Uma notícia sobre o Tesla Semi, caminhão elétrico que promete acelerar a eletrificação do transporte pesado, pode parecer distante do universo da inteligência artificial. Mas o movimento da Tesla ilustra algo que se repete em setores estratégicos: tecnologias disruptivas avançam mais rápido do que a regulação consegue acompanhar, e quando a regulação chega, ela redefine quem permanece no mercado.
No Brasil, esse fenômeno está acontecendo agora com a IA. O País deixou de ser espectador do debate global e passou a construir seu próprio regime regulatório. O PL 2338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara dos Deputados, é o instrumento central. Mas ele não está sozinho: normas do Banco Central, da ANPD e do Conselho Administrativo de Defesa Econômica (CADE) já produzem efeitos sobre quem desenvolve ou usa IA no Brasil.
Este artigo apresenta o estado atual da regulação brasileira de IA, as obrigações que já existem e o que founders, CTOs e profissionais jurídicos precisam fazer antes que a lei federal entre em vigor.
Contexto jurídico e regulatório
O PL 2338/2023 e a estrutura de risco
O projeto aprovado pelo Senado Federal em dezembro de 2024 adota um modelo de regulação baseado em risco, similar ao AI Act europeu. Sistemas de IA são classificados em quatro categorias: risco mínimo, risco limitado, alto risco e risco inaceitável. Para cada categoria, há obrigações proporcionais.
Sistemas de alto risco incluem aplicações em saúde, crédito, seleção de emprego, segurança pública e infraestrutura crítica. Para esses, o texto exige documentação técnica detalhada, avaliação de impacto algorítmico, mecanismos de supervisão humana e registro junto à autoridade competente. A ausência de conformidade pode gerar multas de até 2% do faturamento anual da empresa no Brasil, limitadas a R$ 50 milhões por infração, segundo o texto aprovado no Senado.
A definição de "agente de IA" no PL é ampla: abrange tanto o desenvolvedor do modelo quanto o que o implanta e o que o utiliza para fins econômicos. Isso significa que startups que usam APIs de terceiros, como GPT-4 ou Gemini, também podem ser enquadradas como agentes responsáveis, dependendo do contexto de uso.
LGPD, ANPD e IA: o que já vale hoje
Antes mesmo do PL 2338/2023 se tornar lei, a Lei Geral de Proteção de Dados (Lei 13.709/2018) já impõe obrigações relevantes para sistemas de IA que processam dados pessoais. O artigo 20 da LGPD garante ao titular o direito de solicitar revisão humana de decisões tomadas exclusivamente por meios automatizados, incluindo perfis de crédito, seleção profissional e diagnósticos médicos.
A ANPD publicou em 2024 o Regulamento de Comunicação de Incidentes de Segurança (Resolução CD/ANPD nº 15/2024) e sinalizou, em seu Plano de Trabalho para 2025-2026, a elaboração de orientações específicas sobre IA. Empresas que operam modelos preditivos com dados pessoais já devem ter base legal definida, registro de operações de tratamento e política de retenção documentada.
O CADE, por sua vez, abriu em 2023 o inquérito administrativo para investigar concentração de mercado em IA generativa e firmou cooperação com autoridades da União Europeia e dos EUA. Para startups que atuam em mercados com poucos players de infraestrutura (computação em nuvem e modelos fundacionais), o risco antitruste começa a ser concreto, especialmente em aquisições e parcerias com big techs.
Impacto prático
Para founders e CTOs, a primeira consequência prática é a necessidade de mapear os sistemas de IA em uso ou em desenvolvimento segundo a lógica de risco do PL 2338/2023. Mesmo que a lei federal ainda não tenha sido promulgada, esse mapeamento é a base para qualquer estratégia de conformidade. Empresas que chegarem despreparadas à entrada em vigor da norma terão custo de adequação muito maior do que as que iniciarem agora.
Do ponto de vista contábil, custos de conformidade com regulação de IA podem ser capitalizados como ativo intangível quando atendem aos critérios da NBC TG 04 (correlata ao IAS 38): geração de benefício econômico futuro, controle pela entidade e mensuração confiável. Isso significa que investimentos em documentação técnica, sistemas de auditabilidade e treinamento de equipes de governança podem integrar o balanço, reduzindo o impacto no resultado do exercício e melhorando indicadores para rodadas de investimento.
Para advogados e contadores que atendem empresas de tecnologia, o momento exige atualização imediata. Contratos de prestação de serviços de IA precisam definir com clareza qual parte assume o papel de agente de IA nos termos do PL. Cláusulas de alocação de responsabilidade, auditoria de modelos e notificação de incidentes passam a ser cláusulas essenciais, não opcionais.
Considerações finais
A regulação brasileira de IA não é uma ameaça ao setor: é uma oportunidade para empresas sérias se diferenciarem. Startups que construírem governança de IA desde o início, com documentação técnica, avaliação de risco e mecanismos de supervisão humana, terão vantagem competitiva real em processos de due diligence, licitações públicas e parcerias com grandes corporações.
O PL 2338/2023 ainda pode ser alterado na Câmara, mas o sentido da regulação está definido. Quem esperar a promulgação da lei para começar a se adequar estará atrasado. O momento de agir é agora, enquanto há espaço para construir conformidade de forma planejada e com custo controlado.