PL 2338 (Marco Legal da IA): O Que Muda para as Empresas

O PL 2338/2023, conhecido como Marco Legal da Inteligência Artificial, é o projeto de lei brasileiro que cria regras para o desenvolvimento e o uso de sistemas de IA no país. Aprovado no Senado em dezembro de 2024 e em votação final na Câmara dos Deputados em 2026, adota um modelo baseado em risco, cria direitos para pessoas afetadas por decisões automatizadas, define a ANPD como autoridade central e prevê sanções de até R$ 50 milhões por infração. Este texto é informativo e não constitui aconselhamento jurídico.

Status do PL 2338 em 2026

O texto foi aprovado no Senado Federal em dezembro de 2024 e seguiu para a Câmara dos Deputados, onde entra em votação final ao longo de 2026. Enquanto a regra não é sancionada, o mercado já se movimenta: contratos públicos, licitações, clientes corporativos e investidores começam a exigir maturidade de governança de IA como pré-requisito.

Modelo baseado em risco

O Marco Legal brasileiro se inspira no AI Act europeu e classifica sistemas de IA por nível de risco:

• Risco excessivo — usos vedados, como sistemas que exploram vulnerabilidades de grupos específicos ou promovem discriminação ilegítima.
• Alto risco — áreas sensíveis como saúde, crédito, seguros, educação, RH, segurança pública e infraestrutura crítica. Exigem governança formal, avaliação de impacto e supervisão humana.
• Baixo risco — demais usos, com deveres mais leves de transparência.

Direitos das pessoas afetadas

O texto reconhece direitos para quem é impactado por decisões automatizadas, entre eles:

• Transparência sobre o uso de IA na interação.
• Explicação da lógica da decisão, quando aplicável.
• Contestação de decisões e revisão por pessoa humana em contextos de alto risco.
• Não discriminação em decisões automatizadas.

Vários desses direitos conversam diretamente com a LGPD — em especial o artigo 20, que já garante revisão de decisões automatizadas envolvendo dados pessoais.

ANPD e o SIA

A ANPD (Autoridade Nacional de Proteção de Dados) é designada como autoridade central do Sistema Nacional de Regulação e Governança de IA (SIA), articulando reguladores setoriais (Banco Central, ANS, Anatel, entre outros). Na prática, isso concentra a fiscalização em um órgão que já supervisiona a LGPD — e reforça a sobreposição entre privacidade e IA.

Sanções previstas

• Advertência.
• Multa de até R$ 50 milhões por infração ou até 2% do faturamento.
• Suspensão parcial ou total do sistema.
• Proibição de tratamento de determinadas bases de dados.

Setores mais impactados

Empresas de saúde, financeiro, seguros, RH e atendimento concentram os casos de alto risco: diagnóstico assistido, análise de crédito, precificação de apólices, triagem de candidatos e bots com decisão automatizada sobre direitos do consumidor. Nesses setores, a governança de IA deixa de ser opcional.

Como se preparar

Independentemente da data exata da sanção, o roteiro de preparação é claro:

• Inventário de sistemas de IA em uso (próprios e de terceiros), com finalidade, base de dados e responsável.
• Classificação por risco segundo o modelo do Marco Legal.
• Política de uso responsável de IA, incluindo uso de IA generativa por colaboradores.
• Avaliação de risco algorítmico (viés, explicabilidade, impacto sobre direitos).
• Governança contínua: comitê, revisão periódica, trilha de evidências auditável.

Esse é justamente o escopo do módulo vCAIO da Autoritas, que opera governança de IA no modelo Consulting as a Software. Para uma leitura rápida do seu grau de maturidade em GRC e IA, use o diagnóstico gratuito.

Este conteúdo é informativo e não substitui aconselhamento jurídico. Para decisões específicas, consulte um advogado especializado.