O Que É o PL 2338/2023 — e Por Que Ele Importa Agora
Antes de qualquer discussão técnica, é importante entender o contexto: o Brasil é a maior economia da América Latina, tem mais de 220 milhões de habitantes e está entre os países com maior penetração de smartphones e uso de redes sociais no mundo. E até agora, em 2026, a inteligência artificial opera no país sem uma lei específica que regule seus riscos.
Isso não significa que não existia nenhuma regulação. A LGPD (Lei Geral de Proteção de Dados) já se aplica ao uso de dados pessoais em sistemas de IA, e a ANPD (Autoridade Nacional de Proteção de Dados) já tomou medidas concretas — como a suspensão de funcionalidades de plataformas que usavam dados de usuários para treinar sistemas sem base legal adequada. Mas a LGPD foi feita para dados, não especificamente para IA. O PL 2338 vem preencher essa lacuna.
O projeto foi apresentado pelo Senador Rodrigo Pacheco em 2023, consolidou debates que vinham desde 2019, e foi aprovado pelo Senado Federal em 10 de dezembro de 2024 — com uma simbologia que não passou despercebida: exatamente no Dia Internacional dos Direitos Humanos. Em 2026, está em análise por uma Comissão Especial na Câmara dos Deputados, com votação em plenário prevista para ainda este ano.
O PL 2338/2023 ainda não é lei. Está em tramitação na Câmara dos Deputados, na Comissão Especial de Inteligência Artificial. Enquanto isso, a IA no Brasil continua regulada principalmente pela LGPD e por normas setoriais (como as do CNJ para o Judiciário). Mas os pontos do PL já servem de referência para boas práticas — e empresas inteligentes estão se preparando agora.
A Espinha Dorsal da Lei: Regulação por Nível de Risco
O modelo adotado pelo PL 2338 segue a mesma lógica do AI Act europeu: não existe uma regra única para todos os usos de IA. A lei classifica os sistemas de acordo com o nível de risco que representam para direitos fundamentais. Quanto mais alto o risco, mais obrigações e mais fiscalização.
Risco Excessivo (Proibido)
Alguns usos de IA simplesmente não serão permitidos no Brasil, independentemente da tecnologia envolvida. O PL proíbe sistemas que manipulam comportamento humano de forma imperceptível, que fazem pontuação social de cidadãos para fins discriminatórios, e que utilizam reconhecimento de emoções em espaços públicos sem justificativa legítima. São proibições absolutas — não existe conformidade possível para essas aplicações.
Alto Risco (Regulação Estrita)
Esta é a categoria que vai exigir mais das empresas. Sistemas de IA são considerados de alto risco quando atuam em áreas sensíveis: infraestrutura crítica (energia, transporte, água), educação e formação profissional, emprego e gestão de trabalhadores, serviços públicos essenciais, aplicações de segurança pública, administração da Justiça, e processos democráticos como eleições.
| Categoria de Risco | Exemplos | O Que é Exigido |
|---|---|---|
| Excessivo | Pontuação social, manipulação subliminar, vigilância em massa | Proibido — nenhum uso permitido |
| Alto Risco | IA em saúde, crédito bancário, seleção de emprego, Judiciário | Documentação, auditoria, supervisão humana obrigatória |
| Baixo/Moderado Risco | Chatbots, recomendação de conteúdo, filtros de spam | Transparência: usuário deve saber que interage com IA |
Baixo e Moderado Risco
A maioria das aplicações de IA que usamos no dia a dia — chatbots de atendimento, algoritmos de recomendação de streaming, filtros de spam, assistentes virtuais — cai nesta categoria. As exigências são mais leves, mas existe uma obrigação central que vai mudar a experiência de muita gente: o dever de informação. O usuário precisa saber que está interagindo com uma IA, não com um humano. Simples, mas de impacto imenso.
Os Seus Direitos Como Cidadão Brasileiro
Uma das contribuições mais importantes do PL 2338 é estabelecer um conjunto de direitos explícitos para pessoas afetadas por sistemas de IA. Esses direitos se aplicam especialmente quando a IA toma decisões que afetam sua vida: um crédito negado, uma vaga de emprego não considerada, um benefício social recusado.
- Direito à transparência: você tem o direito de saber quando uma decisão que te afeta foi tomada ou influenciada por um sistema de IA.
- Direito à explicação: você pode exigir uma explicação compreensível sobre os critérios usados pela IA para chegar àquela decisão.
- Direito à contestação: decisões tomadas exclusivamente por IA podem ser contestadas e revisadas por um humano.
- Direito à não discriminação: sistemas de IA não podem reproduzir discriminações ilegais com base em raça, gênero, origem, religião ou outras características protegidas.
- Direito à privacidade: o uso de dados pessoais por sistemas de IA deve respeitar a LGPD — e o PL reforça essa proteção. Se você quer entender em detalhe o que empresas de tecnologia já sabem sobre você hoje, vale a leitura do nosso guia sobre IA e Privacidade.
Se um banco nega seu crédito por decisão algorítmica, você poderá exigir uma explicação do critério usado e solicitar revisão humana. Se uma empresa usa IA na triagem de currículos e você não foi chamado para entrevista, terá o direito de saber os motivos. Isso representa uma mudança estrutural na relação entre pessoas e algoritmos no Brasil.
O Brasil foi o primeiro país a regular IA no Judiciário? Não o primeiro do mundo, mas foi pioneiro na América Latina: a Resolução CNJ nº 332/2020 é anterior à maioria das normas equivalentes na região. A multa de R$ 50 milhões é fixa? Não — é o teto previsto para infrações gravíssimas; o valor real considera faturamento da empresa e gravidade do dano, no mesmo espírito da LGPD. Alguma empresa já foi multada por causa de IA no Brasil? Ainda não com base no PL 2338 (que não é lei), mas a ANPD já puniu empresas com base na LGPD por uso indevido de dados em treinamento de modelos de IA — um sinal do que vem pela frente.
O Que Muda Para as Empresas Brasileiras
Para o setor privado, o PL 2338 significa burocracia nova, mas também segurança jurídica nova. Empresas que já operam sistemas de IA de alto risco vão precisar se adequar em três frentes principais:
Documentação e Transparência
Sistemas de alto risco precisarão ter documentação técnica detalhada: como funciona o modelo, quais dados foram usados no treinamento, como o desempenho é avaliado, e quais são os riscos conhecidos. Esse "cartão de identidade" do sistema de IA poderá ser exigido por órgãos reguladores a qualquer momento.
Supervisão Humana
Automação total em decisões de alto impacto não será permitida. Sistemas de IA que afetam direitos fundamentais precisarão ter supervisão humana efetiva — não um formulário de "revisão" pro forma, mas um processo real em que um humano capacitado possa questionar e reverter as decisões do algoritmo.
Responsabilização
O PL define quem responde quando algo dá errado. O desenvolvedor do sistema é responsável por garantir que ele funcione como declarado. O implantador — a empresa que usa o sistema em seus produtos — é responsável pelo uso adequado no contexto específico. Essa cadeia de responsabilidade é inspirada no modelo europeu, mas adaptada ao arcabouço jurídico brasileiro.
Brasil vs. Europa: Onde a Lei Brasileira É Diferente
O PL 2338 é frequentemente descrito como "inspirado no AI Act europeu" — e essa comparação é justa, mas incompleta. Existem diferenças importantes que refletem a realidade brasileira.
A primeira diferença é estrutural: enquanto o AI Act europeu é um regulamento de aplicação direta nos 27 países da UE, o Marco Legal da IA brasileiro é uma lei federal que convive com competências estaduais e municipais, com normas setoriais já existentes (LGPD, código do consumidor, normas do Banco Central para fintechs) e com a estrutura federativa do país. Isso cria uma complexidade de implementação que o modelo europeu não precisa enfrentar da mesma forma.
A segunda diferença é de governança: o PL cria o Sistema Nacional de Regulação e Governança de IA (SIA), mas deixa espaço para que a ANPD, o Cade, o Banco Central e outros reguladores setoriais mantenham suas competências próprias. O resultado é um modelo mais distribuído — e potencialmente mais conflituoso — do que o modelo centralizado europeu.
Críticos apontam que o PL tem definições ainda vagas para termos como "sistema de IA" e "alto risco". Isso pode gerar insegurança jurídica nas fases iniciais de aplicação. Para startups em estágio inicial, o custo de conformidade pode ser um obstáculo real — e esse debate ainda não foi completamente resolvido no Congresso.
O Que Já Vale Hoje — Mesmo Sem a Lei Aprovada
Uma confusão comum é pensar que enquanto o PL 2338 não for aprovado, não existe nenhuma obrigação. Isso é errado. O Brasil já tem um conjunto de regras que se aplicam ao uso de IA agora, em agosto de 2026:
- LGPD: qualquer sistema de IA que processa dados pessoais de brasileiros precisa ter base legal adequada, finalidade declarada, e respeitar os direitos dos titulares. A ANPD fiscaliza e já autuou empresas por descumprimento.
- Código de Defesa do Consumidor: sistemas de IA usados em relações de consumo já precisam respeitar as regras de transparência e não discriminação do CDC.
- Resolução CNJ nº 332/2020: o Poder Judiciário já tem regras próprias para uso de IA em atividades judiciais — o Brasil foi pioneiro nesse aspecto. Já existem juízes usando IA para redigir sentenças e minutas; veja os casos reais no nosso guia IA e Direito.
- Normas do Banco Central: fintechs e instituições financeiras que usam modelos de crédito baseados em IA já estão sujeitas a obrigações de explicabilidade e não discriminação.
O Que Você Pode Fazer Agora
Independentemente de quando exatamente o PL 2338 for aprovado, algumas ações já fazem sentido hoje — seja você cidadão, profissional de tecnologia ou gestor de empresa.
Para Cidadãos
Comece a exercitar seus direitos já garantidos pela LGPD: você pode solicitar acesso aos dados que empresas têm sobre você, pedir explicações sobre decisões automatizadas que te afetam, e contestar situações em que suspeita de discriminação algorítmica. A ANPD tem um canal de denúncias acessível pelo site gov.br.
Para Empresas e Desenvolvedores
O período de tramitação do PL é o melhor momento para mapear quais sistemas de IA você usa ou desenvolve e classificá-los pelo nível de risco provável. Empresas que começarem agora a construir documentação, processos de supervisão humana e políticas de transparência vão estar muito mais preparadas — e vão gastar muito menos — do que as que esperarem a lei ser publicada para começar.
Conclusão: Uma Lei Que Chega Em Boa Hora
O Marco Legal da IA do Brasil não é perfeito. Tem definições que precisam ser melhoradas, pontos de conflito entre reguladores que precisam ser resolvidos, e o risco real de que pressões de grupos econômicos acabem enfraquecendo proteções importantes antes da aprovação final. Mas ele é necessário — e chega num momento em que o Brasil já é um dos países do mundo com maior uso de IA generativa per capita.
Para o cidadão comum, a mensagem mais importante é simples: você vai ter direitos novos que hoje não existem de forma explícita. O direito de saber quando uma IA está tomando decisões sobre sua vida, o direito de pedir explicações, e o direito de contestar. Numa era em que algoritmos decidem desde qual crédito você recebe até qual vaga de emprego você vê, esses direitos não são luxo. São necessidade.
Perguntas Frequentes (FAQ)
Ainda não. Em agosto de 2026, o PL 2338/2023 foi aprovado pelo Senado e está em tramitação na Comissão Especial de Inteligência Artificial da Câmara dos Deputados, com votação em plenário prevista para ainda este ano.
Sim. A LGPD, o Código de Defesa do Consumidor, a Resolução CNJ nº 332/2020 e normas do Banco Central já se aplicam a sistemas de IA hoje, mesmo sem uma lei específica sobre o tema.
Depende do papel de cada um na cadeia. O desenvolvedor responde por garantir que o sistema funcione como declarado; o implantador (a empresa que usa a IA em seus produtos) responde pelo uso adequado no contexto específico. Os dois podem ser responsabilizados, dependendo de onde a falha ocorreu.
As exigências mais rígidas recaem sobre sistemas de alto risco, independentemente do porte da empresa. Pequenas empresas que usam apenas chatbots ou recomendação de conteúdo (baixo risco) têm obrigações mais leves, como informar que o usuário está falando com uma IA.
Você já pode usar os canais da LGPD: solicitar acesso aos dados que uma empresa tem sobre você, pedir explicação sobre decisões automatizadas e registrar denúncia na ANPD pelo site gov.br, caso suspeite de discriminação algorítmica.
A tramitação continua no ano seguinte, sem prazo fatal previsto em lei. Nesse cenário, o Brasil segue regulando IA de forma fragmentada, via LGPD e normas setoriais, até que o Congresso conclua a votação.
Receba análises como esta direto no seu e-mail
Tecnologia, inteligência artificial e os bastidores das ferramentas que estão mudando como vivemos — sem spam, direto ao ponto.