Em maio de 2026, o debate sobre regulação de inteligência artificial no Brasil deixou de ser acadêmico. Com o PL 2.338/2023 avançando no Senado Federal e regulações setoriais do Banco Central, da ANPD e da ANS já produzindo efeitos práticos, empresas de tecnologia enfrentam um novo ambiente de conformidade, com prazos, penalidades e exigências técnicas concretas.
O cenário regulatório brasileiro se inspira no AI Act europeu, aprovado em 2024, mas tem características próprias. A proposta nacional adota uma abordagem baseada em risco, classificando sistemas de IA em categorias que vão do risco mínimo ao risco excessivo, proibido por lei. Cada faixa impõe obrigações diferentes para desenvolvedores, operadores e usuários finais.
Para founders, CTOs e investidores, a questão central não é se a regulação vai acontecer, mas quando e com qual intensidade. Este artigo apresenta o estado atual do marco regulatório, as obrigações jurídicas mais relevantes e os impactos práticos para quem desenvolve ou aplica IA no Brasil.
Contexto jurídico e regulatório
O PL 2.338/2023 e a estrutura de risco
O Projeto de Lei 2.338/2023, de autoria do senador Rodrigo Pacheco, é o principal instrumento em tramitação para regular IA no Brasil. O texto classifica sistemas de IA em quatro níveis: risco mínimo, risco limitado, alto risco e risco excessivo. Sistemas de alto risco incluem aplicações em saúde, educação, crédito, segurança pública e seleção de pessoal.
Para sistemas de alto risco, o projeto exige documentação técnica detalhada, registro em autoridade competente, avaliação de impacto algorítmico e mecanismos de supervisão humana. O descumprimento pode gerar multas de até 2% do faturamento anual da empresa no Brasil, limitadas a R$ 50 milhões por infração, segundo o texto aprovado em comissão especial em dezembro de 2024.
A responsabilidade civil é tratada de forma objetiva para sistemas de alto risco: o fornecedor responde pelos danos causados independentemente de culpa, salvo prova de culpa exclusiva do usuário ou de terceiro. Esse ponto tem impacto direto na estrutura contratual de SaaS, APIs e produtos embarcados de IA.
Normas setoriais já em vigor
Enquanto o PL tramita, normas setoriais já impõem obrigações a empresas de IA. A Resolução BCB nº 4.557/2017, atualizada pela Resolução CMN nº 4.966/2021, exige que instituições financeiras que usam modelos algorítmicos para crédito documentem e expliquem as decisões automatizadas. O Banco Central publicou em 2025 um guia específico sobre governança de IA para o setor.
A ANPD (Autoridade Nacional de Proteção de Dados) enquadra decisões automatizadas que produzem efeitos jurídicos como tratamento de dados pessoais sujeito à LGPD (Lei nº 13.709/2018). O artigo 20 da LGPD garante ao titular o direito de revisão humana de decisões tomadas exclusivamente por algoritmos, o que afeta diretamente produtos de IA usados em RH, saúde e financeiro.
A ANVISA e o CFM publicaram diretrizes sobre IA em dispositivos médicos e diagnóstico clínico. Empresas que desenvolvem soluções de saúde com IA precisam de registro de produto, validação clínica e plano de monitoramento pós-mercado, conforme a RDC nº 657/2022 da ANVISA.
Impacto prático
Para startups de IA em fase de produto, o momento de pensar em conformidade regulatória é o da arquitetura, não o do lançamento. Sistemas classificados como alto risco precisarão de registros, auditorias e documentação que levam meses para estruturar. Deixar para depois significa retrabalho técnico e jurídico caro.
Do ponto de vista contábil, as obrigações regulatórias geram custos que precisam ser provisionados. Auditorias de algoritmos, contratação de DPO (encarregado de proteção de dados), seguros de responsabilidade civil tecnológica e adequações de infraestrutura são despesas reais que afetam o EBITDA e o valuation de empresas em rodadas de captação. Investidores de venture capital e private equity já incluem due diligence regulatória em processos de M&A envolvendo empresas de IA.
CTOs e diretores de tecnologia devem mapear agora quais sistemas da empresa se enquadram em alto risco segundo o PL 2.338/2023. Esse mapeamento orienta decisões de produto, define prioridades de engenharia para explicabilidade e auditabilidade dos modelos, e antecipa os custos de conformidade antes que se tornem obrigações exigíveis.
Considerações finais
O marco regulatório de IA no Brasil está sendo construído em camadas: uma lei geral em tramitação, normas setoriais já vigentes e orientações de autoridades que têm força normativa crescente. Empresas que tratam isso como prioridade estratégica saem na frente, seja em contratos com o setor público, seja em processos de captação com investidores institucionais.
O custo da não conformidade tende a superar o custo da adequação preventiva. Multas, litígios, retrabalho técnico e danos reputacionais são riscos mensuráveis. A recomendação prática é simples: mapeie seus sistemas, classifique-os por nível de risco e construa sua documentação agora, enquanto as regras ainda estão sendo definidas e há margem para influenciar o processo.