Não. Se a pergunta é se sua empresa precisa esperar o Marco Legal da IA sair do papel para montar governança de uso de inteligência artificial, a resposta é não — e essa não é uma opinião nova pra mim. O PL 2.338 está aprovado no Senado desde o fim de 2024 e segue parado na Câmara; o Congresso reservou só duas janelas de “esforço concentrado” neste semestre para discutir os temas represados, e a regulação de IA é só mais um item disputando espaço num ano eleitoral. Quem estiver esperando uma lei perfeita para decidir o que pode e o que não pode em IA vai esperar sentado.
Eu já vivi essa lógica antes — só que sem “IA” no nome do problema. Há alguns anos, ajudei a estruturar um programa de governança de risco fiscal numa grande indústria/varejista de beleza, num momento em que a legislação tributária também estava longe de estar clara e a empresa não tinha esse luxo de esperar. A régua que a gente usou não veio do Diário Oficial. Veio de decidir, internamente, o que era aceitável, o que precisava de controle e quem respondia por cada parte do processo — antes que um problema forçasse a decisão. É exatamente essa mesma lógica que vejo faltando hoje em empresas que tratam a ausência do Marco Legal da IA como desculpa para adiar governança.
Principais aprendizados
- O Marco Legal da IA (PL 2.338) está aprovado no Senado desde o fim de 2024 e segue represado na Câmara, com apenas duas semanas de votação concentrada reservadas neste semestre — não há data prevista, e ano eleitoral tende a esvaziar ainda mais a prioridade do tema.
- O mercado não está esperando o Congresso: o relatório de M&A de tecnologia do 1º semestre de 2026 mostra que compradores já pagam prêmio por empresas com dado proprietário e IA aplicada de forma responsável, e penalizam quem só tem “recurso de IA” no discurso, sem estrutura por trás.
- Governança de risco não nasce da lei — nasce da decisão de quem vai responder por cada parte do processo antes que um incidente force a conversa. Isso vale tanto para risco fiscal quanto para risco de IA.
- Esperar regulamentação para agir costuma ser a decisão mais arriscada, não a mais segura: quem chega no momento em que a lei existe sem nenhuma estrutura prévia larga atrás de quem já testou o próprio modelo de controle.
- Um programa de governança não precisa de uma equipe de compliance dedicada para começar — precisa de critério, responsável nomeado e revisão contínua.
Por que esperar o Marco Legal da IA sair do papel é a decisão mais arriscada?
Porque a lacuna regulatória não é neutra — ela empurra a decisão para depois de um incidente, não para antes dele. Enquanto o PL 2.338 disputa espaço com outras pautas represadas no calendário eleitoral do Congresso, a exposição de quem usa IA sem nenhum critério interno continua acumulando. O secretário de transformação digital do MCTI já vem defendendo publicamente que o treinamento de modelos brasileiros aconteça em território nacional, justamente para proteger bases de dados — um sinal de que a preocupação regulatória com dado e IA já é institucional, mesmo sem lei sancionada. Empresa que trata “não existe lei ainda” como sinônimo de “não preciso decidir nada” está confundindo ausência de obrigação legal com ausência de risco. São coisas diferentes.
Na prática, isso significa que a empresa que só vai reagir quando a lei existir vai correr atrás de um modelo de controle que os concorrentes que já começaram vão ter testado, ajustado e validado há meses. Regulamentação tardia não cria vantagem para quem esperou — cria vantagem para quem já tinha estrutura pronta pra se adaptar rápido.
Como o mercado já está cobrando essa disciplina, mesmo sem lei específica?
Pelo bolso, que costuma ser mais rápido que o Congresso. O relatório de M&A de tecnologia do primeiro semestre de 2026 mostra 87 transações no Brasil, queda de 33% frente ao ano anterior — mas o volume mais baixo não significa critério mais frouxo, e sim o oposto: compradores pagam prêmio por software vertical com dado proprietário e IA aplicada de verdade, e vendedores sem receita recorrente e capacidade real de incorporar IA têm mais dificuldade de negociar. Startups de IA concentraram 43% de todo o capital captado por startups brasileiras no semestre, mesmo com a captação total caindo 76% na comparação anual — ou seja, o investidor não está apostando menos em IA, está apostando só em quem tem estrutura de verdade por trás do discurso.
Isso é due diligence funcionando como regulação de fato: ninguém publicou uma lei dizendo “toda empresa precisa comprovar governança de dado e IA antes de ser adquirida”, mas o mercado chegou nesse critério sozinho, porque é o critério que protege quem está comprando. Se sua empresa algum dia for procurada para uma parceria estratégica, um investimento ou uma aquisição, é essa régua — não o Marco Legal — que vai estar na mesa primeiro.
O que aprendi montando governança de risco antes de qualquer lei perfeita existir?
Há alguns anos, ajudei a estruturar um programa de tecnologia tributária numa grande indústria/varejista de beleza, com cinco squads e 58 pessoas envolvidas, que mitigou R$368 milhões em risco fiscal. A legislação tributária brasileira nunca foi simples nem estática — e naquele momento também não estava esperando a gente decidir o que fazer. A régua que funcionou não veio de esperar uma interpretação definitiva da lei. Veio de mapear onde o risco realmente morava no processo, nomear quem respondia por cada parte da cadeia (do cadastro ao faturamento) e revisar esse mapa com frequência fixa, não só quando alguém perguntava.
É o mesmo raciocínio que aplico hoje quando falo de governança de agentes de IA com líderes de empresas médias: a pergunta não é “que lei regula isso”, é “quem responde se isso falhar, e a gente decidiu isso antes ou depois do problema aparecer”. Empresa que espera a régua externa pronta continua sem essa resposta — não porque falta lei, mas porque ainda não decidiu internamente.
Perguntas frequentes
Preciso esperar o Marco Legal da IA ser aprovado para criar regras internas de uso de IA?
Não. Regras internas não dependem de lei federal para existir — dependem de decisão de liderança sobre quais ferramentas são permitidas, que dado pode circular por elas e quem responde se algo falhar. Isso pode ser formalizado em poucos dias, independentemente do calendário do Congresso.
Por que o mercado de M&A já está cobrando governança de IA sem lei específica?
Porque due diligence de aquisição sempre avalia risco futuro, não só conformidade presente, e comprador de tecnologia não quer herdar uma exposição que só vira problema depois do negócio fechado. O relatório de M&A do primeiro semestre de 2026 mostra prêmio de avaliação para quem tem dado proprietário e IA aplicada com estrutura, e desconto para quem não tem.
O que fazer primeiro se minha empresa ainda não tem nenhuma governança de IA?
Mapear, em uma página, quais ferramentas de IA já estão em uso (mesmo informalmente), que tipo de dado passa por elas e quem seria o responsável de negócio por cada uma. Esse inventário simples já reduz boa parte do risco antes de qualquer política mais formal ser escrita.
Regulamentação futura pode invalidar o que eu decidir agora?
É possível que detalhes específicos precisem de ajuste quando a lei for sancionada, mas os princípios básicos — responsável nomeado, dado mapeado, revisão periódica — dificilmente mudam. Empresa que já pratica isso ajusta detalhe; empresa que não pratica nada começa do zero, sob pressão de prazo legal.
Gillian Pellegrino é fundadora da HAIA e tem mais de 30 anos de carreira em tecnologia — boa parte dela decidindo o que fazer antes que a regra externa estivesse pronta. Hoje ajuda empresas médias brasileiras a transformar essa mesma disciplina em resultado mensurável de IA.
