← Arquivo / regulação
Nº 016 · regulação
Regulação de IA no Brasil: o que já te afeta e o que ainda vem pra te pegar
O Marco Legal da IA tá parado no Congresso mas a LGPD já cobra. Multas de até R$ 50 milhões. O que sua startup precisa fazer hoje pra não ser surpreendida amanhã.
Neste dossiê
Tem fundador que acha que regulação de IA é problema de empresa grande. Acha que enquanto o PL 2338 não é aprovado, pode usar IA do jeito que quiser sem se preocupar. Isso é a melhor forma de acordar com uma notificação da ANPD na caixa de entrada.
A verdade é que parte da regulação já está em vigor. A LGPD existe desde 2020 e o artigo 20 dele é claro: decisões automatizadas que afetam pessoas precisam ser explicáveis. Se seu app usa IA pra aprovar crédito, filtrar currículos, recomendar produtos ou qualquer coisa que muda a vida de alguém, você já tem obrigação. Não precisa do Marco Legal da IA pra ser multado. A LGPD já resolve isso.
O que já está valendo
A LGPD não é um detalhe jurídico que você resolve depois. Ela é a base de tudo quando se usa IA com dados pessoais no Brasil. O artigo 20 diz que toda decisão automatizada que impacta uma pessoa tem que ser reveleada, explicada e contestável. Se o seu sistema recusa um crédito, reprova um candidato, ou sugere um produto baseado em perfilamento, a pessoa tem o direito de saber por quê. E você tem que ter como explicar.
Além disso, a ANPD (Agência Nacional de Proteção de Dados) tá ativa desde 2023 e em 2026 ganhou mais dente. Ela já aplica multas, já notificou empresas, e não precisa esperar o Marco Legal da IA aprovado pra agir. A multa por descumprir a LGPD pode chegar a R$ 50 milhões por infração ou 2% do faturamento da empresa, o que for menor. Pra uma startup early stage, isso é mortal.
O que ainda vem
O PL 2338/2023 é o Marco Legal da IA no Brasil. Foi aprovado pelo Senado em 2024 e tá parado na Câmara desde então. A votação foi empurrada pra 2026 e gera preocupação no setor de tecnologia porque o texto original é inspirado no AI Act europeu, que classifica sistemas de IA por nível de risco.
O que isso significa na prática: se o PL passar como está, sua startup vai precisar classificar o nível de risco do seu sistema de IA. Risco alto (saúde, crédito, Justiça, biometria) vai exigir auditoria, documentação, transparência e gestão de risco formalizada. Risco baixo tem menos exigência mas não tá livre de obrigação.
O placar atual é empurrado pela Câmara e setores do governo. A tendência é que venha uma versão mais branda que o texto original do Senado, mas ainda assim vai criar obrigações novas. A pergunta não é se vem, é quando e quão dura.
O que fazer agora
Se você tem startup que usa IA, três coisas pra colocar na cabeça ainda esta semana.
Primeira: mapeie onde sua IA toca dados pessoais. Se você coleta, processa ou decide automaticamente com base em dados de pessoas físicas, isso é LGPD. Tenha isso documentado, não na cabeça.
Segunda: garanta que decisões automatizadas são explicáveis. Se o seu sistema reprova alguém, recomenda algo, ou ranqueia de alguma forma que afeta a pessoa, tem que ter um jeito de explicar o porquê. Não precisa ser perfeito, precisa existir.
Terceira: acompanhe o PL 2338. Quando ele avançar, as empresas que já tinham compliance de IA vão estar à frente. As que não tinham vão correr atrás posti-feito e isso custa caro. O custo de se adaptar antes é uma fração do custo de se adaptar depois de multado.
Regulação não é inimiga da inovação. É o custo de confiança. E confiança, no fim das contas, é o que faz cliente usar seu produto.