O Marco Legal da IA foi adiado. A votação do PL 2.338/2023 na Câmara dos Deputados, antes esperada para o segundo semestre, passou a ter previsão apenas para dezembro de 2026, depois de impasses políticos sobre os pontos mais sensíveis do texto. Se o seu plano de IA estava esperando essa lei para sair do papel, ele estava esperando o sinal errado.
O que governa o uso corporativo de IA no Brasil hoje não é um projeto em debate — é a Lei Geral de Proteção de Dados, em vigor desde 2020, são os reguladores setoriais que já se manifestam sobre IA nas suas áreas, e são as cláusulas de proteção de dados que os seus próprios clientes colocam em contrato. A Autoridade Nacional de Proteção de Dados já testa sistemas de IA em sandbox regulatório e publicou seu primeiro relatório de monitoramento. “Não existe lei específica de IA” não é a mesma frase que “não existe fiscalização”.
Principais aprendizados
- O adiamento do Marco Legal da IA para dezembro de 2026 não suspende nenhuma obrigação: a LGPD já se aplica a qualquer sistema de IA que trate dados pessoais.
- A ANPD já atua como reguladora de fato — foi indicada para coordenar o futuro Sistema Nacional de IA e mantém um sandbox regulatório com relatório de monitoramento publicado.
- O texto aprovado no Senado já aponta a direção: classificação de risco por caso de uso, avaliação de impacto, transparência e supervisão humana. Dá para desenhar a governança em torno desses quatro eixos agora.
- Empresas que tratam toda regulação como “irreal até o texto final” pagam um prêmio de pressa depois — foi assim com o eSocial, com o SPED e com a própria LGPD.
- O que pode esperar a lei é específico: o valor exato das multas, a estrutura institucional do Sistema Nacional de IA e as regras setoriais detalhadas. A base de governança, não.
Passei mais de 30 anos em ambientes regulados — telecom, tecnologia tributária, operações com dado pessoal em escala. Toda vez que uma obrigação nova entrava no radar, a empresa se dividia em dois grupos. Um começava a se organizar com o texto ainda em consulta pública. O outro esperava a “versão final” para não trabalhar à toa. O segundo grupo sempre pagou mais caro — em hora extra de consultoria, em retrabalho, em migração às pressas. É essa a lente que uso para ler o adiamento do Marco Legal.
O adiamento muda alguma coisa no meu roadmap de IA?
No roadmap de adoção de IA, não muda nada. O que muda é a leitura de risco de quem vinha usando a falta de lei como argumento para não montar governança. A data da votação — dezembro, março, o que for — é a métrica errada para acompanhar. As perguntas que definem a sua obrigação hoje são outras três.
Primeira: algum caso de uso de IA na sua empresa trata dado pessoal? Se a resposta é sim, a LGPD já vale integralmente para esse caso — base legal, transparência, direito do titular, tudo. Segunda: algum cliente seu tem cláusula contratual sobre uso de IA, subprocessadores ou tratamento de dados? Se tem, essa cláusula é a sua regra vinculante agora, e ela não espera o Congresso. Terceira: você opera em um setor regulado — saúde, financeiro, educação, seguros? Os reguladores desses setores já publicam orientações sobre IA, e é com eles que a conversa começa.
Quando eu trabalhava com tecnologia tributária, vi a mesma dinâmica pelo avesso: a complexidade da Reforma Tributária transformou IA fiscal de “diferencial” em “requisito de sobrevivência”, e as áreas que entenderam isso cedo começaram a automatizar antes de a regra estar totalmente fechada. Ali a regulação foi combustível para adotar mais rápido. Com o Marco Legal da IA, a tentação é usar o adiamento para o efeito oposto: adiar o controle. É o mesmo instinto de ambiente regulado apontado para o lado errado.
O que já é obrigatório mesmo sem o Marco Legal?
Mais do que a maioria das empresas assume. A LGPD se aplica na íntegra a sistemas de IA que tratam dados pessoais: você precisa de base legal para o tratamento, tem o dever de informar de forma clara o que a IA faz com o dado, precisa conseguir responder a um pedido de titular e — no ponto que mais afeta projetos de IA — tem a obrigação de permitir revisão de decisões tomadas exclusivamente por meios automatizados quando elas afetam os interesses da pessoa.
Na prática, isso quer dizer que qualquer componente de IA que classifica risco sobre pessoas — score de crédito, triagem de currículo, priorização de atendimento, classificação de fraude — já deveria produzir um registro auditável de cada inferência: categoria atribuída, score, nível de confiança, justificativa e data e hora. Não é uma exigência futura do Marco Legal. É a forma concreta de cumprir o que a LGPD já pede sobre decisão automatizada. Em um produto sensível que ajudei a estruturar, a regra de arquitetura era explícita: a IA nunca é dona da decisão, só classifica risco com justificativa auditável — a escolha de agir fica com uma pessoa ou com uma regra determinística.
Some a isso o que a ANPD já sinaliza pelo sandbox — transparência, explicabilidade e proteção de dados como critérios de avaliação — e o que vem por contrato de cliente, e você tem um conjunto de obrigações que não depende de nenhuma votação. Já escrevi em detalhe sobre como montar essa governança mínima quando a empresa não tem área de compliance e sobre o checklist que aplico antes de colocar qualquer sistema de IA em produção.
O que dá para desenhar agora sem risco de retrabalho?
Quatro eixos do texto já aprovado no Senado dificilmente vão mudar de natureza, por mais que os limites e os formulários sejam ajustados na Câmara. São eles que você pode adotar agora sem medo de jogar trabalho fora.
Um: classificação de risco por caso de uso. Antes de escalar, defina se aquele uso de IA é de risco baixo, alto ou inaceitável — e trate os de alto risco com mais rigor de documentação e supervisão. Dois: avaliação de impacto antes de produção, registrando o que pode dar errado, quem é afetado e como você mitiga. Três: transparência para quem é afetado pela decisão da IA, em linguagem que a pessoa entenda. Quatro: supervisão humana com um responsável nomeado — não “o time”, uma pessoa — por cada sistema de IA que toca decisão sensível.
Quando o texto final sair, você ajusta faixas de risco e modelos de formulário. Não redesenha a arquitetura. O que realmente convém esperar é pontual: o valor das sanções, a estrutura do Sistema Nacional de IA e as regras setoriais específicas. Nada disso impede começar. E não construa uma política de 40 páginas para uma lei que ainda não existe — a abordagem que a HAIA usa com empresas de médio porte é a versão de uma página, com os quatro eixos mapeados, revisada quando houver data de votação de verdade.
O adiamento do Marco Legal da IA é uma notícia de calendário, não de estratégia. Quem trata IA com seriedade não estava esperando a lei — estava lendo a LGPD, os contratos e o próprio caso de uso. Comece por aí.
Perguntas frequentes
O Marco Legal da IA já está valendo no Brasil?
Não. O PL 2.338/2023 foi aprovado no Senado e tramita na Câmara dos Deputados, com votação prevista para dezembro de 2026. Enquanto não é sancionado, não há lei específica de IA em vigor — mas a LGPD, o Código de Defesa do Consumidor e regras setoriais já se aplicam a sistemas de IA, e a ANPD já fiscaliza o tratamento de dados feito por esses sistemas.
Preciso esperar a lei para montar a governança de IA da minha empresa?
Não. A governança mínima — classificação de risco por caso de uso, avaliação de impacto antes de produção, transparência e um responsável nomeado — pode ser construída agora, com base no texto já aprovado no Senado e na LGPD. Esperar o texto final costuma sair mais caro, porque força organização às pressas depois, quando o prazo já está correndo.
O que a ANPD já faz em relação à IA sem o Marco Legal aprovado?
A ANPD foi indicada para coordenar o futuro Sistema Nacional de IA e mantém um sandbox regulatório — ambiente controlado em que empresas selecionadas testam soluções de IA sob supervisão direta do órgão. Publicou seu primeiro relatório parcial de monitoramento em 2026. Na prática, já atua como autoridade reguladora residual de IA no país.
O que realmente pode esperar a aprovação do Marco Legal?
Podem esperar os detalhes: o valor exato das sanções, a estrutura institucional do Sistema Nacional de IA e as regras setoriais específicas. A base — saber quais casos de uso são de alto risco, documentar impacto, garantir revisão humana e registrar decisões automatizadas — não depende do texto final e já é exigível pela LGPD.
Gillian Pellegrino é fundadora da HAIA e trabalha com diagnóstico, priorização e governança de IA para empresas de médio porte. Passou mais de 30 anos em tecnologia e operações, boa parte em ambientes regulados, antes de fundar a consultoria.
