Por Gustavo Napomuceno, arquiteto de soluções da Mouts TI.
O Brasil está mais perto de ter sua primeira lei específica sobre inteligência artificial. O Projeto de Lei 2.338/2023, aprovado por unanimidade no Plenário do Senado em dezembro de 2024, está na Câmara dos Deputados aguardando parecer do relator na Comissão Especial criada para analisá-lo, segundo o andamento oficial da proposta no site da Câmara. O texto cria um sistema de classificação de risco para sistemas de IA e estabelece deveres de transparência e governança para quem desenvolve e opera essas tecnologias no país.
Enquanto o Legislativo negocia o texto final, o órgão fiscalizador já demarcou o terreno. Em 24 de dezembro de 2025, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o Mapa de Temas Prioritários para o biênio 2026-2027, colocando inteligência artificial entre os quatro eixos prioritários de fiscalização, ao lado de direitos dos titulares, proteção de crianças e adolescentes no ambiente digital e tratamento de dados pessoais pelo Poder Público, com pelo menos 75 ações de fiscalização previstas para o período, das quais 20, do eixo de IA, estão programadas especificamente para 2027.
O movimento é global, não só brasileiro. Segundo o AI Index 2026 da Universidade Stanford, 47 países já têm legislação específica sobre IA em vigor. Na Europa, o Regulamento (UE) 2026/1744, o Digital Omnibus on AI, publicado em 24 de julho de 2026 e em vigor desde 27 de julho, adiou as obrigações mais pesadas do AI Act para sistemas de alto risco, de agosto de 2026 para 2 de dezembro de 2027 (Anexo III) e 2 de agosto de 2028 (Anexo I).
Em 2 de agosto de 2026 entraram em vigor apenas as obrigações de transparência do artigo 50, como o dever de informar quando uma pessoa interage com um sistema de IA. As multas de até €35 milhões ou 7% do faturamento global, o teto mais alto do regulamento, seguem reservadas às práticas proibidas (artigo 5º); o descumprimento das obrigações de alto risco tem teto de €15 milhões ou 3%. Como boa parte das empresas brasileiras têm clientes, fornecedores ou operações que tocam a Europa, a exposição regulatória não se limita a quem atua só localmente.
O que fazer antes da lei valer
- Mapear onde a IA já está em uso: muitas empresas não sabem quantos processos internos já dependem de algum sistema com componente de IA (triagem de currículo, score de crédito, chatbot, geração de relatório).
- Registrar decisões automatizadas: guardar por que um sistema decidiu algo, não só o resultado. É a base de qualquer auditoria futura.
- Classificar por risco: nem todo uso de IA vai exigir o mesmo nível de controle; sistemas que afetam decisão sobre pessoas (crédito, contratação, saúde) tendem a cair em categoria de risco mais alta tanto no PL 2338 quanto no AI Act europeu.
- Envolver TI e jurídico desde o início do projeto: tratar governança como parte do desenvolvimento, não como revisão de última hora antes de lançar.
- Rever contratos com fornecedores de IA: empresa que usa sistema de terceiro também responde pelo uso; vale checar se o fornecedor já documenta risco e explicabilidade.
Vale ressaltar que quem trata dado e IA como commodity vai sentir o impacto quando a fiscalização começar a valer de verdade. Governança não é burocracia, é o que separa quem já está pronto de quem vai ter que refazer sistema do zero. Um sistema que já nasce com trilha de decisão registrada, auditoria e aplicabilidade não trata a lei como um projeto à parte, a conformidade já sai pronta junto com o sistema. É essa diferença que vai pesar no custo de adequação de cada empresa.
Na prática, o alerta recai sobre esse ponto: sistemas de IA construídos sem essa estrutura desde a concepção tendem a exigir retrabalho caro quando a regulamentação for sancionada, o oposto do que se vê em empresas que já incorporaram governança de dados ao processo de desenvolvimento, como parte da rotina, e não como resposta emergencial à lei.
