Resposta direta: a regulação de IA no Brasil já está em vigor na prática, mesmo sem o marco legal específico aprovado. A Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza o uso de inteligência artificial usando as competências que já tem pela LGPD, e a empresa que trata “esperar a lei” como estratégia de conformidade está adiando um risco que já é presente.
O sinal mais claro veio em julho de 2026, quando a ANPD publicou o primeiro relatório parcial de monitoramento do seu sandbox regulatório de IA — um ambiente controlado em que três empresas testam soluções na interseção entre inteligência artificial e proteção de dados, sob acompanhamento direto da autoridade. Enquanto isso, o Projeto de Lei 2338/2023, que criaria o marco legal da IA, segue em tramitação na Câmara dos Deputados sem data para virar norma.
Para uma empresa de médio porte, a leitura é objetiva: a fiscalização não vai esperar a lei específica. Todo sistema de IA que usa dado pessoal — e quase todos usam — já está dentro do alcance regulatório da ANPD hoje. A pergunta deixou de ser “quando a regulação de IA no Brasil chega” e passou a ser “o que a minha empresa consegue mostrar se for perguntada agora”.
Principais aprendizados
- A regulação de IA no Brasil não depende do PL 2338 para existir: a ANPD já fiscaliza IA através das competências da LGPD, e o sandbox regulatório de julho de 2026 mostra que a autoridade está ativa nesse tema.
- Se o seu sistema de IA usa dado pessoal, ele já está sujeito a fiscalização — base legal, finalidade, transparência e direitos do titular valem para o modelo do mesmo jeito que valem para um cadastro.
- O risco real de curto prazo não é multa por descumprir uma lei que ainda não existe. É não conseguir responder, sob questionamento, qual dado alimenta o modelo, com que base legal e quem decidiu isso.
- Preparar-se agora é mais barato que corrigir depois. O custo de mapear os sistemas de IA em uso e documentar base legal e responsável é de gestão, não de consultoria jurídica cara.
- O marco legal, quando vier, vai formalizar categorias de risco e obrigações. Empresa que já organizou dado, finalidade e dono de cada sistema entra nessa fase adaptando o que tem — não começando do zero.
Por que a regulação de IA no Brasil já vale sem o marco legal?
A maior parte do uso corporativo de inteligência artificial envolve dado pessoal em algum ponto: o histórico do cliente que alimenta um modelo de atendimento, a base de currículos que treina uma triagem de RH, o comportamento de compra que sustenta uma recomendação. No momento em que há dado pessoal, a LGPD se aplica — e a ANPD é a autoridade que fiscaliza a LGPD.
Isso significa que as exigências que a empresa já conhece para qualquer tratamento de dado valem também para o sistema de IA:
- Base legal. Todo tratamento precisa de uma das dez hipóteses da LGPD. Usar o dado do cliente para treinar ou operar um modelo é um tratamento — e precisa de base legal específica, não herdada de outra finalidade.
- Finalidade e minimização. O dado coletado para faturar não pode migrar para um modelo de perfilamento sem nova avaliação. A IA não é exceção à regra de que cada uso do dado precisa ser justificado.
- Transparência. O titular tem direito de saber que está sendo submetido a uma decisão automatizada e de pedir revisão. Um modelo que nega crédito, prioriza atendimento ou classifica clientes precisa ter isso previsto.
- Segurança e registro. A empresa precisa demonstrar quais medidas protegem o dado dentro do fluxo de IA e manter registro das operações de tratamento.
O sandbox da ANPD é a evidência de que a autoridade está construindo repertório técnico sobre IA — não esperando uma lei para começar a olhar. Empresas que participam de um sandbox regulatório recebem acompanhamento e, em troca, expõem suas práticas. O aprendizado que a ANPD acumula ali vira parâmetro de fiscalização para todo o mercado depois.
O que a regulação de IA no Brasil vai cobrar quando o marco legal for aprovado?
O PL 2338/2023, na forma como tramita, organiza os sistemas de IA por nível de risco e associa obrigações a cada nível. Sistemas de risco alto — os que afetam acesso a serviços essenciais, crédito, emprego, ou envolvem grande volume de dado sensível — teriam exigências mais fortes de avaliação de impacto, documentação técnica e supervisão humana. Sistemas de risco baixo teriam obrigações principalmente de transparência.
Nada disso é definitivo até a votação, mas a direção é clara e conversa com o que a Europa já fez. Uma empresa de médio porte não precisa antecipar o texto final. Precisa saber responder três coisas para cada sistema de IA que usa:
- Que decisão esse sistema influencia ou toma? Isso define o nível de risco provável e o grau de atenção que ele exige.
- Que dado ele usa e de onde vem? É a base para avaliar base legal, finalidade e sensibilidade.
- Quem responde por ele? Uma pessoa nomeada, não uma área — quem aprova mudança e quem é acionado se houver questionamento.
Essas três perguntas são as mesmas que sustentam a governança de IA agêntica e o checklist de LGPD antes de contratar um modelo. Não é coincidência: conformidade regulatória e boa governança interna pedem o mesmo trabalho de base. Quem faz por governança já está fazendo por regulação.
Como uma empresa de médio porte se prepara sem área jurídica dedicada?
A preparação não começa com um parecer. Começa com um inventário — o mesmo movimento que resolve metade dos problemas de governança de IA, e que Gillian Pellegrino detalha, na leitura pessoal dela, em governança de IA sem área de compliance.
- Liste os sistemas de IA em uso. Ferramentas contratadas, modelos embarcados em softwares que a empresa já usa, automações internas com IA. A lista costuma ser maior do que a liderança imagina.
- Para cada um, registre dado, finalidade e base legal. Qual dado pessoal entra, para quê, e sob qual hipótese da LGPD. Onde não houver resposta, essa é a lacuna prioritária.
- Marque os de maior exposição. Sistema que decide sobre crédito, emprego, atendimento a cliente vulnerável ou usa dado sensível vem primeiro. É onde a fiscalização — e o dano reputacional — chega antes.
- Nomeie um responsável por cada sistema. Metade do risco regulatório some quando existe uma pessoa que sabe explicar a decisão de usar aquele modelo.
- Documente decisões automatizadas que afetam pessoas. Se um modelo nega, prioriza ou classifica clientes, escreva como o titular é informado e como pede revisão.
Num programa de CX que acompanhei numa operadora de telecom, a régua do regulador setorial já estava presente muito antes de qualquer modelo de IA entrar em cena. O que mudou com a IA não foi a existência da fiscalização — foi que o dado que alimenta o modelo passou a fazer parte da mesma régua. A empresa que já tinha o hábito de documentar decisão e responsável adaptou o processo em semanas. A que tratava conformidade como evento anual levou meses e contratou fora.
E o que fazer com os sistemas que já rodam sem essa documentação?
É a situação mais comum, e não exige desligar nada. Exige tratar o passivo com método: priorizar pelos sistemas de maior exposição, fechar dado, finalidade, base legal e responsável para cada um, e registrar o que foi decidido. Um sistema de IA com dado pessoal e sem base legal documentada não é um problema porque a lei específica ainda não passou — é um problema porque a LGPD já passou, em 2018, e está em vigor.
A empresa que faz esse trabalho agora não está se antecipando a uma regra futura. Está se colocando em dia com a regra que já existe — e, de quebra, chega pronta para a que vem.
Perguntas frequentes
Existe uma lei de IA em vigor no Brasil hoje?
Não existe um marco legal específico de inteligência artificial aprovado — o PL 2338/2023 ainda tramita na Câmara. Mas a regulação de IA no Brasil já acontece por outra via: a ANPD fiscaliza o uso de IA que envolve dado pessoal com base nas competências da LGPD, que está em vigor desde 2018. Na prática, sistemas de IA já são regulados.
O que é o sandbox regulatório de IA da ANPD?
É um ambiente de testes controlado em que um número limitado de empresas — três, no ciclo atual — desenvolve soluções de IA na interseção com proteção de dados sob acompanhamento direto da autoridade. A ANPD divulgou o primeiro relatório parcial de monitoramento em julho de 2026. O objetivo é a autoridade construir entendimento técnico sobre IA, que depois vira parâmetro de fiscalização para o mercado.
Minha empresa precisa de advogado especializado para se adequar?
Não para começar. O primeiro passo é um inventário: listar os sistemas de IA em uso e registrar, para cada um, qual dado pessoal usa, com que finalidade, sob qual base legal e quem responde por ele. Esse trabalho é de gestão. Apoio jurídico especializado ajuda depois, para avaliar casos de risco alto e acompanhar a evolução do marco legal — não para o mapeamento inicial.
Se o marco legal ainda pode mudar, por que me preparar agora?
Porque o risco de curto prazo não vem do marco legal — vem da LGPD, que já está valendo. E porque a preparação útil é a mesma nos dois cenários: saber que dado cada sistema usa, para quê e quem responde. Empresa que organiza isso agora se adapta ao marco legal quando ele vier; empresa que espera começa do zero sob prazo.
A HAIA ajuda empresas de médio porte a mapear os sistemas de IA em uso e documentar dado, finalidade, base legal e responsável — o trabalho de base que atende à LGPD hoje e ao marco legal quando ele for aprovado. Fale com a HAIA para um diagnóstico do que já está rodando e do que precisa de registro.
