PL 2338/2023: o que o projeto do marco legal da IA prevê para empresas

O PL 2338/2023, o projeto do marco legal da inteligência artificial no Brasil, ainda não é lei. Foi aprovado pelo Plenário do Senado em dezembro de 2024 e está na Câmara dos Deputados, onde a ficha oficial, consultada em 18 de outubro de 2026, mostra a situação “Aguardando Parecer” na comissão especial criada para analisá-lo.

Para as empresas, o texto aprovado no Senado organiza as obrigações pelo risco do sistema: quanto maior o impacto sobre pessoas, mais deveres de documentação, supervisão humana e transparência. Como a Câmara pode alterar o texto, o que vale hoje é preparar a casa com base na LGPD e nas boas práticas que o projeto já indica. Este guia não substitui parecer jurídico.

Resumo rápido

• Situação em 18/10/2026: aprovado no Senado, em análise na Câmara, sem parecer do relator registrado na ficha oficial. Não foi sancionado.
• O texto separa sistemas de IA em risco excessivo (vedados), alto risco (obrigações mais pesadas) e demais sistemas.
• O texto prevê, para alto risco, avaliação de impacto algorítmico, documentação, supervisão humana e canais de explicação e revisão.
• No texto do Senado, a multa de pessoa jurídica privada seria de até 2% do faturamento bruto no Brasil, limitada a R$ 50 milhões por infração.
• A LGPD já vale e é a base para começar: inventário de usos, base legal, contratos com fornecedores e revisão humana.

Em que pé está a tramitação

As informações abaixo vêm das páginas oficiais do Senado e da Câmara e da API de dados abertos da Câmara, consultadas em 18 de outubro de 2026.

• Senado: a ficha da matéria registra a aprovação pelo Plenário e a remessa à Câmara por ofício de 17 de março de 2025, para revisão, nos termos do art. 65 da Constituição.
• Câmara: a proposição foi recebida em 17 de março de 2025, com regime de prioridade (art. 151, II, do Regimento Interno) e apreciação pelo Plenário. A Comissão Especial sobre Inteligência Artificial teve a criação publicada em 29 de abril de 2025, e o deputado Aguinaldo Ribeiro (PP-PB) foi designado relator em 20 de maio de 2025.
• Situação: “Aguardando Parecer”. A última movimentação que a ficha mostra é de 2 de setembro de 2026 e trata de apensação de outro projeto, não de votação. A ficha não indica parecer do relator apresentado.

Na prática: o projeto não está em vigor, o texto ainda pode mudar e não há data de votação confirmada em fonte oficial. Se for aprovado com alterações, volta ao Senado. A etapa seguinte é a análise presidencial, com possibilidade de sanção ou veto; eventual veto pode ser apreciado pelo Congresso.

A lógica do projeto: regular pelo risco

O texto não trata toda IA do mesmo modo. Ele cria três níveis. No topo, o risco excessivo, com usos vedados. No meio, o alto risco, com obrigações específicas. Os demais sistemas ficam sujeitos a princípios gerais e aos direitos básicos das pessoas afetadas.

O projeto também fala em agentes de IA. Os dois principais são o desenvolvedor, que cria o sistema, e o aplicador, que o usa. Uma empresa que apenas contrata uma ferramenta pronta costuma ser aplicadora. Se ela modifica o sistema de forma substancial ou muda a finalidade, passa a ser tratada como desenvolvedora (art. 18, § 5º).

A lista de alto risco não é fechada. O art. 15 diz que o Sistema Nacional de Regulação e Governança de IA poderá detalhar a lista e incluir novas hipóteses. O parágrafo único do art. 14 exclui o uso em que a IA é só tecnologia intermediária que não influencia nem determina o resultado ou a decisão.

IA de alto risco e avaliação preliminar

A avaliação preliminar é o exercício de classificar o grau de risco do sistema antes de colocá-lo no mercado ou em uso (art. 12). Para sistemas em geral, o texto diz que o agente “poderá” fazê-la e a trata como medida de boa prática, que pode render benefícios na aplicação de sanções. Para desenvolvedores de IA de propósito geral e generativa, ela é dever (art. 29).

Já a avaliação de impacto algorítmico é obrigatória para o desenvolvedor ou aplicador de sistema de alto risco (art. 25). Ela deve ser feita antes da colocação em circulação e atualizada ao longo do ciclo de vida (art. 26). Se a empresa já precisa fazer um relatório de impacto à proteção de dados (RIPD) pela LGPD, pode fazer os dois documentos em conjunto (art. 27). As conclusões serão públicas, respeitados os segredos industrial e comercial (art. 28).

Entre as medidas de governança do art. 18, o aplicador de alto risco deve, entre outras coisas, documentar o ciclo de vida do sistema, testar confiabilidade e segurança, registrar o grau de supervisão humana e adotar medidas contra vieses discriminatórios. O texto fala em “esforços razoáveis” e “estado da arte”, o que sinaliza obrigações proporcionais ao porte e ao papel de cada agente.

Direitos de quem é afetado pela IA

O art. 5º vale para qualquer sistema, de qualquer grau de risco. A pessoa afetada tem direito à informação sobre a interação com IA, à privacidade e proteção de dados nos termos da LGPD e à não discriminação ilícita ou abusiva.

Para alto risco, o art. 6º acrescenta três direitos: explicação sobre a decisão, recomendação ou previsão; contestação e pedido de revisão; e revisão humana, considerando contexto, risco e estado da arte. A explicação deve ser gratuita, em linguagem simples e dentro de prazo razoável (art. 7º), e a autoridade pode criar procedimento simplificado levando em conta o porte do agente, em especial micro e pequenas empresas e startups. A supervisão humana pode ser substituída por medidas alternativas eficazes quando for comprovadamente impossível ou desproporcional (art. 8º).

O art. 20 da LGPD já permite solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular. A redação vigente não exige expressamente que essa revisão seja realizada por pessoa natural. Para quem trata dados de clientes e candidatos, vale reler o guia sobre segurança e LGPD na implantação de IA.

Direitos autorais e uso de voz e imagem

O Capítulo X, Seção IV, traz regras para quem usa obras protegidas no desenvolvimento de IA. Os pontos principais do texto do Senado:

• O desenvolvedor deve publicar um sumário dos conteúdos protegidos usados em mineração, treinamento, retreinamento, testagem, validação e aplicação (art. 62).
• Há exceção para mineração de textos e dados por instituições científicas, de pesquisa, educacionais, museus, arquivos e bibliotecas, sem fins comerciais e com acesso lícito, com condições (art. 63).
• O titular pode proibir o uso de suas obras nas hipóteses fora dessa exceção (art. 64).
• Quem usa conteúdo protegido em treinamento deve remunerar os titulares, com regras sobre negociação coletiva ou direta (art. 65).
• O uso de imagem, áudio, voz ou vídeo que identifique pessoas deve respeitar os direitos da personalidade (art. 66).

Para uma empresa que só usa ferramentas de terceiros, o efeito imediato é contratual: exigir do fornecedor informações sobre origem dos dados e cuidar do que a própria equipe publica com ajuda de IA, como imagens e vozes de pessoas reais. O projeto também prevê identificador em conteúdo sintético para verificar autenticidade, conforme regulamento (art. 19).

Governança: quem fiscaliza (o SIA)

O projeto autoriza o Poder Executivo a criar o SIA, o Sistema Nacional de Regulação e Governança de Inteligência Artificial (art. 45). Ele é coordenado pela Autoridade Nacional de Proteção de Dados (ANPD), que atua como autoridade competente, e reúne autoridades setoriais, o Conselho Permanente de Cooperação Regulatória de IA (Cria) e o Comitê de Especialistas e Cientistas de IA (Cecia).

Setores regulados teriam seu regulador para as regras específicas. A ANPD seria reguladora residual onde não houver órgão setorial (art. 47). Pelo art. 42, incidentes graves de segurança deverão ser comunicados à autoridade setorial, em prazo e critérios a definir em regulamento.

Sanções no texto aprovado no Senado

O art. 50 lista as sanções administrativas. Elas dependem de processo com ampla defesa e podem ser aplicadas de forma gradativa, isolada ou cumulativa.

Entre os critérios de dosimetria estão a boa-fé, a cooperação, a adoção de política de boas práticas e governança, a análise de impacto algorítmico e a pronta adoção de medidas corretivas (art. 50, § 1º). Para risco excessivo, o § 4º prevê no mínimo multa e, para pessoa jurídica, suspensão das atividades. As sanções do projeto não substituem as do CDC, da LGPD e de leis específicas (art. 50, § 3º). A responsabilidade civil segue o CDC nas relações de consumo e o Código Civil nas demais, com inversão do ônus da prova em certos casos (arts. 35 a 37).

Prazo de vigência no texto: 730 dias após a publicação, com algumas partes antes. O art. 13 (usos vedados), as regras de IA generativa e de propósito geral e a seção de direitos autorais (salvo o art. 62, imediato) entrariam em vigor 180 dias após a publicação (art. 80). Tudo isso só vale se o projeto virar lei com esse formato.

O que sua empresa pode fazer agora

1. Inventarie os usos de IA. Liste ferramentas, quem as usa, que dados entram e que decisões elas influenciam.
2. Classifique pelo critério do projeto. Marque os usos que tocam recrutamento, crédito, saúde, educação ou serviços essenciais. São os candidatos a alto risco.
3. Garanta revisão humana nas decisões que afetam pessoas, com registro de quem revisou.
4. Documente. Finalidade, testes, limites conhecidos e fornecedor. Isso serve à LGPD hoje e ao projeto amanhã.
5. Revise contratos de fornecedores. Peça informações sobre dados de treinamento, retenção, subprocessadores e apoio para responder a pedidos de explicação.
6. Sinalize o uso de IA ao cliente e ao candidato quando houver interação ou decisão automatizada.
7. Acompanhe a tramitação na ficha oficial e nomeie um responsável interno.

Se o uso envolve contratos e fornecedores, veja também o assistente de IA para conformidade com a LGPD em contratos com fornecedores.

Exemplo: triagem de currículos em uma rede de lojas em Campinas

Em um caso ilustrativo, uma rede de lojas de materiais de construção em Campinas (SP) contrata uma ferramenta de IA que ordena currículos para vagas de vendedor. Pelo art. 14, III, recrutamento e triagem de candidatos estão na lista de alto risco do texto do Senado. Hoje a empresa já deve cumprir a LGPD: informar o candidato, definir base legal e atender ao direito de solicitar revisão nas hipóteses do art. 20.

Um plano prudente: registrar a finalidade e o fornecedor, pedir ao fornecedor a documentação dos testes de viés, exigir que um recrutador revise a lista antes de qualquer descarte, guardar o registro dessa revisão e criar um canal para o candidato pedir explicação. Se o projeto virar lei, esses registros já seriam a base da avaliação de impacto algorítmico. Detalhes de LGPD nesse caso aparecem em agentes de triagem de currículos e conformidade com a LGPD.

Erros comuns

• Tratar o projeto como lei em vigor. Hoje o que obriga é a LGPD, o CDC e a legislação setorial.
• Esperar a lei para começar. Inventário, documentação e revisão humana servem desde já.
• Achar que contratar ferramenta pronta isenta a empresa. O aplicador também tem deveres no texto e responde perante o consumidor.
• Ignorar a lista de alto risco. Usos em RH, crédito e saúde são os mais sensíveis.
• Repetir números de multa de blogs sem checar o texto. Confira no texto oficial e lembre que ele pode mudar na Câmara.

Perguntas frequentes

O PL 2338/2023 já foi aprovado?

Foi aprovado pelo Senado em dezembro de 2024. Falta a análise da Câmara dos Deputados. Em 18 de outubro de 2026, a ficha oficial indicava “Aguardando Parecer” na comissão especial.

Se a Câmara mudar o texto, o que acontece?

O projeto volta ao Senado para apreciar as alterações. Depois segue para análise presidencial, que pode resultar em sanção ou veto. Por isso valores de multa e prazos devem ser tratados como previstos no texto atual.

Minha empresa só usa ChatGPT ou Copilot. Precisa se preocupar?

Hoje, a preocupação principal é a LGPD e o sigilo dos dados. O catálogo de integrações do ChatGPT ajuda a identificar usos da ferramenta. Se o projeto virar lei, o que importa é a finalidade: usar IA para triar candidatos ou conceder serviço essencial é diferente de resumir e-mails.

A avaliação preliminar é obrigatória?

No texto do Senado, para sistemas em geral, ela aparece como faculdade e boa prática. É dever do desenvolvedor de IA de propósito geral e generativa. A avaliação de impacto algorítmico, essa sim, é obrigatória para alto risco.

Quem vai fiscalizar?

O texto prevê o SIA, coordenado pela ANPD, com autoridades setoriais. A estrutura depende de regulamentação do Poder Executivo.

Fontes e leitura recomendada

• Senado Federal: ficha de tramitação do PL 2338/2023
• Câmara dos Deputados: ficha de tramitação do PL 2338/2023
• Câmara dos Deputados: inteiro teor do texto recebido do Senado
• API de dados abertos da Câmara: situação da proposição
• Lei nº 13.709/2018 (LGPD) no Planalto
• Autoridade Nacional de Proteção de Dados (ANPD)