O estado real da regulação: não existe vácuo normativo

O debate público sobre regulação de IA no Brasil frequentemente reduz o tema a uma pergunta: "o PL 2.338/2023 vai ser aprovado?" Mas a regulação de IA no Brasil já existe — ela é fragmentada, transversal e está evoluindo independentemente da aprovação do marco legal específico.

A LGPD (Lei 13.709/2018) já disciplina o uso de sistemas de IA que envolvem dados pessoais — que na prática é a esmagadora maioria das aplicações comerciais. O artigo 20 da LGPD garante ao cidadão o direito de revisar decisões tomadas exclusivamente com base em tratamento automatizado. O artigo 37 obriga a elaboração de relatório de impacto à proteção de dados em casos de alto risco. Essas obrigações estão vigentes hoje, com ou sem o PL 2.338.

Dezembro de 2025: o mês que redefiniu o cenário

Em dezembro de 2025, dois movimentos simultâneos mudaram o patamar regulatório:

ANPD publica o Mapa de Temas Prioritários 2026-2027: A Autoridade Nacional de Proteção de Dados incluiu inteligência artificial e tecnologias emergentes como um dos quatro eixos de fiscalização do biênio — ao lado de direitos dos titulares, proteção de crianças no ambiente digital e tratamento de dados pelo poder público. Isso significa 75 atividades de fiscalização planejadas, com IA como tema transversal.

Executivo apresenta o SIA: O governo federal enviou projeto de lei complementar criando o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial (SIA), formalizando a ANPD como coordenadora do sistema. O projeto resolve também um problema constitucional identificado no PL 2.338/2023: ao atribuir competências normativas à ANPD, o projeto original havia tratado de matéria de iniciativa privativa do Executivo — o que expunha o texto a questionamento de inconstitucionalidade no STF.

Fevereiro de 2026: dois novos PLs na Câmara

Em 24 e 25 de fevereiro de 2026, dois novos projetos de lei foram apresentados na Câmara dos Deputados, adicionando camadas ao cenário já complexo:

O PL 762/2026 introduz um marco regulatório específico para sistemas de IA de alto impacto ou críticos, exigindo que passem por Avaliação de Impacto de Inteligência Artificial (AIA). Os elementos centrais: regras sobre classificação, segurança, privacidade, governança, certificação, supervisão e responsabilidade; requisitos cumulativos de design, implementação e operação; certificação e registro obrigatórios perante a ANPD antes de operar no Brasil; direitos dos titulares incluindo explicabilidade e revisão humana de decisões potencialmente prejudiciais; e cooperação entre ANPD, Ministério de Ciência e Tecnologia e agências setoriais.

O segundo projeto foca em transparência algorítmica e retenção de logs para auditoria por plataformas digitais — diretamente influenciado pela regulação europeia de serviços digitais (DSA).

O sandbox de IA da ANPD: o que está acontecendo na prática

Em paralelo ao debate legislativo, a ANPD avançou com seu sandbox regulatório de IA — um ambiente experimental onde empresas testam aplicações de IA sob supervisão do regulador antes de uma regulação definitiva ser estabelecida.

Três empresas foram selecionadas para a fase de testes:

— Synapse Inteligência Artificial Ltda. (pontuação 16,33 no processo seletivo)
— IA Greenworld Ltda. (pontuação 14,10)
— Uma terceira empresa (não divulgada publicamente até a data de publicação deste artigo)

Em fevereiro de 2026, a ANPD concluiu a fase de nivelamento — treinamento em regulação e ambiente experimental — e as empresas entraram na fase de testes práticos. As lições aprendidas durante o sandbox servirão de base para a regulamentação definitiva pela ANPD. A autoridade deve publicar relatórios com as conclusões ao final do período.

A ANPD e a Nota Técnica 12/2025

Antes do sandbox, a ANPD já havia sinalizado sua direção regulatória com a Nota Técnica nº 12/2025, que consolidou as contribuições da Tomada de Subsídios sobre regulamentação do artigo 20 da LGPD — o direito de revisão de decisões automatizadas. A nota revela a abordagem que a ANPD está desenvolvendo: participativa, baseada em evidências e alinhada com padrões internacionais (especialmente o AI Act europeu).

O que tudo isso significa para empresas brasileiras agora

Três implicações práticas imediatas para qualquer empresa que usa IA em decisões que afetam pessoas:

1. Compliance com LGPD é não-negociável hoje: O artigo 20 da LGPD — revisão de decisões automatizadas — é obrigação vigente. A ANPD tem 75 ações de fiscalização planejadas para 2026-2027, com IA como eixo. Empresas que não documentam suas decisões automatizadas estão em risco imediato.

2. A estrutura do PL 762/2026 vai influenciar o texto final do marco legal: Independentemente de qual PL prevalecer, a convergência em torno de AIA obrigatória para sistemas de alto risco, certificação prévia e explicabilidade é clara. Construir essa infraestrutura agora — antes da aprovação — é vantagem competitiva real.

3. O sandbox é sinal de maturidade regulatória: A ANPD não está esperando o marco legal para aprender como regular IA. Empresas que quiserem influenciar a regulação final podem participar das consultas públicas abertas pela autoridade — que têm sido regulares desde 2024.

O quadro em julho de 2026

O Brasil tem hoje um cenário regulatório de IA em múltiplas camadas: LGPD vigente com artigo 20 sendo regularizado; ANPD com sandbox em testes práticos e 75 fiscalizações planejadas; PL 2.338/2023 na Câmara aguardando votação; PL 762/2026 recém-apresentado; e SIA do Executivo ainda pendente de apensamento. Não é o cenário mais simples para compliance — mas é um cenário muito mais concreto do que estava há um ano.