O Marco Legal da IA (PL 2.338/2023) foi aprovado pelo Senado há mais de um ano e continua sem data confirmada para votação em plenário na Câmara dos Deputados. Para quem decide orçamento de tecnologia numa empresa de médio porte, a conclusão prática não é esperar a lei sair: é tratar agora, por decisão própria, os mesmos riscos que o projeto já formaliza — porque a LGPD, essa sim em vigor, já cobre a maior parte deles.
Essa distinção importa porque a indefinição regulatória virou, na prática, desculpa para não decidir. Enquanto isso, um levantamento recente com 583 empresas brasileiras (Universo TOTVS 2026) mostra que 80% já testam ou usam IA de alguma forma, mas 93% não a integraram de fato à estratégia do negócio — e 88% não medem o retorno financeiro que ela gera. Esse gap de governança já existe, com ou sem o PL 2.338 aprovado. A pergunta certa não é “quando a lei sai”, é “o que já deveria estar sendo controlado”.
Principais aprendizados
- A LGPD já se aplica a qualquer uso de IA que processe dado pessoal — a aprovação do Marco Legal da IA não cria uma lacuna legal que hoje não exista.
- O PL 2.338/2023 propõe abordagem baseada em risco e multas de até R$ 50 milhões por infração; empresas que já classificam seus casos de uso por nível de risco chegam à lei nova sem precisar refazer esse trabalho.
- 93% das empresas que testam IA no Brasil ainda não a integraram à estratégia do negócio, e 88% não medem retorno — governança fraca, não ausência de lei, é o gargalo real hoje.
- Esperar o Marco Legal da IA para estruturar governança custa mais do que estruturar agora com o que a LGPD já exige, e ajustar depois.
- Nenhuma lei substitui dono nomeado para cada caso de uso, critério de risco documentado e métrica de valor acompanhada desde o piloto.
O que a empresa precisa controlar hoje, independente do Marco Legal da IA sair ou não?
O que já é exigível: qualquer sistema de IA que processe dado pessoal — nome, CPF, histórico de crédito, prontuário, currículo — está sob a LGPD agora, não a partir de uma lei futura. Isso inclui base legal definida para o tratamento, minimização de dado coletado, e o direito do titular a solicitar revisão de decisão tomada de forma automatizada que o afete. Na prática, isso significa três coisas que a gente recomenda fazer antes de qualquer discussão sobre o Marco Legal da IA: mapear onde a IA toca dado pessoal, documentar por que aquele dado é necessário para aquela decisão, e garantir que exista um caminho humano de revisão quando o resultado afeta uma pessoa concreta — crédito negado, currículo descartado, atendimento escalado.
O erro mais comum nessa fase não é falta de conhecimento jurídico, é tratar governança como projeto formal grande, quando o ponto de partida é simples: listar os casos de uso de IA que já estão em produção, e para cada um perguntar quem é o responsável de negócio e que dado pessoal está envolvido. Empresas de médio porte que adiam essa lista até “a lei sair” não ganham tempo — perdem visibilidade sobre o próprio risco atual.
Como classificar os casos de uso de IA por risco antes que a lei exija isso?
O critério prático combina dois eixos: impacto sobre pessoas e frequência de uso. O texto do PL 2.338/2023 já segue essa lógica — abordagem baseada em risco, com obrigações mais pesadas para usos que afetam diretamente decisões sobre crédito, emprego, saúde ou segurança de pessoas. Uma empresa de médio porte pode aplicar o mesmo raciocínio sem esperar a redação final: separar os casos de uso em três grupos — IA que decide ou recomenda algo sobre uma pessoa específica (alto risco), IA que apoia um processo interno sem afetar diretamente um indivíduo externo (risco moderado) e IA de produtividade sem dado sensível envolvido (baixo risco). Como já mostramos ao comparar a governança de IA nos bancos brasileiros com o que uma empresa de médio porte consegue replicar sem comitê caro, o princípio de classificar por risco não exige estrutura grande — exige critério claro e dono nomeado para cada caso de uso.
Em uma operação de serviços financeiros de médio porte, por exemplo, aplicamos essa lógica dentro do programa AMPLIFICA: o próprio time de crédito e risco construiu automações para análise de documentação e consultas de crédito, com controles desenhados a partir do nível de risco de cada decisão — não de forma genérica. O resultado foi escala maior sem aumento proporcional de equipe, redução de consultas de crédito desnecessárias e monitoramento contínuo de SLAs regulatórios; o próprio programa registrou 106 avaliações internas, com predominância de nota máxima. Os resultados refletem o contexto, a maturidade e os processos daquela organização específica — não constituem promessa de resultado equivalente em outro ambiente. Mas o padrão de trabalho é replicável: mapear primeiro onde a IA toca decisão sobre dinheiro ou risco de cliente, documentar o critério usado, e só depois acelerar.
Vale esperar o Marco Legal da IA para estruturar a governança de IA?
Não, e os números de hoje mostram por quê: 86% das empresas que já testam ou usam IA não calculam o custo dessa operação, e 88% não medem o retorno financeiro que ela produz. Esse é um problema de disciplina de gestão, não de ausência de lei — e vai continuar existindo no dia seguinte à votação do Marco Legal da IA, se a empresa não tiver resolvido antes. Esperar a redação final para só então estruturar critério de risco, dono e métrica significa adiar um trabalho que já deveria estar em andamento, e correr o risco de ter que fazer tudo de uma vez, sob pressão de prazo legal, quando a lei finalmente avançar na Câmara.
A recomendação prática para quem decide orçamento é inverter a lógica: tratar o eventual Marco Legal da IA como uma checagem de conformidade sobre uma estrutura que já deveria existir, não como o gatilho que cria essa estrutura. Isso significa, nos próximos meses, nomear responsável por cada caso de uso de IA em produção, classificar por risco usando o mesmo critério que o próprio PL 2.338/2023 propõe, e acompanhar custo e retorno de cada iniciativa desde o piloto — exatamente o que 88% das empresas brasileiras ainda não fazem.
Perguntas frequentes
O Marco Legal da IA já está em vigor no Brasil?
Não, o PL 2.338/2023 foi aprovado pelo Senado há mais de um ano, mas ainda não foi votado em plenário pela Câmara dos Deputados, e por isso não está em vigor. Enquanto isso, a LGPD já se aplica a qualquer uso de IA que processe dado pessoal, e a ANPD defende publicamente a aprovação rápida do novo marco — o que reforça que esperar a lei não suspende a obrigação de controlar dado pessoal hoje.
Que riscos de IA minha empresa já precisa controlar, mesmo sem o Marco Legal da IA aprovado?
Todo uso de IA que processa dado pessoal já está sujeito à LGPD, incluindo a obrigação de ter base legal para o tratamento e de garantir revisão humana de decisão automatizada que afete uma pessoa. Isso cobre a maioria dos casos de uso corporativos — crédito, recrutamento, atendimento, saúde — e deve ser tratado como prioridade independente do andamento do projeto de lei no Congresso.
Quais multas o Marco Legal da IA propõe?
O texto em tramitação hoje prevê multas de até R$ 50 milhões por infração, dentro de uma abordagem baseada em risco que distingue usos de IA pelo nível de impacto sobre pessoas. O valor final e os critérios de aplicação ainda podem mudar até a votação em plenário, mas o princípio de graduar a penalidade pelo risco do caso de uso já é um sinal confiável de como classificar prioridades hoje.
Como preparar minha empresa antes do Marco Legal da IA ser aprovado?
O primeiro passo é classificar os casos de uso de IA já em produção por nível de risco sobre pessoas, nomear um responsável de negócio para cada um e acompanhar custo e retorno desde o piloto. Essa é exatamente a estrutura que o projeto de lei formaliza — adiantar esse trabalho evita ter que reconstruir tudo sob pressão de prazo quando a votação finalmente avançar.
