O contexto: por que o Brasil precisou de uma lei específica

Antes do PL 2.338/2023, o Brasil regulava IA de forma fragmentada — a LGPD cobria dados pessoais, o Marco Civil da Internet regulava responsabilidade online, e legislações setoriais tratavam de casos específicos como crédito e saúde. Mas a IA criou riscos novos que essas leis não conseguiam endereçar: sistemas que tomam decisões autônomas sobre pessoas, modelos que geram desinformação em escala, algoritmos que discriminam sem deixar rastro auditável.

O PL preenche essas lacunas criando um arcabouço regulatório específico para IA — o primeiro da América Latina a chegar tão longe no processo legislativo.

O que o PL estabelece: os cinco pilares

1. Classificação de risco: Sistemas de IA são classificados em três categorias: baixo risco (maioria das aplicações), alto risco (decisões sobre pessoas em áreas críticas) e risco excessivo (proibidos). A classificação determina as obrigações.

2. Transparência obrigatória: Cidadãos têm direito de saber quando estão interagindo com IA. Empresas que usam IA em atendimento ao cliente, recrutamento, crédito ou saúde precisam informar isso de forma clara.

3. Explicabilidade de decisões: Quando uma decisão automatizada afeta um cidadão — recusa de crédito, rejeição em processo seletivo, negativa de seguro — ele tem direito a uma explicação em linguagem compreensível sobre os fatores que influenciaram a decisão.

4. Avaliação de impacto: Sistemas de alto risco precisam passar por Avaliação de Impacto Algorítmico (AIA) antes de ser implantados. Isso inclui documentação técnica, análise de vieses e plano de monitoramento contínuo.

5. Governança e responsabilidade: Empresas que desenvolvem ou implantam IA de alto risco precisam designar um responsável pela conformidade de IA — similar ao DPO da LGPD — e manter registros auditáveis de decisões automatizadas.

O que é proibido: usos de risco excessivo

O PL proíbe categoricamente alguns usos de IA, independentemente do consentimento ou contexto:

— Sistemas de pontuação social que ranqueiam cidadãos por comportamento para restringir direitos
— IA que manipula comportamento de forma subliminar, explorando vulnerabilidades psicológicas
— Reconhecimento facial em tempo real em espaços públicos para fins de vigilância em massa (com exceções para segurança pública mediante autorização judicial)
— IA que classifica pessoas com base em características sensíveis (raça, orientação sexual, crença religiosa) para fins discriminatórios

Quem é afetado: o alcance extraterritorial

Uma das características mais importantes do PL é seu alcance extraterritorial — similar ao GDPR europeu. A lei se aplica a qualquer empresa que:

— Desenvolva ou ofereça sistemas de IA a usuários localizados no Brasil
— Processe dados de pessoas físicas localizadas no Brasil
— Tome decisões automatizadas que afetem pessoas no Brasil

Isso significa que Google, Meta, OpenAI, Microsoft e qualquer outra empresa estrangeira que opere no Brasil está sujeita à lei — não apenas empresas brasileiras.

O que muda para empresas: obrigações práticas

Para a maioria das empresas brasileiras de médio e grande porte, as mudanças práticas são concretas:

RH e recrutamento: Empresas que usam triagem automatizada de currículos precisam informar candidatos, garantir que o sistema não discrimine por características protegidas e oferecer revisão humana quando solicitado.

Crédito e finanças: Fintechs e bancos que usam IA para análise de crédito precisam explicar recusas em linguagem acessível. A análise de viés algorítmico passa a ser requisito, não diferencial.

Saúde: Sistemas de diagnóstico auxiliado por IA são classificados como alto risco e exigem AIA antes de implantação e supervisão médica obrigatória nas decisões.

Atendimento ao cliente: Chatbots precisam se identificar como IA. Usuários têm direito a atendimento humano quando solicitarem.

O que muda para cidadãos: novos direitos

O PL cria um conjunto de direitos digitais novos para cidadãos brasileiros:

— Direito à informação: saber quando uma decisão foi tomada por IA
— Direito à explicação: entender os fatores de uma decisão automatizada
— Direito à revisão humana: pedir que um humano revise qualquer decisão automatizada de alto impacto
— Direito à correção: contestar dados incorretos que alimentaram uma decisão
— Direito à não discriminação: proteção contra discriminação algorítmica baseada em características sensíveis

O órgão regulador: quem vai fiscalizar

O PL designa a ANPD (Autoridade Nacional de Proteção de Dados) como órgão central de regulação da IA, com competência para emitir regulamentações, conduzir investigações e aplicar sanções. As multas podem chegar a 2% do faturamento anual da empresa no Brasil, limitadas a R$ 50 milhões por infração — estrutura idêntica à da LGPD.

O que já deveria estar sendo feito agora

O PL ainda precisa passar pela Câmara dos Deputados, mas a direção é clara. Empresas que quiserem estar em conformidade no dia em que a lei entrar em vigor precisam começar agora:

1. Inventário de sistemas de IA: Mapeie todos os sistemas de IA em uso na empresa e classifique-os por nível de risco segundo os critérios do PL.

2. Designação de responsável: Defina quem será o AI Compliance Officer — pode ser o próprio DPO ou um cargo separado.

3. Documentação técnica: Comece a documentar decisões de design e limitações conhecidas dos sistemas de alto risco.

4. Treinamento de equipes: Gestores que tomam decisões com apoio de IA precisam entender as obrigações legais que isso acarreta.

A lei brasileira de IA não é uma ameaça para empresas que já operam com responsabilidade. É uma formalização de práticas que empresas maduras já adotam — e uma barreira de entrada para as que não adotam.