O marco legal da IA ainda não passou, mas a sua empresa já tem obrigações
O PL 2338 está travado na Câmara sem data. Só que a LGPD já exige revisão de decisão automatizada, e o CFM não esperou o Congresso: sua norma de IA vale desde agosto.
A frase que a gente mais ouve quando o assunto é regulação de inteligência artificial é uma variação de "vamos esperar a lei sair para ver o que muda".
É a postura errada, por dois motivos concretos.
O primeiro: a lei geral está travada. O PL 2338, o marco legal da IA, foi aprovado no Senado em dezembro de 2024 e desde então aguarda votação na Câmara dos Deputados, onde uma Comissão Especial analisa o texto. A votação foi adiada para 2026 e segue sem data definida, presa em impasses sobre direitos autorais no treinamento de modelos, reconhecimento facial, mitigação de vieses e desenho de governança. Se e quando passar, volta ao Senado por causa das emendas esperadas, e ainda terá período de vacância antes de vigorar.
O segundo, e mais importante: a sua empresa já tem obrigações hoje, e elas não vêm do PL. Vêm da LGPD, que está em vigor desde 2020 — e, em setores regulados, dos conselhos de classe, que estão andando mais rápido que o Congresso.
O que a LGPD já exige de quem usa IA
Três dispositivos incidem direto sobre operação automatizada, e valem agora:
Artigo 20 — o titular tem direito a solicitar revisão de decisão tomada unicamente com base em tratamento automatizado de dados que afete seus interesses. Se um sistema seu classifica, prioriza, recusa ou pontua pessoa, esse direito existe.
Artigo 6º — princípios de transparência e de não discriminação. Não é declaração de boas intenções: é base para autuação.
Relatório de Impacto (RIPD) — exigível para tratamentos de alto risco, o que inclui a maior parte dos usos de IA sobre dado pessoal sensível.
Traduzindo para operação de marketing e atendimento: se você tem uma régua que segmenta pessoas por comportamento, um agente que qualifica lead, um modelo que decide quem recebe qual oferta ou uma automação que prioriza atendimento, você está fazendo tratamento automatizado de dado pessoal. A pergunta que a LGPD faz não é se você usa IA. É se a pessoa afetada consegue entender e contestar.
E há um agravante de contexto: a ANPD foi posicionada como coordenadora do Sistema Nacional de Inteligência Artificial e atua como reguladora residual — em setores sem regulador de IA específico, é ela que normatiza, fiscaliza e sanciona. A agência mantém um sandbox regulatório de IA em andamento, de junho de 2025 a dezembro de 2026, e tem sinalizado IA como tema prioritário de fiscalização no biênio.
Os conselhos de classe não estão esperando o Congresso
Aqui está a evidência mais forte de que esperar a lei geral é aposta ruim.
Enquanto o PL 2338 acumulava adiamento, o Conselho Federal de Medicina publicou e colocou em vigor a sua própria norma. A Resolução CFM 2.454/2026 está valendo desde 26 de agosto de 2026 e obriga médico a registrar em prontuário o uso de IA, informar o paciente, e obriga a instituição a fazer avaliação de risco, instituir governança e criar uma Comissão de IA e Telemedicina.
Ou seja: para clínica, a regulação de IA no Brasil não é assunto futuro. Já aconteceu, com prazo vencido.
Não há razão para supor que medicina seja exceção. Setores com conselho de classe forte e alto impacto sobre indivíduos — advocacia, contabilidade, psicologia, engenharia — têm o mesmo instrumento à disposição e o mesmo incentivo para usá-lo antes da lei geral. Quem opera num desses mercados deveria estar olhando para o conselho, não só para o Congresso.
Como o PL classifica risco, e por que isso já é útil
Mesmo travado, o texto do PL 2338 serve como mapa do que provavelmente vai valer. Ele trabalha com três níveis:
Risco excessivo — proibido. Inclui armas autônomas, manipulação de comportamento e exploração de vulnerabilidades.
Alto risco — permitido com obrigações reforçadas. A lista prevista abrange educação, seleção de candidatos, diagnóstico médico e decisões judiciais.
Demais sistemas — regulação leve, com foco em transparência.
Repare em dois itens do nível alto que quase ninguém associa a marketing: seleção de candidatos e diagnóstico médico. Se a sua operação usa IA em triagem de currículo, ou se a clínica que você atende usa IA em apoio a diagnóstico, esse é o patamar de exigência para o qual se preparar.
Já a maior parte do que a gente faz em mídia, CRM e atendimento cai no terceiro grupo: obrigação de transparência, não de licença. Que é uma boa notícia e um alerta ao mesmo tempo — transparência é barata de implementar antes e caríssima de retroagir depois, quando você precisa explicar dois anos de decisões automatizadas sem ter registrado nenhuma.
O que fazer agora, sem esperar lei
Nada disso exige advogado de contencioso nem projeto de seis meses. É registro e processo:
Inventarie onde a IA decide algo na sua operação. Segmentação, priorização de atendimento, pontuação de lead, escolha de oferta, triagem, análise de currículo, apoio a diagnóstico. A maioria das empresas descobre mais pontos do que imaginava.
Classifique cada um por impacto sobre a pessoa. Decidir qual criativo alguém vê é diferente de decidir se alguém é atendido primeiro, e muito diferente de decidir se alguém é contratado.
Documente a regra. Que critério o sistema usa, quem definiu, quando mudou. É o que sustenta uma resposta ao artigo 20 sem improviso.
Garanta caminho humano de revisão nos usos que afetam a pessoa, e deixe esse caminho visível — não escondido no rodapé da política de privacidade.
Revise contrato de fornecedor: onde o dado fica, se ele treina modelo com o seu dado, qual a base legal, o que acontece no encerramento.
Verifique o seu conselho de classe se você atua em setor regulado. Pode já existir norma valendo, como em medicina.
Escreva um aviso em linguagem simples. Onde você usa IA e o que a pessoa pode pedir. Uma página resolve.
Vale a ressalva de sempre: a gente é agência de tecnologia e performance, não escritório de advocacia. Este texto é leitura operacional de norma pública para orientar prioridade — para decisão de conformidade, converse com o seu jurídico.
Por que isso não é custo, e sim vantagem
Tem uma sobreposição que quase ninguém nota: a lista de exigências de conformidade é praticamente a mesma lista de requisitos de uma operação de IA que funciona.
Documentar a regra de decisão é o que permite auditar por que a verba foi para um criativo e não para outro. Registrar quando a regra mudou é o que permite explicar uma queda de performance. Ter caminho humano de revisão é o que impede a automação de queimar dinheiro sem freio. Saber onde o dado do cliente está é pré-requisito de qualquer medição decente — o mesmo ponto que a gente levantou em medição server-side.
Empresa que trata IA como parte da operação já faz tudo isso, porque precisa para operar. Empresa que comprou ferramenta solta não faz nada disso, e vai descobrir o custo de duas formas: fiscalização ou verba mal alocada. Normalmente a segunda chega antes.
É a nossa tese de sempre, detalhada em IA na camada de decisão. Entregar decisão para a máquina exige definir a regra, registrar e revisar. Isso se chama governança quando o assunto é lei, e se chama método quando o assunto é resultado. É a mesma coisa.
Fontes
PL 2338/2023 — tramitação, Senado Federal
Votação do marco da IA fica para 2026, O Desinformante
CFM normatiza uso da IA na medicina, Conselho Federal de Medicina
Responsável pelo conteúdo e pelas redes da Cluster Digital.