A notícia mais recente sobre os efeitos do calor extremo no cérebro humano, publicada pela MIT Technology Review Brasil, pode parecer distante do universo jurídico e empresarial. Mas ela ilustra algo central para o debate regulatório de IA no Brasil: sistemas de inteligência artificial aplicados à saúde, ao comportamento humano e à tomada de decisões sobre pessoas vulneráveis exigem um nível de escrutínio muito além do que o mercado brasileiro ainda pratica.
A pesquisa sobre ondas de calor e saúde mental reforça que crianças e pessoas com transtornos psiquiátricos são populações de risco especial. Quando sistemas de IA são usados para triagem clínica, monitoramento de pacientes ou análise de comportamento, o erro algorítmico pode ter consequências físicas e psicológicas graves. Essa é exatamente a categoria de risco que o legislador brasileiro tenta endereçar no projeto de lei de IA.
Neste artigo, o SAFIE IA for Business analisa o estado atual da regulação brasileira de inteligência artificial, os fundamentos jurídicos já vigentes e o que empresas de tecnologia precisam estruturar antes que a lei entre em vigor.
Contexto jurídico e regulatório
O PL 2.338/2023 e o modelo de risco
O principal instrumento regulatório em tramitação é o PL 2.338/2023, aprovado pelo Senado Federal em dezembro de 2024 e encaminhado à Câmara dos Deputados. O texto adota uma abordagem baseada em risco, inspirada no AI Act europeu, mas com adaptações ao contexto brasileiro.
Sistemas classificados como de risco elevado incluem aqueles usados em saúde, educação, crédito, segurança pública e processos seletivos. Para essas aplicações, o projeto exige avaliação de impacto algorítmico, documentação técnica auditável, mecanismos de supervisão humana e notificação obrigatória em caso de incidentes. O não cumprimento pode gerar sanções administrativas de até 2% do faturamento bruto anual da empresa no Brasil, limitadas a R$ 50 milhões por infração.
Fundamentos jurídicos já vigentes
Mesmo sem o marco específico de IA, as empresas já estão sujeitas a um conjunto normativo robusto. A Lei Geral de Proteção de Dados (Lei 13.709/2018) aplica-se diretamente a qualquer sistema de IA que processe dados pessoais, o que inclui praticamente todos os casos de uso comercial. A ANPD (Autoridade Nacional de Proteção de Dados) já publicou orientações sobre decisões automatizadas no contexto do artigo 20 da LGPD, que garante ao titular o direito de solicitar revisão humana de decisões tomadas exclusivamente por algoritmos.
Além da LGPD, o Código de Defesa do Consumidor (Lei 8.078/1990) incide sobre serviços de IA oferecidos a consumidores finais, especialmente no que diz respeito à publicidade enganosa, vício do serviço e responsabilidade objetiva do fornecedor. Startups que oferecem chatbots, sistemas de recomendação ou diagnósticos automatizados precisam considerar esse arcabouço como ponto de partida, não como complemento.
Setores com regulação específica
Alguns setores já possuem normas setoriais que dialogam diretamente com o uso de IA. O Banco Central publicou a Resolução CMN 4.993/2022, que trata de modelos de risco em instituições financeiras, com requisitos de governança aplicáveis a sistemas de machine learning usados em crédito e prevenção a fraudes. A ANS e o CFM têm discutido diretrizes para IA diagnóstica na saúde, área de altíssima sensibilidade dado o perfil de vulnerabilidade das populações envolvidas.
Para empresas que atuam em saúde mental ou monitoramento de bem-estar, o cenário é ainda mais delicado. Dados sobre condição psicológica são classificados como dados sensíveis pela LGPD (artigo 11), e o tratamento exige consentimento específico ou base legal expressa. Um sistema de IA que infira diagnósticos ou estados emocionais sem essa base legal está em situação de risco jurídico imediato.
Impacto prático
Para founders e CTOs, o primeiro movimento concreto é mapear os sistemas de IA da empresa por nível de risco, seguindo a lógica do PL 2.338/2023, mesmo antes de sua aprovação definitiva. Esse mapeamento serve tanto para a adequação futura quanto para demonstrar diligência em eventuais disputas contratuais ou investigações regulatórias. Investidores de venture capital e private equity já começam a incluir due diligence de IA em seus processos, especialmente para rodadas Series B em diante.
Do ponto de vista contábil, os custos de conformidade devem ser provisionados e classificados corretamente. Gastos com avaliação de impacto algorítmico, contratação de encarregado de dados (DPO), auditoria de modelos e adequação de contratos com fornecedores de IA podem ser classificados como despesas operacionais ou, em alguns casos, ativados como intangíveis, dependendo da natureza do ativo gerado. Contadores que atendem startups de tecnologia precisam estar preparados para orientar sobre essa classificação, especialmente sob o CPC 04 (Ativos Intangíveis).
Para advogados e gestores jurídicos, o ponto crítico é a revisão de contratos com clientes e parceiros que envolvam uso de IA. Cláusulas de responsabilidade, limitação de danos, auditoria e conformidade regulatória precisam refletir o novo ambiente normativo. Contratos omissos nesse ponto criam passivos ocultos que podem comprometer operações e rodadas de investimento.
Considerações finais
A regulação de IA no Brasil não é uma ameaça ao setor de tecnologia. É uma oportunidade de diferenciação para empresas que constroem sistemas responsáveis desde o início. Startups que adotarem governança de IA como prática de negócio, e não como obrigação de última hora, estarão melhor posicionadas para contratos públicos, parcerias internacionais e captação de recursos.
O SAFIE IA for Business continuará acompanhando a tramitação do PL 2.338/2023 na Câmara e as movimentações da ANPD, do Banco Central e das agências setoriais. O ambiente regulatório está se consolidando, e empresas que aguardam a publicação da lei para começar a se adequar perderão uma janela importante de vantagem competitiva.