Principais pontos
- O PL 2.338/2023, em tramitação no Senado Federal, classifica sistemas de IA em faixas de risco mínimo, limitado, elevado e inaceitável (excessivo), com obrigações distintas para cada faixa.
- Sistemas de IA de risco elevado exigirão, pelo texto atual do PL 2.338/2023, avaliação de impacto, registro em cadastro público e designação de responsável interno pela conformidade.
- A LGPD (Lei 13.709/2018), art. 20, já garante ao titular o direito de revisão de decisões automatizadas, aplicável a qualquer sistema de IA em operação hoje no Brasil.
- Segundo reportagem do Startupi, o Citi identificou o Brasil como mercado prioritário na América Latina, reforçando aportes e revendo sua avaliação de risco para a região em 2026.
- O Banco Central do Brasil publicou a Resolução BCB 96/2021 exigindo que instituições financeiras incluam risco de modelos de IA em suas estruturas de gerenciamento de riscos operacionais.
Uma reportagem publicada pelo Startupi revelou que o Citi dobrou sua aposta na América Latina, com o Brasil ocupando a posição central dessa estratégia. O banco revisou sua avaliação de risco para a região e sinalizou expansão de operações, o que, na prática, representa maior fluxo de capital institucional para empresas brasileiras, incluindo startups de tecnologia e inteligência artificial.
O movimento do Citi não é isolado. Ele reflete uma percepção crescente de que o Brasil reúne massa crítica de talentos em IA, infraestrutura financeira digital madura (com o Pix e o Open Finance já operacionais) e um mercado consumidor expressivo. Para investidores como o Citi, a pergunta seguinte é inevitável: qual é o ambiente regulatório no qual esses ativos operam?
A resposta a essa pergunta está sendo construída agora. O PL 2.338/2023, de autoria do Senador Rodrigo Pacheco, é o principal candidato a se tornar a lei brasileira de inteligência artificial. Entender seu conteúdo atual, suas implicações jurídicas e o que já está vigente via LGPD é condição para qualquer empresa de IA que queira operar com segurança jurídica e atrair capital qualificado.
PL 2.338/2023, LGPD e BCB: o quadro normativo atual
O Brasil opera hoje em uma configuração híbrida: não existe lei específica de IA promulgada, mas há normas setoriais e a LGPD que já impõem obrigações concretas a quem desenvolve ou opera sistemas de inteligência artificial com impacto sobre pessoas naturais.
LGPD (Lei 13.709/2018), art. 20: decisões automatizadas já reguladas
O art. 20 da Lei 13.709/2018 (LGPD) assegura ao titular de dados o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado, incluindo decisões de crédito, contratação de trabalho, perfil de consumo e avaliação de risco. A ANPD (Autoridade Nacional de Proteção de Dados) publicou o Regulamento de Doses Automatizadas (Resolução CD/ANPD 16/2024) detalhando como esse direito deve ser exercido e como o controlador deve responder. Qualquer sistema de IA que produza decisões com efeitos jurídicos sobre pessoas já está sujeito a esse regime.
PL 2.338/2023: faixas de risco e obrigações por camada
O PL 2.338/2023 adota modelo inspirado no AI Act europeu, classificando sistemas em quatro faixas. A tabela abaixo resume as categorias e as principais obrigações previstas no texto aprovado pela Comissão Temporária do Senado em dezembro de 2024:
| Faixa de risco | Exemplos | Principais obrigações |
|---|---|---|
| Mínimo | Filtros de spam, chatbots de conteúdo neutro | Sem obrigações específicas adicionais |
| Limitado | Chatbots com interação humana | Transparência: informar que é IA |
| Elevado | IA em crédito, saúde, educação, RH, segurança pública | Avaliação de impacto, registro público, responsável interno, auditorias periódicas |
| Inaceitável (excessivo) | Pontuação social generalizada, manipulação subliminar | Uso proibido no Brasil |
O texto ainda prevê a criação de uma autoridade nacional de IA, cuja competência deve ser exercida provisoriamente pela ANPD até que o órgão específico seja estruturado. Isso é relevante porque define quem fiscaliza e aplica sanções, evitando a dispersão de enforcement entre ANPD, CADE, BACEN e outros reguladores setoriais.
Resolução BCB 96/2021: risco de modelos para o setor financeiro
Para fintechs e startups que operam no ecossistema financeiro regulado pelo Banco Central, a Resolução BCB 96/2021 já exige que modelos preditivos e algorítmicos sejam incluídos na estrutura de gerenciamento de risco operacional. Isso significa documentação técnica, validação independente de modelos e rastreabilidade de decisões. Empresas que fornecem IA como serviço (AI-as-a-Service) para bancos e fintechs precisam garantir que seus contratos de fornecimento contemplem essas exigências, pois a responsabilidade regulatória recai sobre o contratante, mas os dados e a documentação técnica pertencem ao fornecedor.
O que founders, CTOs e investidores precisam fazer agora
O sinal emitido pelo Citi ao reforçar apostas no Brasil com revisão de avaliação de risco é lido, no mercado institucional, como endorsement regulatório indireto: o banco percebe que o ambiente normativo brasileiro está se consolidando a ponto de reduzir incerteza para capital de médio e longo prazo. Para startups de IA, isso tem uma implicação direta: due diligence de investidores internacionais passará a incluir compliance de IA como item de checagem, não como diferencial.
Para CTOs e líderes de produto, o impacto mais imediato está na classificação de risco do produto. Um sistema de IA usado em decisões de crédito, triagem de candidatos ou diagnóstico de saúde já se enquadra, pelo texto atual do PL 2.338/2023, na faixa de risco elevado. Isso exige, entre outros pontos:
- Elaboração de Avaliação de Impacto de Sistema de IA (AISIA), equivalente ao RIPD da LGPD, mas com foco em viés algorítmico, discriminação e efeitos sistêmicos.
- Designação formal de um responsável interno por conformidade de IA (pode ser acumulado com o DPO, mas precisa de escopo definido em documento interno).
- Registro do sistema no cadastro público que será mantido pela autoridade competente.
- Documentação técnica suficiente para permitir auditoria independente.
Do ponto de vista contábil, os custos de compliance de IA devem ser provisionados. Empresas que já reportam para investidores estrangeiros ou preparam rodadas Series A em diante precisam classificar esses gastos corretamente: despesas de adequação regulatória em curso são operacionais; investimentos em sistemas de governança de IA com vida útil superior a um ano podem ser capitalizados como ativo intangível, seguindo o CPC 04 (R1), que trata de ativos intangíveis gerados internamente.
Mapear agora em qual faixa de risco do PL 2.338 o seu produto se enquadra é a primeira decisão jurídica relevante de 2026. Esse mapeamento define contratos, due diligence e exposição a sanções.
Lucas Mantovani, sócio da SAFIE (OAB-SP 506.733)
Preparação agora reduz custo e risco de capital
O Brasil está em uma janela de preparação: o PL 2.338/2023 ainda pode ser alterado antes da votação final, mas a estrutura de faixas de risco e obrigações de governança é estável o suficiente para servir de base para decisões de compliance hoje. Empresas que esperarem a promulgação para começar perderão de seis a doze meses de vantagem competitiva em processos de due diligence e licitações públicas que exigirão conformidade como critério de habilitação.
O movimento do Citi é um indicador, não uma garantia. O capital institucional global está atento ao Brasil precisamente porque o país tem a chance de ser referência regulatória em IA para mercados emergentes. Founders e gestores que tratarem compliance de IA como ativo estratégico, e não como custo burocrático, estarão melhor posicionados para capturar esse fluxo de capital quando ele se materializar.