Resposta direta: nada que dependa da aprovação do Marco Legal da IA (PL 2338) precisa esperar. Enquanto o projeto segue parado na Câmara dos Deputados, a Autoridade Nacional de Proteção de Dados (ANPD) já colocou em teste um sandbox regulatório de IA — com empresas reais, dados reais e achados preliminares sobre governança, segurança e uso de dados sintéticos. A regulação de IA no Brasil ainda vai decidir o texto final da lei. O que decide se a sua empresa está pronta para ela não é esse texto — é ter, hoje, um processo de governança que já responderia às mesmas perguntas que o sandbox está fazendo.
O intervalo entre “a lei ainda não saiu” e “minha empresa ainda não precisa decidir nada sobre isso” é onde a maioria das empresas de médio porte fica presa. Esse intervalo é uma escolha, não uma obrigação. Este texto mostra por que o sandbox da ANPD já é um sinal mais confiável do que vem por aí do que o calendário do Congresso, o que o ritmo de mercado — com fornecedores de IA captando e crescendo rápido — revela sobre o custo de esperar, e o que aplicar agora, sem depender de nenhuma lei sancionada.
Principais aprendizados
- A ausência de lei aprovada não suspende a responsabilidade da empresa sobre como usa dado pessoal em IA — a LGPD já se aplica hoje, com ou sem Marco Legal específico.
- O sandbox regulatório da ANPD é um preview público do que a fiscalização brasileira vai cobrar depois — acompanhar os achados preliminares custa menos do que reagir a uma exigência futura sem preparo.
- A regulação anda mais devagar que o mercado: o crescimento acelerado de fornecedores de IA para médias empresas mostra que a pressão competitiva chega antes da certeza jurídica, e vai continuar chegando assim.
- Documentar decisão de governança — que dado, sob qual base legal, quem responde pelo resultado — é mais defensável hoje do que qualquer certificação formal futura.
- Uma empresa de médio porte não precisa de comitê jurídico dedicado para começar: precisa de um diagnóstico de ecossistema e um responsável nomeado por resultado em cada agente de IA em produção.
Por que o sandbox regulatório da ANPD importa mais do que o adiamento do PL 2338?
Porque é a evidência mais concreta disponível hoje sobre o que a fiscalização brasileira vai exigir de qualquer empresa que use IA sobre dado pessoal — antes mesmo de existir lei específica sancionada. Em agosto de 2026, a ANPD reuniu setor público, setor privado, academia e sociedade civil para debater o piloto e confirmou três empresas selecionadas em fase de testes monitorados até o fim do ano, produzindo achados preliminares sobre governança, segurança da informação e uso de dados sintéticos como alternativa a dado real sensível.
Isso não é evento simbólico. É um preview gratuito e público do critério que vai orientar decisão regulatória e, provavelmente, fiscalização — antes de qualquer artigo de lei entrar em vigor. Uma empresa que acompanha esse sandbox sabe, com meses de antecedência, que tipo de documentação, controle e rastreabilidade vai ser cobrado. Uma empresa que só olha o andamento do PL 2338 na Câmara está monitorando o indicador errado: a lei formaliza o critério, não o cria — o critério já está sendo testado.
Na prática, isso muda a pergunta que uma diretoria deveria fazer. Não é “quando a lei de IA sai”. É: “se um regulador pedisse hoje para ver como decidimos onde e como cada agente de IA acessa dado pessoal, o que teríamos para mostrar?”
O que a corrida de investimento em IA revela sobre o custo de esperar a lei?
Que o mercado se move mais rápido do que qualquer calendário legislativo — e que esperar tem custo competitivo, não só custo regulatório. Uma startup brasileira de agentes de IA para empresas de médio e grande porte cresceu 900% em receita em um ano, captou uma rodada de R$ 14,5 milhões liderada por fundos de venture capital e usou parte do aporte para adquirir uma plataforma de centralização de dados de marketing e vendas — não para contratar mais gente. A meta declarada é sair de cerca de 100 para mais de 500 clientes ainda em 2026. Somando isso aos aportes em negócios de IA na América Latina, que saltaram para mais de US$ 1,5 bilhão só no segundo trimestre do ano — alta expressiva sobre o trimestre anterior —, o quadro é claro: capital e fornecedores de IA para o médio mercado brasileiro estão crescendo em ritmo de meses, não de ciclos legislativos.
Isso significa duas coisas para quem decide dentro de uma empresa de médio porte. Primeiro, que a pressão para adotar IA — vinda de concorrentes, de fornecedores e do próprio mercado — chega antes da certeza jurídica, e vai continuar chegando assim. Segundo, que o diferencial competitivo não vai ser “quem tinha o modelo mais avançado”, porque isso qualquer fornecedor bem financiado oferece. Vai ser quem já tinha processo de governança maduro quando a decisão de contratar precisou ser tomada rápido — e não precisou parar para construir isso do zero sob pressão.
O que uma empresa de médio porte aplica agora, sem esperar a lei sair?
Três perguntas de governança que já podem — e deveriam — ter resposta documentada hoje, independentemente do texto final do Marco Legal:
- Que dado cada agente de IA em produção usa ou expõe, e sob qual base legal da LGPD? Não é suficiente saber que a ferramenta “roda com IA” — é preciso saber exatamente qual dado ela lê, grava ou envia a terceiros.
- Quem no negócio responde pelo resultado quando o agente erra? Não quem aprovou a compra da ferramenta — quem responde, na prática, quando uma decisão automatizada afeta um cliente ou uma obrigação regulatória.
- Existe documentação que sobreviveria a uma auditoria hoje, sem precisar ser reconstruída depois? Se a resposta é “teríamos que levantar isso”, a lacuna já existe — com ou sem lei aprovada.
Um exemplo real, anonimizado, do padrão: uma empresa de tecnologia B2B de médio porte, participante do programa AMPLIFICA da HAIA, estruturou o portfólio inteiro de cibersegurança em oito semanas — contra uma estimativa tradicional de nove a doze meses para o mesmo escopo. O que permitiu esse ritmo não foi pular etapa de governança; foi inverter a ordem: um diagnóstico de ecossistema e regras de dado logo no início, antes de qualquer construção, evitou retrabalho depois. Os resultados refletem o contexto, a maturidade e os processos dessa organização específica — não constituem promessa de resultado equivalente em outros ambientes.
O mesmo raciocínio explica por que a maioria das empresas brasileiras não consegue levar seus pilotos de IA para produção: quem trata o piloto como exercício de governança — dado mapeado, responsável nomeado, critério de auditoria desde o início — chega mais longe do que quem trata como exercício de tecnologia. É exatamente o que o sandbox da ANPD está testando com as empresas selecionadas: não a tecnologia em si, mas a capacidade de documentar e responder pelo que a tecnologia faz.
Na prática, o próximo passo não depende do Congresso: é mapear, ainda esta semana, quais agentes de IA já estão em produção na empresa e se cada um tem resposta pronta para as três perguntas acima. Quem chega no dia em que a lei sai com esse mapeamento pronto larga na frente — não porque acertou o texto da lei, mas porque já tinha o hábito de governar antes de precisar provar.
Perguntas frequentes
Não, o projeto segue parado na Câmara dos Deputados, sem previsão de votação. Enquanto isso, a ANPD avança em paralelo com um piloto de sandbox regulatório, testando critérios de governança e segurança com empresas reais — um caminho prático que já produz referência antes mesmo de qualquer lei específica ser sancionada.
É um programa piloto da Autoridade Nacional de Proteção de Dados que testa, com empresas reais selecionadas, critérios de governança, segurança da informação e uso de dados sintéticos em projetos de IA. As participantes seguem em fase de testes monitorados até o fim de 2026, produzindo achados preliminares que devem orientar decisões regulatórias futuras.
Sim. A LGPD já se aplica a qualquer tratamento de dado pessoal, inclusive por sistemas de IA, independentemente da aprovação de uma lei específica sobre inteligência artificial. Esperar o Marco Legal para tratar governança de dado em projetos de IA significa operar hoje sob um risco que já existe, só ainda não está nomeado.
Pelo diagnóstico do que já está em produção: que dado cada agente de IA acessa, sob qual base legal, e quem responde pelo resultado. Esse mapeamento, feito antes de qualquer construção nova, é o mesmo ponto de partida usado por empresas que reduziram de meses para semanas o tempo de estruturar a governança de um novo processo.
