PL 2.338/2023: o que o marco legal da IA pode mudar nas empresas

Em que pé está o PL 2.338/2023?

O projeto passou pelo Senado em 10 de dezembro de 2024 e seguiu para a Câmara dos Deputados. Até outubro de 2026, ele continuava em análise em uma comissão especial da Câmara, com a votação adiada para depois das eleições de outubro de 2026.

Esse caminho importa porque o texto ainda pode ser alterado. Se a Câmara fizer mudanças, o projeto volta ao Senado antes de seguir adiante. Ou seja: prazos, definições e obrigações que circulam hoje podem não ser os da versão final.

Por isso, a leitura mais segura é tratar o PL como uma direção, não como regra fechada. A lógica de risco, porém, tem sido o eixo do debate desde o início, e é ela que ajuda a empresa a se organizar sem depender da redação final.

O que é a abordagem baseada em risco?

A ideia central é simples: quanto maior o impacto possível de um sistema de IA sobre pessoas e direitos, maiores as exigências. Alguns usos são considerados de risco excessivo e ficam proibidos. Outros são classificados como de alto risco e passam a ter obrigações adicionais. O restante segue regras mais leves.

Para sistemas de alto risco, o texto aprovado no Senado prevê obrigações como avaliação de impacto antes do uso, supervisão humana sobre as decisões, transparência sobre como o sistema funciona e manutenção de registros. Em linguagem de negócio: saber o que a IA faz, quem responde por ela e conseguir provar o que aconteceu.

Quais usos entram em cada categoria é justamente um dos pontos que ainda podem mudar na Câmara. Sua empresa não precisa adivinhar a lista final, mas precisa saber quais dos seus usos de IA tocam decisões sobre pessoas, crédito, saúde, emprego ou acesso a serviços, porque são esses que costumam pesar mais em qualquer classificação de risco.

O que o marco legal da IA pode mudar para as empresas?

A primeira mudança é de visibilidade. Muitas empresas usam IA em vários pontos, de atendimento a análise de documentos, sem um inventário único. Um marco legal baseado em risco pressupõe que a empresa saiba onde a IA está, para que serve e que dados usa.

A segunda é de responsabilidade. Supervisão humana significa ter pessoas nomeadas que acompanham e podem revisar decisões relevantes. Registros significam conseguir reconstruir, depois, por que uma decisão foi tomada. Isso vale tanto para sistemas próprios quanto para soluções de fornecedores, o que deve levar a revisões de contrato.

A terceira é de convivência com regras que já existem. O PL não substitui a LGPD, que segue em vigor com a ANPD como autoridade, nem as normas setoriais de órgãos como Bacen, CVM, ANS e Anvisa. Na prática, a governança de IA tende a se somar à governança de dados e de risco que a empresa já tem.

Vale lembrar que a responsabilidade não some quando a IA vem de um fornecedor. Se a sua empresa usa um sistema de terceiros para apoiar uma decisão relevante, ela continua precisando entender o que o sistema faz, quais dados usa e como uma decisão pode ser revista. Por isso, transparência e registros tendem a virar itens de contrato, e não apenas de tecnologia. Como o texto pode mudar, confirme com o time jurídico como isso se aplica a cada caso.

Como se preparar sem esperar a lei: um roteiro em 5 passos

1 · Faça um inventário dos usos de IA. Liste sistemas próprios, ferramentas contratadas e iniciativas em teste. Para cada um, anote a finalidade, a área dona e os dados envolvidos.

2 · Faça uma classificação preliminar de risco. Marque os usos que afetam decisões sobre pessoas ou direitos. Essa classificação é interna e deve ser revista quando o texto final for aprovado, mas já mostra onde concentrar esforço.

3 · Nomeie responsáveis humanos. Para cada uso relevante, defina quem acompanha o sistema, quem pode revisar uma decisão e quem responde se algo der errado. Supervisão sem dono não funciona.

4 · Registre decisões e regras. Guarde quais dados o sistema acessou, qual regra aplicou e quem aprovou. Uma trilha de auditoria simples hoje evita uma reconstrução difícil amanhã.

5 · Revise contratos e fornecedores com o jurídico. Verifique o que os fornecedores de IA oferecem em transparência, registros e proteção de dados. Confirme com o time jurídico como acompanhar a tramitação e quando ajustar cada ponto.

Como a Semantix opera IA com a regulação em mente

Na Semantix, agentes de IA e especialistas operam processos de TI e de negócio com regras claras. O Safetix, parte da Semantix AI Suite, governa essa operação: define regras e permissões, dá acesso só ao que é necessário e rastreia cada execução, com as aprovações humanas registradas. Os dados pessoais são mascarados antes de chegar ao modelo, e o cliente escolhe onde os modelos rodam, inclusive no Brasil ou em ambiente próprio.

Acompanhamos as discussões do PL 2.338/2023 e da ABRIA, além da LGPD e das regras setoriais, e operamos com certificações ISO 27001, ISO 27701, PCI-DSS e SOC 2 Type II. Se você quer saber onde está o risco na sua operação, o caminho começa por um diagnóstico.

Você escolhe até onde a Semantix vai: usar a Semantix AI Suite com o seu time, construir junto com a Semantix ou contratar a operação. É assim que a Semantix, The Enterprise AI Company, constrói empresas que aprendem.