntaria e setorial, sem uma lei federal geral de IA até o momento. Cada setor (saúde, financeiro, federal) tem suas próprias diretrizes. A abordagem americana e mais flexível mas também menos previsível para empresas que operam em vários setores.
• China: regulação focada em usos específicos, como deepfakes, recomendação algoritmica e geração de conteúdo. Regras mais prescritivas e com forte controle estatal sobre quais sistemas podem ser usados.
• Reino Unido: pos-Brexit, adotou abordagem 'pro-inovação', delegando a regulação aos órgãos setoriais existentes (financeiro, saúde, telecomunicações) sem criar um regulador central de IA.

O Brasil escolheu um caminho mais próximo do europeu: regulação horizontal (vale para todos os setores) com foco em risco. Isso cria mais proteção, mas também mais obrigações de conformidade.

O que muda na prática para quem desenvolve software com IA

Se você e desenvolvedor, CTO ou responsável por produto em uma empresa que usa IA, aqui estão as mudanças práticas mais relevantes quando o projeto for aprovado:

• Inventario de sistemas: você precisara mapear todos os sistemas de IA que a empresa usa ou desenvolve e classificar cada um por nível de risco. Isso inclui modelos prontos contratados de terceiros.
• Documentação técnica: para sistemas de risco alto, será obrigatório manter documentação detalhada do modelo: dados de treinamento, métricas de performance, análise de viés, limitações conhecidas e histórico de versões.
• Avaliação de impacto: antes de implantar sistemas de risco alto, será necessária uma avaliação de impacto que inclua análise de risco para direitos fundamentais, similar ao DPIA do LGPD mas voltado para sistemas de IA.
• Mecanismos de contestação: sistemas que tomam decisões com impacto significativo sobre pessoas precisarão de fluxos de revisão humana e canais de contestação acessíveis aos afetados.
• Registro no SIA: sistemas de risco alto precisarão ser registrados no Sistema Nacional de Regulação, com atualizações quando houver mudanças substanciais.

Vale esperar ou começar a se preparar agora?

A resposta prática para empresas e desenvolvedores e: comece o mapeamento agora, mesmo sem data certa de aprovação.

O período de 24 meses de adaptação que o projeto prevê parece longo, mas para empresas que precisam documentar modelos, revisar contratos com fornecedores de IA, criar fluxos de revisão humana e treinar equipes jurídicas, esse tempo passa rápido. Empresas que começarem a jornada de governanca antes da aprovação são as que vao ter menos dor de cabeça depois.

Além disso, clientes corporativos e investidores internacionais já estão fazendo due diligence em governanca de IA antes de fechar contratos. Ter documentação e políticas de uso responsável de IA e um diferencial competitivo hoje, independentemente da aprovação do marco legal.

O Brasil esta chegando tarde a regulação da IA em comparação com a Europa, mas chegando com um projeto mais maduro, que incorporou licoes de outros países. Se aprovado sem mutilações, o PL 2.338/2023 tem o potencial de criar um ambiente de confiança para a IA que beneficia tanto os usuários quanto as empresas que operam de forma responsável.