O Brasil ainda não tem uma lei geral de inteligência artificial. O PL 2.338/2023, aprovado pelo Senado em 10 de dezembro de 2024, está na Câmara dos Deputados desde março de 2025, em uma comissão especial, aguardando o parecer do relator, o deputado Aguinaldo Ribeiro. Em outubro de 2026 o parecer ainda não tinha sido apresentado, e se a Câmara mudar o texto, ele volta ao Senado antes da sanção.
A ficha de tramitação registra 37 propostas apensadas, entre elas o PL 6.237/2025, do Poder Executivo. A Câmara tem margem para reescrever partes inteiras. Mesmo assim, o texto do Senado é a referência mais concreta do que vem: classificação por risco, avaliação de impacto algorítmico para alto risco, a ANPD coordenando um sistema nacional de regulação e multas de até R$ 50 milhões por infração.
Alto risco: onde as empresas vão trabalhar
O projeto separa desenvolvedor, distribuidor e aplicador (art. 4º). A maioria das empresas brasileiras será aplicadora de IA comprada de terceiros, mas quem modifica substancialmente o sistema ou muda a finalidade dele passa a ser tratado como desenvolvedor (art. 18, § 5º).
Entre as finalidades de alto risco do art. 14, as que mais tocam empresas privadas são recrutamento, avaliação de desempenho e desligamento (inciso III), critérios de acesso a serviços essenciais (inciso IV), infraestruturas críticas (inciso I), apoio a diagnóstico médico (inciso VIII) e reconhecimento de emoções (inciso XI). Para esses sistemas, o aplicador documenta testes e supervisão humana, adota medidas contra vieses e faz a avaliação de impacto algorítmico antes do uso (art. 25), com conclusões públicas (art. 28). As multas chegam a R$ 50 milhões ou 2% do faturamento bruto do grupo no Brasil (art. 50, II).
Quando cada parte valeria
| Parte do texto (art. 80) | Começa a valer |
|---|---|
| Estrutura de supervisão e fiscalização, exceto sanções; fomento e regras para micro e pequenas empresas e startups | Na publicação |
| Proibições de risco excessivo (art. 13), IA de propósito geral e generativa, direitos de autor | 180 dias depois |
| Todo o resto, incluindo alto risco, avaliação de impacto e sanções do art. 50 | 730 dias depois |
Enquanto isso, a LGPD já vale para IA com dados pessoais. O art. 20 garante a revisão de decisões tomadas unicamente por tratamento automatizado, inclusive de perfil de crédito e profissional, e obriga o controlador a informar os critérios usados.
Na nossa leitura, copiar o AI Act não basta
O texto do Senado segue a lógica do regulamento europeu, que explicamos no artigo sobre o que ensina o modelo europeu, mas com diferenças que mudam o trabalho. A análise de crédito, que o AI Act põe de forma expressa no alto risco, não aparece com esse nome no art. 14. E a lista final depende das autoridades setoriais (art. 16, II), então um banco e um hospital podem acabar com listas diferentes. Quem já se adequa ao AI Act aproveita o método, mas não a classificação.
Com 730 dias de prazo depois da publicação, quem começa agora chega com folga. Por onde começaríamos:
- Inventário de sistemas de IA, incluindo os embutidos em softwares contratados, com papel da empresa, finalidade, dados e fornecedor.
- Triagem pelo art. 14, começando por RH. É comum usar ferramentas de recrutamento com IA sem tratá-las como sistema de IA.
- Avaliação de impacto junto com o RIPD. O art. 27 permite fazer as duas no mesmo documento quando há dados pessoais.
No GlobalSuite®, o módulo de Governança de IA mantém esse inventário com os datasets, os casos de uso e os fornecedores de cada sistema, e traz a ISO 42001 carregada, com os controles cruzados com o AI Act. Os critérios do art. 14 podem entrar como referencial próprio enquanto a lei brasileira não sai.
Fontes oficiais: ficha de tramitação do PL 2.338/2023 na Câmara dos Deputados, texto aprovado pelo Senado e enviado à Câmara, tramitação no Senado Federal, PL 6.237/2025 e Lei 13.709/2018 (LGPD). Conteúdo revisado em outubro de 2026.
