PL 2.338: o que muda para as empresas quando a lei de IA for aprovada

TL;DR — O PL 2.338/2023, o marco legal da inteligência artificial no Brasil, foi aprovado pelo Senado em dezembro de 2024 e aguarda parecer do relator na Comissão Especial da Câmara. Nenhuma obrigação dele é exigível hoje. Quando aprovado, o texto adota abordagem baseada em risco: sistemas de risco excessivo são vetados, sistemas de alto risco ganham obrigações de governança, avaliação de impacto e transparência, e os demais seguem regime leve. Empresas que já operam inventário de IA, classificação de risco e governança documentada chegarão à lei com a estrutura pronta.

Toda semana um executivo pergunta se a “lei de IA” já vale. Não vale. E essa precisão importa: tratar o PL 2.338 como lei em vigor gera gasto errado, e tratá-lo como assunto distante gera atraso. A posição correta é a terceira via: entender o que o texto exige, mapear o que a empresa já tem e construir agora a estrutura que a lei vai pedir.

Este artigo resume onde está a tramitação, o que o texto estabelece, quais obrigações recaem sobre empresas e o que fazer antes da aprovação.

Onde está a tramitação do PL 2.338 hoje?

O PL 2.338/2023 foi apresentado no Senado, relatado pela Comissão Temporária Interna sobre Inteligência Artificial e aprovado pelo plenário do Senado em dezembro de 2024. Em março de 2025, foi remetido à Câmara dos Deputados, onde aguarda parecer do relator na Comissão Especial criada para analisá-lo.

O texto ainda pode mudar. A Câmara pode alterar dispositivos, e nesse caso o projeto retorna ao Senado. Depois da aprovação final, há sanção presidencial e, normalmente, um prazo de vacatio legis, o intervalo entre a publicação e a entrada em vigor, que nos textos em discussão tem sido pensado em meses, não dias.

A conclusão prática: há tempo para se preparar, mas o conteúdo da preparação já é conhecido, porque a arquitetura do texto, baseada em risco, é estável há várias versões.

O que o PL 2.338 estabelece?

O projeto organiza a regulação de IA no Brasil em torno de quatro pilares: direitos dos afetados, classificação de risco dos sistemas, obrigações dos agentes da cadeia e governança pública, com autoridade competente e sandbox regulatório.

Do lado dos direitos, o texto garante às pessoas afetadas por sistemas de IA informação sobre a interação, explicação de decisões relevantes e possibilidade de contestação e revisão humana, em diálogo direto com o artigo 20 da LGPD.

Do lado da governança, o projeto prevê coordenação nacional, participação de órgãos setoriais e mecanismos de supervisão. Para a empresa, o ponto central não é quem fiscaliza, e sim o que precisa existir dentro de casa quando a fiscalização chegar: inventário, avaliação de impacto, documentação e responsáveis nomeados.

Como funciona a classificação de risco?

O núcleo do PL 2.338 é a classificação dos sistemas de IA por nível de risco, inspirada no AI Act europeu. A lógica é proporcional: sistemas de baixo impacto seguem regime leve, e sistemas que afetam direitos fundamentais ou decisões críticas recebem obrigações pesadas.

A pergunta que a empresa precisa responder para cada sistema é: “esse sistema influencia decisão que afeta a vida de alguém?” Se sim, provavelmente estará na faixa de alto risco, com obrigações de documentação, avaliação de impacto prévia, registro de funcionamento, supervisão humana e informação aos afetados.

Quais obrigações caem sobre as empresas?

Para sistemas de alto risco, o texto em tramitação exige um pacote de governança que se resume nos pontos abaixo.

1. Avaliação de impacto algorítmico prévia, documentada, antes da implantação e revisada periodicamente.
2. Governança interna, com papéis e responsabilidades definidos, processos de gestão de risco e registro de decisões.
3. Documentação técnica e registros de operação, que permitam reconstruir o comportamento do sistema.
4. Transparência com os afetados, incluindo informação sobre o uso de IA e explicação de decisões relevantes.
5. Supervisão humana proporcional ao risco, com capacidade real de intervenção.
6. Gestão de incidentes, com comunicação à autoridade e aos afetados em casos graves.
7. Testes e monitoramento contínuos, incluindo avaliação de viés e de desempenho.

Note que nenhum desses itens é exotérico. É o mesmo repertório de quem já opera LGPD com seriedade ou um sistema de gestão como a ISO/IEC 42001. A lei não inventa governança; ela a torna obrigatória para quem opera sistemas de alto risco.

O que muda para quem usa IA de terceiros?

O projeto distribui obrigações pela cadeia: desenvolvedor, fornecedor, operador e usuário profissional têm papéis distintos. Para a empresa que compra IA pronta, o ponto crítico é que usar sistema de terceiro não elimina responsabilidade.

Se a sua empresa opera um sistema de IA para decidir sobre clientes, colaboradores ou fornecedores, ela responde pelo uso, ainda que o modelo seja de um fornecedor global. Isso muda a negociação contratual: é preciso exigir do fornecedor documentação, evidência de avaliação, informação sobre dados de treinamento e cooperação em incidentes, como detalhamos no artigo sobre contrato com fornecedor de IA.

A diligência prévia vira obrigação prática: antes de contratar, pergunte por escrito qual o modelo-base, quem são os subprocessadores, o que acontece com os dados enviados e quais evidências de avaliação existem. Fornecedor que não responde não terá o registro no dia em que ele for necessário.

O que fazer agora, antes da lei?

A preparação que vale independentemente do texto final segue cinco passos, todos já exigidos por outras normas e boas práticas.

1. Inventário de sistemas de IA. Levante todos os sistemas em uso, inclusive os não homologados, com finalidade, dados e fornecedores. É a mesma base exigida para tratar shadow AI.
2. Classificação preliminar de risco. Para cada sistema do inventário, responda se ele influencia decisões sobre pessoas. Os que influenciam são candidatos a alto risco.
3. Avaliação de impacto documentada. Comece pelos sistemas candidatos a alto risco, com método escrito e registro.
4. Governança e papéis. Nomeie responsáveis, defina fluxo de escalonamento e formalize a política de uso de IA.
5. Contratos com fornecedores. Revise os contratos de IA existentes para incluir documentação, evidências e cooperação em incidentes.

Quem executa esses cinco passos não está apostando em um texto legislativo: está construindo a estrutura que LGPD, ISO 42001 e o futuro marco legal convergem em exigir.

Perguntas frequentes sobre o PL 2.338

A lei de IA já está em vigor no Brasil?

Não. O PL 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e aguarda parecer do relator na Comissão Especial da Câmara. O texto ainda pode mudar, e após a aprovação haverá prazo de vacatio legis. Nenhuma obrigação do projeto é exigível hoje.

Minha empresa usa só ChatGPT e ferramentas prontas. A lei se aplica?

Depende do uso. A regra central é o impacto: se a ferramenta apoia decisões sobre crédito, contratação, saúde ou serviços essenciais, o uso tende a ser classificado como alto risco, ainda que o sistema seja de terceiro. Usar IA pronta não elimina a responsabilidade de quem opera.

Quais são as multas previstas?

O texto em tramitação prevê sanções administrativas proporcionais à gravidade, com multas que podem alcançar percentuais do faturamento, além de obrigações de cessação e reparação. Os valores exatos podem mudar na Câmara, mas a lógica de proporcionalidade ao porte e à gravidade é estável.

O PL 2.338 substitui a LGPD?

Não. As normas se somam. A LGPD regula o tratamento de dados pessoais, inclusive por sistemas de IA, e já é exigível hoje. O marco legal de IA adiciona obrigações sobre o sistema em si: classificação de risco, avaliação de impacto, documentação e supervisão humana.

Vale esperar o texto final para começar?

Não. A arquitetura baseada em risco é estável há várias versões, e as obrigações centrais, inventário, avaliação de impacto, governança e documentação, já são boa prática exigida por clientes e pela LGPD. Quem esperar o texto final fará tudo sob prazo definido por terceiro.

O ponto que decide o resultado

O PL 2.338 não deve ser tratado como ameaça nem como novidade distante. É a formalização de um padrão de governança que o mercado já cobra: saber quais sistemas de IA a empresa usa, quais riscos carregam e quem responde por eles.

A empresa que constrói essa estrutura agora transforma a lei, quando chegar, em mero exercício de registro. A que esperar vai descobrir que conformidade sob pressa custa o dobro.

Se a sua empresa precisa mapear a exposição ao marco legal de IA, converse com Clóvis Barreto Jr. pelo WhatsApp sobre um diagnóstico de prontidão regulatória.