O Brasil está prestes a ter sua primeira lei específica para inteligência artificial. O Projeto de Lei 2.338/2023, conhecido como Marco Legal da IA, foi aprovado por unanimidade no Senado Federal em dezembro de 2024 e tramita na Câmara dos Deputados para votação final em 2026. Enquanto isso, do outro lado do Atlântico, o AI Act da União Europeia já entrou em vigor em agosto de 2026, com multas que chegam a € 35 milhões ou 7% do faturamento global. Para empresas brasileiras que exportam ou atendem clientes europeus, a regulação já é realidade — não promessa.

O cenário interno não é menos urgente. Segundo o IBGE, 41,9% das empresas brasileiras com 100 ou mais funcionários já utilizam IA em suas operações — um crescimento de 2,5 vezes em apenas dois anos. Mas apenas 23,7% dessas empresas possuem políticas claras para orientar o uso dessas ferramentas (Pesquisa Panorama de IA, 2026). A ANPD já colocou a inteligência artificial como um dos quatro eixos centrais de fiscalização para o biênio 2026-2027. A pergunta não é mais “se” a regulação virá, mas se sua empresa estará pronta quando ela chegar.

Neste artigo, analisamos em profundidade o que o PL 2.338 exige, como ele se compara ao AI Act europeu, quais setores são mais afetados e, principalmente, o que uma software house especializada em IA pode fazer para que seus sistemas já nasçam em conformidade — economizando milhões em adequação retroativa.

O contexto global: por que a regulação de IA é inevitável

A corrida regulatória não é exclusividade brasileira. Em 2026, o investimento global em inteligência artificial atingiu US$ 2,59 trilhões — um crescimento de 47% em relação ao ano anterior (IDC). Com essa escala, os riscos também se multiplicaram: vieses algorítmicos em processos seletivos, decisões de crédito automatizadas sem transparência, deepfakes, vigilância em massa e uso indevido de dados pessoais em treinamento de modelos.

A União Europeia foi pioneira com o AI Act (Regulamento 2024/1689), que classifica sistemas de IA em quatro níveis de risco: inaceitável, alto, limitado e mínimo. O texto é explícito: sistemas de social scoring e vigilância biométrica em tempo real em espaços públicos são proibidos. Sistemas de alto risco — como os usados em recrutamento, crédito, saúde e infraestrutura crítica — exigem avaliação de conformidade prévia, documentação técnica, supervisão humana e rastreabilidade.

China, Canadá, Japão e Estados Unidos seguem caminhos próprios. A China já implementou regulações específicas para IA generativa e algoritmos de recomendação. Os EUA optaram por uma abordagem setorial, com ordens executivas e diretrizes do NIST. O Brasil, com o PL 2.338, escolheu um caminho intermediário: inspiração europeia com adaptações ao contexto local.

PL 2.338: o que diz o Marco Legal da IA brasileira

O Projeto de Lei 2.338/2023 foi apresentado pelo senador Rodrigo Pacheco e aprovado pelo Senado em 10 de dezembro de 2024. Na Câmara dos Deputados, tramita sob relatoria do deputado Aguinaldo Ribeiro (PP-PB) em Comissão Especial dedicada ao tema, com votação prevista para 2026.

O projeto adota uma abordagem baseada em risco (risk-based approach), similar ao modelo europeu, mas com simplificações. Enquanto o AI Act trabalha com quatro níveis, o PL 2.338 classifica sistemas de IA em três categorias:

Risco excessivo: proibido

Sistemas de IA considerados de risco excessivo são expressamente proibidos pelo PL 2.338. Isso inclui: sistemas de pontuação social (social scoring) por parte do poder público, exploração de vulnerabilidades de grupos específicos (crianças, idosos, pessoas com deficiência), armas autônomas sem supervisão humana significativa e técnicas subliminares que induzam comportamento prejudicial. A penalidade para quem opera esses sistemas é multa de até R$ 50 milhões por infração — ou 2% do faturamento do grupo econômico no Brasil, o que for maior.

Alto risco: regulação rigorosa

Sistemas classificados como alto risco são permitidos, mas sujeitos a obrigações extensas. O PL 2.338 lista explicitamente os domínios que se enquadram nessa categoria: gestão de infraestrutura crítica, educação e formação profissional (acesso, avaliação, certificação), recrutamento e seleção de trabalhadores, avaliação de crédito e scoring financeiro, sistemas de diagnóstico e tratamento em saúde, administração da justiça e processos democráticos, e veículos autônomos.

As obrigações para operadores de sistemas de alto risco incluem: avaliação de impacto algorítmico prévia, documentação técnica e registro de operações, supervisão humana efetiva (não apenas nominal), canal de contestação para pessoas afetadas, transparência sobre o uso de IA na tomada de decisão, e testes regulares para identificar vieses e discriminação.

Risco não alto (baixo/residual): transparência básica

Sistemas que não se enquadram nas categorias anteriores possuem obrigações mais leves. A principal exigência é informar ao usuário que ele está interagindo com um sistema de IA — especialmente em chatbots, assistentes virtuais e geradores de conteúdo. Também precisam cumprir requisitos gerais de transparência e não discriminação.

AI Act vs. PL 2.338: o que é igual e o que muda

O PL 2.338 absorveu a lógica estrutural do AI Act — tipificação por risco, obrigações ex ante para desenvolvedores e operadores, ênfase em direitos fundamentais — mas com diferenças relevantes que refletem o contexto brasileiro. Entender essas diferenças é crítico para empresas que operam em ambos os mercados.

Um ponto de atenção: o AI Act europeu já alcança empresas brasileiras que exportam produtos ou serviços com IA para a UE. Uma fintech de São Paulo cujo scoring de crédito atende clientes portugueses, por exemplo, precisa cumprir o AI Act desde agosto de 2026. O PL 2.338, quando aprovado, criará uma segunda camada de obrigações no mercado doméstico. Empresas que se prepararem para ambos desde já evitarão retrabalho.

Quem é afetado: setores na mira do PL 2.338

A lista de domínios classificados como alto risco pelo PL 2.338 atinge praticamente todos os setores da economia que já adotaram IA em escala. Dados do IBGE (2026) mostram que 41,9% das empresas com 100+ funcionários já usam IA — mas 72% ainda estão nos estágios iniciante ou experimental de maturidade. Isso significa que a maioria das empresas adotou IA sem a governança necessária para cumprir o que o PL 2.338 exige.

Recursos Humanos e recrutamento. Ferramentas de triagem de currículos com IA, análise de vídeo-entrevistas e scoring de candidatos são classificadas como alto risco. Um estudo da Harvard Business School (2024) mostrou que algoritmos de triagem eliminam até 27 milhões de candidatos qualificados por ano nos EUA por vieses nos filtros. No Brasil, a exposição regulatória é imediata: a CLT já proíbe discriminação na contratação, e o PL 2.338 adiciona a obrigação de documentar e auditar o processo algorítmico.

Setor financeiro e crédito. Modelos de credit scoring, detecção de fraude e decisões automatizadas de concessão de crédito entram na categoria de alto risco. O Banco Central do Brasil já exige transparência em modelos de crédito (Resolução BCB nº 4.893/2021), mas o PL 2.338 vai além: exige explicabilidade — o consumidor precisa entender por que seu crédito foi negado, em linguagem acessível.

Saúde. Sistemas de diagnóstico assistido por IA, triagem de pacientes e recomendação de tratamentos são alto risco por natureza. A ANVISA já regula softwares como dispositivos médicos (RDC nº 751/2022), e o PL 2.338 adiciona a camada de supervisão humana obrigatória — nenhuma decisão clínica pode ser inteiramente delegada a um algoritmo.

Educação. Plataformas de avaliação automatizada, sistemas adaptativos de aprendizagem e ferramentas de certificação entram na lista. Com 84% dos estudantes brasileiros já usando IA (Fundação Itaú, 2025) e o CNE tendo aprovado normas de IA na educação em março de 2026, o setor educacional é um dos mais expostos à nova regulação.

Infraestrutura crítica. Sistemas de IA em energia, transporte, telecomunicações e saneamento recebem tratamento de alto risco — decisões automatizadas nessas áreas podem afetar milhões de pessoas simultaneamente.

O gap de governança: a bomba-relógio nas empresas brasileiras

Os números revelam uma contradição perigosa. Por um lado, a adoção de IA avança rapidamente: 79,1% dos profissionais brasileiros já utilizam ferramentas de IA no trabalho diário. Por outro, a governança não acompanha: apenas 23,7% das empresas possuem políticas claras para orientar esse uso (Pesquisa Panorama de IA, 2026). A pesquisa da Deloitte “State of AI 2026” confirma: 95% das organizações brasileiras planejam adotar IA Agêntica em até dois anos, mas apenas 27% afirmam ter modelos de governança maduros.

Esse gap representa risco em três frentes. Primeiro, risco regulatório: quando o PL 2.338 for aprovado, empresas sem governança precisarão fazer adequação retroativa — sempre mais cara e disruptiva que a adequação desde o design. A experiência com a LGPD é instrutiva: empresas que se prepararam antes da vigência gastaram em média 40% menos que aquelas que precisaram se adequar sob pressão de fiscalização (PwC, 2024).

Segundo, risco reputacional: um incidente de viés algorítmico ou vazamento de dados em sistema de IA gera dano de imagem que nenhuma multa quantifica. Terceiro, risco operacional: a ANPD pode proibir a empresa de usar seu banco de dados — para negócios digitais, isso equivale a fechamento das operações.

A ANPD já sinalizou a direção. Em seu planejamento para 2026-2027, incluiu IA como eixo prioritário de fiscalização, conduzindo Tomada de Subsídios sobre IA e decisões automatizadas entre novembro de 2024 e janeiro de 2025. Empresas que usam IA generativa, dados biométricos ou interagem com público menor de idade são alvos prioritários.

Checklist de adequação: o que fazer antes da lei entrar em vigor

A vantagem de agir agora é que o texto do PL 2.338 já é conhecido — aprovado pelo Senado, ele define com clareza as obrigações que virão. Não é preciso esperar a sanção presidencial para começar a se preparar. Um programa de adequação robusto envolve oito frentes:

1. Inventário de sistemas de IA

O primeiro passo é saber quais sistemas de IA a empresa utiliza — e muitas se surpreendem com a resposta. Além das ferramentas óbvias (chatbots, recomendadores), há IA embarcada em ERPs, CRMs, plataformas de marketing automation, ferramentas de RH e sistemas de precificação dinâmica. O inventário deve mapear: qual sistema, qual fornecedor, quais dados utiliza, qual decisão ele influencia ou toma, e quem é o responsável interno.

2. Classificação de risco

Com o inventário em mãos, cada sistema deve ser classificado conforme as categorias do PL 2.338. Sistemas que influenciam decisões sobre pessoas — contratação, crédito, diagnóstico, avaliação educacional — são quase certamente alto risco. Chatbots de atendimento geral são provavelmente risco não alto, mas um chatbot que recomenda tratamentos médicos ou orienta investimentos pode mudar de categoria.

3. Avaliação de impacto algorítmico

Para sistemas de alto risco, o PL 2.338 exige avaliação de impacto — documento que analisa riscos de discriminação, violação de direitos, segurança e privacidade antes do sistema entrar em operação. É análogo ao DPIA (Data Protection Impact Assessment) da LGPD, mas específico para algoritmos. Deve incluir: descrição do sistema e suas finalidades, dados de treinamento e possíveis vieses, medidas de mitigação, plano de supervisão humana e procedimento de contestação.

4. Implementação de supervisão humana

Supervisão humana não significa ter uma pessoa que aprova cada decisão do algoritmo — isso eliminaria a eficiência da IA. Significa ter processos claros para: monitoramento contínuo dos outputs do sistema, intervenção quando anomalias são detectadas, revisão periódica de amostras de decisões, e override humano disponível para casos sensíveis. Na prática, é engenharia de software: dashboards de monitoramento, alertas, circuit breakers e escalation paths.

5. Canal de contestação

Diferente do AI Act europeu — que delega esse direito ao GDPR — o PL 2.338 é explícito: pessoas afetadas por decisões de IA de alto risco têm direito a contestar, receber explicação e solicitar revisão humana. Isso exige um canal dedicado (não apenas o SAC genérico), com SLAs de resposta, equipe treinada para explicar decisões algorítmicas em linguagem acessível e processo documentado de revisão.

6. Documentação técnica e rastreabilidade

O PL 2.338 exige registro de operações para sistemas de alto risco — logs que permitam reconstruir como uma decisão foi tomada. Isso implica: versionamento de modelos, registro de dados de entrada e saída, histórico de retreinamentos e documentação de parâmetros e hiperparâmetros. Para sistemas de machine learning, ferramentas de MLOps (MLflow, Weights & Biases, Neptune) são essenciais.

7. Testes de viés e discriminação

Testes regulares devem verificar se o sistema produz resultados discriminatórios por raça, gênero, idade, região ou classe social. No Brasil, onde a desigualdade socioeconômica se reflete nos dados históricos, o risco de viés é estruturalmente alto. Técnicas como fairness-aware machine learning, adversarial debiasing e counterfactual fairness devem fazer parte do pipeline de desenvolvimento.

8. Governança organizacional

Além da tecnologia, é preciso governança organizacional: definir quem é responsável por IA na empresa (um \”AI Officer\” ou comitê multidisciplinar), criar políticas de uso aceitável, treinar colaboradores e estabelecer processos de avaliação periódica. Segundo a Deloitte (2026), empresas com comitês de IA dedicados têm 3,2 vezes mais chance de escalar projetos de IA com sucesso.

O papel da software house: governança desde o código

Aqui está o ponto central — e o que diferencia uma abordagem reativa de uma estratégica. Contratar uma consultoria para fazer adequação retroativa é como reformar uma casa depois de construída: caro, demorado e com resultados limitados. O caminho inteligente é construir sistemas que já nasçam com governança embarcada — compliance by design, não compliance by retrofit.

É exatamente isso que uma software house especializada em IA faz. Na Mind Group, essa filosofia permeia cada projeto. Como software house com mais de 10 anos de mercado, a empresa constrói sistemas sob medida para clientes enterprise — e governança de IA é parte integrante da arquitetura, não um add-on.

\”A maioria das empresas trata governança de IA como um problema jurídico. Mas é, antes de tudo, um problema de engenharia de software. Se o sistema não foi projetado para ser auditável, transparente e rastreável desde o início, nenhuma política corporativa vai compensar\”, explica José Gonçalves, CEO da Mind Group.

Cases: governança na prática

O LawrAI, plataforma de IA jurídica desenvolvida pela Mind Group para mais de 20.000 usuários, é um exemplo concreto. Como sistema que auxilia decisões jurídicas — domínio sensível por natureza — foi projetado com: arquitetura RAG (Retrieval-Augmented Generation) que ancora respostas em fontes verificáveis, registro completo de interações para rastreabilidade, mecanismos de explicabilidade que mostram quais documentos embasaram cada resposta, supervisão humana como etapa obrigatória antes de qualquer peça processual, e conformidade com a LGPD desde a camada de dados.

No projeto da Fisk — rede com mais de 1.000 unidades franqueadas — a Mind Group implementou chatbot com IA, busca semântica e Central do Aluno com governança proporcional: consentimento parental para dados de menores (LGPD Art. 14), RBAC (Role-Based Access Control) por franquia, criptografia AES-256 em repouso e TLS 1.3 em trânsito, e plano de resposta a incidentes em conformidade com o Art. 48 da LGPD. Quando o PL 2.338 entrar em vigor, esses sistemas já estarão preparados — porque foram construídos com os princípios certos desde o dia zero.

Custo de não se adequar vs. custo de adequação

A análise econômica é inequívoca. De um lado, os custos de não conformidade: multas de até R$ 50 milhões por infração (PL 2.338), ou até € 35 milhões / 7% do faturamento global para empresas sujeitas ao AI Act. Além das multas, a ANPD pode proibir o uso do banco de dados — o que para empresas digitais significa paralisação total. Somam-se custos reputacionais: segundo a IBM (2023), o custo médio de uma violação de dados atingiu US$ 4,35 milhões globalmente.

Do outro lado, o custo de adequação preventiva. A experiência com a LGPD mostrou que empresas proativas gastaram 40% menos que as reativas (PwC, 2024). Para IA, a proporção é ainda mais favorável à proatividade: corrigir vieses em um modelo em produção custa 5 a 10 vezes mais do que projetar fairness desde o treinamento (MIT Technology Review, 2025). Implementar rastreabilidade retroativamente em um sistema legado pode exigir refatoração completa da arquitetura — investimento que se aproxima do custo de construir o sistema do zero.

A conclusão é clara: investir em governança desde o design do sistema é a decisão economicamente racional. E é exatamente o que uma software house especializada entrega — não apenas código, mas código que já nasce em conformidade.

O SIA e o futuro da regulação de IA no Brasil

O PL 2.338 cria o SIA — Sistema Nacional de Regulação e Governança de Inteligência Artificial. Diferente do modelo europeu, que centralizou a regulação no AI Office da Comissão Europeia, o modelo brasileiro prevê um arranjo institucional distribuído: uma autoridade coordenadora (cuja definição é um dos pontos de debate na Câmara) trabalhando em conjunto com reguladores setoriais — ANPD para dados, Banco Central para finanças, ANVISA para saúde, ANATEL para telecomunicações.

O projeto também prevê sandbox regulatório — ambientes controlados onde empresas podem testar inovações de IA sob supervisão regulatória, com flexibilização temporária de certas obrigações. Para startups e empresas menores, o sandbox pode ser o caminho para validar produtos de IA sem o peso integral da regulação. A ANPD já conduziu sandbox para proteção de dados (2023-2024), e a expectativa é que o SIA amplie esse modelo para IA.

Um aspecto frequentemente ignorado é a extraterritorialidade. Assim como o GDPR e a LGPD, o PL 2.338 se aplica a qualquer sistema de IA que produza efeitos no Brasil, independente de onde o desenvolvedor esteja sediado. Isso significa que plataformas globais de IA — OpenAI, Google, Meta — precisarão cumprir a lei brasileira quando seus sistemas forem usados no país. Para empresas brasileiras que contratam IA de fornecedores internacionais, a responsabilidade é compartilhada: o PL 2.338 distribui obrigações entre desenvolvedores, fornecedores e operadores.

Como a Mind Group pode ajudar sua empresa

A Mind Group é uma software house brasileira com sede em Sorocaba (SP) e mais de 10 anos de mercado construindo sistemas sob medida para clientes enterprise como Fisk, Itaipu, XP e DASA. A empresa não vende produtos SaaS — desenvolve soluções customizadas que resolvem problemas específicos de cada cliente. Produtos próprios como o LawrAI (IA jurídica com 20.000 usuários), SUPERCASAS e Vértuz são cases que demonstram competência técnica, não o core business.

No contexto do PL 2.338 e da regulação de IA, a Mind Group atua em três frentes. Primeiro, desenvolvimento de novos sistemas de IA com governança embarcada — desde a arquitetura até o deploy, cada componente é projetado para atender os requisitos de transparência, rastreabilidade e supervisão humana que a lei exige. Segundo, adequação de sistemas existentes — inventário de IA, classificação de risco, implementação de logs de auditoria, dashboards de monitoramento e canais de contestação. Terceiro, sustentação com compliance contínuo — monitoramento, testes periódicos de viés, atualização de documentação e acompanhamento da evolução regulatória.

\”O PL 2.338 não é uma ameaça — é uma oportunidade para empresas que fazem IA direito se diferenciarem das que fazem IA de qualquer jeito. E a diferença está na engenharia\”, conclui José Gonçalves.

Perguntas frequentes (FAQ)

O PL 2.338 já está em vigor?

Não. O PL 2.338/2023 foi aprovado por unanimidade no Senado Federal em 10 de dezembro de 2024 e, em 2026, tramita na Câmara dos Deputados para votação final sob relatoria do deputado Aguinaldo Ribeiro. A votação estava prevista para maio de 2026, mas o cronograma exato depende de articulações políticas na Câmara. Mesmo antes da aprovação, é recomendável iniciar a adequação — o texto já é conhecido e as obrigações estão definidas. Empresas que operam na UE já estão sujeitas ao AI Act desde agosto de 2026.

Qual a diferença entre o PL 2.338 e a LGPD?

A LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais — coleta, armazenamento, uso e compartilhamento. O PL 2.338 regula o uso de sistemas de inteligência artificial, com foco em transparência, classificação de risco, supervisão humana e direito de contestação. São complementares: um sistema de IA que usa dados pessoais precisa cumprir ambas as leis. Na prática, empresas que já têm um programa de LGPD maduro possuem vantagem, pois processos como mapeamento de dados, avaliação de impacto e canal de direitos são similares.

Minha empresa usa IA apenas para tarefas internas. O PL 2.338 se aplica?

Depende. Se a IA toma ou influencia decisões sobre pessoas — como triagem de currículos, avaliação de desempenho ou priorização de chamados — pode ser classificada como alto risco, mesmo sendo de uso interno. Se é usada apenas para automação operacional sem impacto em pessoas (como otimização de estoque ou manutenção preditiva de equipamentos), as obrigações são mínimas. O inventário de sistemas de IA é o primeiro passo para responder essa pergunta com precisão.

Por que contratar uma software house em vez de usar soluções prontas de governança de IA?

Soluções prontas (plataformas de AI governance como IBM OpenPages, ServiceNow AI Governance) são úteis para monitoramento e documentação, mas não resolvem o problema na raiz. Se o sistema de IA não foi projetado com rastreabilidade, explicabilidade e fairness desde a arquitetura, nenhuma camada de governança por cima vai compensar. Uma software house como a Mind Group constrói o sistema já com essas propriedades embarcadas — o que é estruturalmente mais robusto e economicamente mais eficiente do que adequação retroativa.

Conclusão

O PL 2.338 não é uma surpresa — é a consequência lógica de uma tecnologia que já permeia 41,9% das grandes empresas brasileiras sem regulação proporcional. A janela de preparação é agora: o texto está definido, as categorias de risco são claras, e as obrigações são específicas. Esperar a sanção presidencial para começar a agir é repetir o erro que muitas empresas cometeram com a LGPD — e pagaram caro por isso.

Para empresas que desenvolvem ou operam sistemas de IA, a mensagem é uma só: governança não é custo — é engenharia. E a melhor forma de garantir conformidade é construir sistemas que já nasçam com as propriedades que a lei exige. Se sua empresa precisa de um parceiro técnico para construir ou adequar sistemas de IA com governança embarcada, fale com a Mind Group.

Fontes: Senado Federal (PL 2.338/2023) · Parlamento Europeu (AI Act, Regulamento 2024/1689) · IBGE (Pesquisa de Inovação Tecnológica, 2026) · ANPD (Planejamento Estratégico 2026-2027) · Deloitte (State of AI, 2026) · IBM (Cost of a Data Breach Report, 2023) · PwC (Pesquisa de Privacidade, 2024) · Fundação Itaú (IA na Educação, 2025) · IDC (Worldwide AI Spending Guide, 2026) · Exame (Marco Legal da IA, jun/2026) · Distrito (Governança de IA, jul/2026)

Escrito por José Gonçalves

CEO e fundador da Mind Group (fundada em 2016), software house brasileira sediada em Sorocaba/SP. Lidera o desenvolvimento de sistemas, aplicativos, IA e automações para clientes como Itaipu Binacional, Fisk, Lojas Torra, Febracis e Vertuz. Especialista em arquitetura de software, squads ágeis e integração de Inteligência Artificial em operações B2B.

LinkedIn →