Marco Legal da IA (PL 2338): o que muda pra sua empresa quando a lei passar

O PL 2338, o Marco Legal da IA, foi aprovado no Senado em dezembro de 2024 e está parado na Câmara dos Deputados, com votação esperada em 2026. Quando virar lei, toda empresa que usa IA (inclusive chatbot de WhatsApp e automação de atendimento) vai precisar saber em qual faixa de risco seu uso se encaixa e cumprir obrigação proporcional a esse risco. Esse texto explica o que já dá pra preparar antes da sanção, sem esperar o prazo estourar.

O que é o PL 2338 e em que fase está a tramitação em 2026?

O PL 2338/2023 nasceu de um anteprojeto escrito por uma comissão de juristas convocada pelo Senado em 2022, relatado pelo senador Rodrigo Pacheco. O plenário do Senado aprovou o texto em dezembro de 2024, e o projeto seguiu pra Câmara dos Deputados, onde tramita desde então com grupo de trabalho próprio revisando pontos do texto.

Até a publicação deste texto, não tem votação em plenário confirmada na Câmara. A expectativa do setor é de pauta ainda em 2026, mas isso é estimativa, não data marcada. Pra quem tem empresa, o texto já aprovado numa das duas casas mostra o desenho que provavelmente vai virar lei. Esperar a sanção pra começar a se adequar deixa pouco tempo de sobra, igual aconteceu com muita empresa na virada da LGPD.

Como o Marco Legal da IA classifica os sistemas por nível de risco?

O modelo do PL 2338 segue a mesma lógica da AI Act, a lei de IA da União Europeia: separar sistema por risco, não tratar toda IA do mesmo jeito. São três faixas:

• Risco excessivo: proibido por completo. Entra aqui sistema de pontuação social usado por governo pra restringir direito de cidadão, manipulação que anula a capacidade de decisão da pessoa causando dano, e exploração de vulnerabilidade de criança, idoso ou pessoa com deficiência.
• Alto risco: permitido, mas com obrigação reforçada. Entra aqui IA usada em recrutamento e seleção de emprego, concessão de crédito, saúde, educação, segurança pública, sistemas de biometria e decisão em processo judicial. Pra esses, o texto exige avaliação de impacto algorítmico, supervisão humana e documentação de como o sistema decide.
• Os demais usos: a maioria dos chatbots, automações de venda e ferramentas de produtividade cai aqui. Não tem obrigação reforçada, mas segue regra geral de transparência: avisar que é IA, permitir contestação de decisão automatizada relevante.

Não acho que faz sentido tratar um sistema que aprova crédito sozinho igual a um bot que responde horário de funcionamento. Pq o risco de dano é diferente, e a lei separa isso de propósito.

Chatbot de atendimento no WhatsApp entra em qual categoria de risco?

Na prática, a maioria dos chatbots comerciais de PME (venda, suporte, agendamento) não entra na faixa de alto risco. Eles caem no grupo geral, sujeito às obrigações básicas de transparência que já valem, no fundo, desde a LGPD e o Código de Defesa do Consumidor: informar que é IA quando o cliente pergunta, e não fingir ser humano.

O que muda a categoria é a função que o bot exerce, não o canal onde ele roda. Imagine uma fintech (exemplo hipotético) que usa um bot pra pré-aprovar limite de crédito no WhatsApp sem revisão humana: aí sim o sistema entra na faixa de alto risco, porque a decisão afeta o patrimônio da pessoa. O mesmo bot, se só qualifica o lead e passa pra um humano fechar o crédito, continua no grupo geral.

A régua é simples: se o bot decide sozinho algo que mexe em dinheiro, emprego, saúde ou acesso a um direito, ele provavelmente é alto risco. Se ele só informa, agenda ou faz triagem, segue na faixa geral.

Quais obrigações a lei cria pra quem já usa IA na empresa?

Mesmo fora da faixa de alto risco, o texto aprovado no Senado prevê obrigações gerais que valem pra qualquer sistema de IA usado por empresa:

• Transparência: o usuário tem direito de saber que está interagindo com IA, principalmente quando pergunta direto.
• Explicabilidade: se uma decisão automatizada afeta a pessoa de forma relevante, ela tem direito a uma explicação em linguagem simples de como o sistema chegou naquele resultado.
• Contestação e revisão humana: a pessoa pode pedir revisão de uma decisão automatizada que considere injusta.
• Não discriminação: o sistema não pode gerar resultado discriminatório baseado em raça, gênero, origem ou outro critério protegido.

Isso conversa direto com o que a gente já cobriu sobre governança de agente: dono nomeado, escopo por escrito e revisão de amostra já deixam a empresa perto do que a lei vai cobrar. Parte da transparência já é prática recomendada sob a LGPD, como no guia de LGPD pra atendimento com IA.

Quais multas o PL 2338 prevê pra quem descumprir?

O texto aprovado no Senado segue o mesmo desenho de fiscalização da LGPD, em escala: advertência com prazo pra corrigir, publicização da infração e, só em caso de reincidência ou gravidade, multa. O teto acompanha o mesmo modelo da LGPD, até 2% do faturamento do grupo econômico no Brasil, limitado a cinquenta milhões de reais por infração (teto do próprio texto legal).

A fiscalização deve ficar sob um sistema de regulação de IA com participação da ANPD e de reguladores setoriais (Banco Central pra crédito, ANS pra saúde). Isso ainda pode mudar na Câmara, então vale acompanhar antes de fechar processo interno num detalhe que o texto final pode ajustar.

O que uma PME deve preparar antes da sanção da lei?

Nenhum desses passos depende da lei já estar em vigor. Todos ajudam a empresa a chegar mais preparada, e boa parte já é prática recomendada hoje:

• Mapear onde a empresa já usa IA: chatbot, automação de qualificação de lead, ferramenta de triagem de currículo, sistema de crédito ou cobrança.
• Classificar internamente cada uso: algum deles decide sozinho sobre crédito, emprego, saúde ou outro direito relevante? Se sim, provavelmente vai virar alto risco.
• Garantir transparência básica: o bot assume que é IA quando perguntado, sem fingir ser humano.
• Documentar o processo de decisão automatizada: mesmo que simples, ter por escrito o que o sistema decide e o que passa pra humano.
• Nomear um responsável pelo agente, com autoridade pra aprovar mudança de escopo e revisar amostra de conversas.
• Acompanhar a tramitação na Câmara, porque o texto final pode mudar prazo de adequação e faixa de risco em relação ao que foi aprovado no Senado.

Sendo bem sincero, a maior parte das empresas que usa IA hoje já deveria fazer esse mapeamento independente da lei passar ou não. É o tipo de organização que evita dor de cabeça mesmo sem obrigação legal.

O Marco Legal da IA substitui a LGPD?

Não. São leis complementares, cada uma regulando uma coisa diferente. A LGPD regula o tratamento de dado pessoal, não importa a tecnologia usada. O PL 2338 regula o sistema de IA em si e a decisão que ele toma, mesmo quando não tem dado pessoal envolvido.

Exemplo pra separar os dois: um sistema de precificação dinâmica que ajusta preço com base em oferta e demanda, sem processar nome nem CPF de ninguém, não aciona a LGPD porque não trata dado pessoal. Mas se esse sistema for considerado de alto risco, ele entra no Marco Legal da IA do mesmo jeito. Empresa em conformidade com a LGPD larga na frente, mas não fica automaticamente em conformidade com a nova lei.

FAQ

Preciso me adequar ao PL 2338 antes mesmo dele ser sancionado? Não tem obrigação legal antes da sanção, mas faz sentido estratégico começar agora. O texto aprovado no Senado já mostra o desenho provável da lei final. Mapear onde a empresa usa IA, documentar decisão automatizada e nomear um responsável são passos que não dependem de nenhuma lei específica pra valer a pena. Esperar a sanção costuma deixar pouco tempo pro prazo de adequação que a lei definir.

Meu chatbot de WhatsApp é considerado alto risco pela lei? Na maioria dos casos, não. Chatbot de venda, suporte e agendamento cai na faixa geral, sujeita só à obrigação de transparência (avisar que é IA quando perguntado). Ele só sobe pra alto risco se decidir sozinho, sem revisão humana, algo que mexe em crédito, emprego, saúde ou outro direito relevante da pessoa. O canal não define o risco, a função do sistema define.

Quem vai fiscalizar o cumprimento do Marco Legal da IA? O desenho do texto aprovado no Senado prevê um sistema de regulação com participação da ANPD e de reguladores setoriais, cada um cuidando do uso de IA dentro da própria área (Banco Central pra crédito, ANS pra saúde, por exemplo). Esse ponto ainda pode mudar na Câmara dos Deputados, então vale acompanhar a tramitação antes de assumir que vai ficar exatamente assim na versão final.

O que muda pra quem já está em conformidade com a LGPD? Bastante coisa já fica resolvida, principalmente em transparência e documentação de processo. Mas a LGPD só cobre dado pessoal, e o Marco Legal da IA cobre o sistema de IA e a decisão dele, mesmo sem dado pessoal envolvido. Empresa em conformidade com a LGPD larga na frente, mas ainda precisa mapear se algum uso de IA entra na faixa de alto risco.

Existe prazo de adequação depois que a lei for sancionada? O texto ainda está em tramitação, e prazo de adequação costuma ser um dos pontos ajustados até a votação final, então não dá pra cravar um número agora. O que costuma acontecer em lei desse porte, e a LGPD teve isso, é um período de transição depois da sanção, maior pra sistema de alto risco. Acompanhar a tramitação é a única forma de saber o prazo real quando ele for definido.

O que acontece se a Câmara não votar em 2026? O projeto continua tramitando, sem prazo legal que force votação numa data específica. Já aconteceu com outros projetos relevantes no Congresso, incluindo a própria LGPD, que levou anos entre proposta e sanção. Pra empresa, isso não muda a recomendação prática: usar o tempo de tramitação pra mapear uso de IA, em vez de esperar a lei virar obrigação pra só então agir.

O Marco Legal da IA ainda não é lei, mas o desenho já está bem definido depois da aprovação no Senado. Mapeia onde a IA já decide algo na sua empresa, confere se algum uso se aproxima de alto risco, e deixa a transparência com o cliente resolvida antes de qualquer prazo virar obrigação.