Entenda o PL 2338/2023, o Marco Legal da IA, e o Papel da Union One

O PL 2338/2023 é o projeto de lei que pretende regular o desenvolvimento e o uso da inteligência artificial no Brasil. O texto foi aprovado pelo Senado em dezembro de 2024 e aguarda votação na Câmara dos Deputados. Ainda não é lei, mas já indica com clareza o que será cobrado das empresas que usam IA em decisões que afetam pessoas.

Para organizações de setores regulados, como energia, finanças e logística, o tema deixou de ser apenas jurídico. A adequação depende de saber onde a IA está sendo usada, com quais dados e sob qual responsabilidade, e esse trabalho de base leva tempo. Este artigo resume o estágio do projeto, as principais regras e como a Union One apoia essa preparação.

Em que Pé Está o PL 2338/2023 na Câmara dos Deputados

O Senado aprovou o projeto em 10 de dezembro de 2024, e ele seguiu para a Câmara em março de 2025. Lá, tramita em uma comissão especial presidida pela deputada Luisa Canziani, com relatoria do deputado Aguinaldo Ribeiro (PP-PB). A comissão realizou dezenas de reuniões e ouviu um grande número de especialistas, mas o parecer do relator ainda não foi votado.

As previsões de votação já foram adiadas mais de uma vez. Houve expectativa de votar em fevereiro e depois em maio de 2026, sem confirmação. O principal impasse é o tratamento de direitos autorais no treinamento de modelos de IA. Em agosto, o relator indicou que os trabalhos retomam com força total após as eleições, com votação possível no fim do ano.

Se a Câmara alterar o texto aprovado no Senado, o projeto volta para nova análise dos senadores antes de seguir para sanção. O prazo é incerto, mas o desenho geral do projeto é conhecido, e é sobre ele que as empresas podem trabalhar desde já.

A Lógica do Marco Legal da IA: Quanto Maior o Risco, Maior a Exigência

O projeto não trata todos os sistemas de IA da mesma forma. Ele os classifica por nível de risco, e é essa classificação que define o tamanho das obrigações de cada organização. Um assistente que resume documentos internos, por exemplo, não recebe o mesmo tratamento que um modelo que apoia a concessão de crédito ou a seleção de candidatos.

Risco Excessivo (Uso Proibido)

São usos considerados incompatíveis com direitos fundamentais. Entram nessa faixa a manipulação que causa dano à saúde, à segurança ou aos direitos das pessoas, a pontuação social feita pelo poder público e as armas autônomas. A identificação biométrica remota em tempo real em espaços públicos também é restringida, com exceções previstas no texto.

Alto Risco (Uso Permitido, com Regras)

O texto lista doze finalidades, entre elas infraestrutura crítica, seleção em educação e emprego, acesso a serviços essenciais e apoio a diagnóstico médico. A autoridade competente poderá ampliar a lista. Quem opera sistemas nessa faixa deve cumprir exigências de governança, documentação e avaliação de impacto antes de colocar o sistema em uso.

Demais Sistemas

Os demais sistemas ficam sujeitos a regras mais leves, como informar à pessoa que ela está interagindo com uma IA e respeitar privacidade e não discriminação. Isso não elimina a necessidade de controle, porque o risco de cada uso só pode ser avaliado por quem sabe onde ele ocorre.

O Que Muda para Quem Opera Sistemas de Alto Risco

Para os sistemas de alto risco, o projeto prevê medidas de governança, registro do funcionamento do sistema e uma avaliação de impacto algorítmico antes de ele ser colocado no mercado. A supervisão humana é a regra, e só pode ser dispensada quando for comprovadamente impossível ou desproporcional, com medidas alternativas.

Os direitos das pessoas afetadas ganham peso:

• Informação: a pessoa deve saber que está interagindo com um sistema de IA ou que uma decisão foi apoiada por ele.
• Explicação: em sistemas de alto risco, é possível pedir esclarecimentos sobre como a decisão foi tomada e quais fatores pesaram.
• Contestação: a decisão automatizada pode ser questionada pelo titular.
• Revisão humana: o resultado contestado deve poder ser reavaliado por uma pessoa.
• Não discriminação e privacidade: valem para qualquer sistema, independentemente do nível de risco.

Em setores regulados, esses direitos têm efeito direto na operação. Um modelo que nega crédito, prioriza atendimento ou aciona uma ordem de serviço precisa ter lógica registrada e caminho claro para revisão.

Fiscalização, Multas e Prazos de Vigência

A fiscalização ficaria a cargo do Sistema Nacional de Regulação e Governança de IA (SIA), com coordenação da Autoridade Nacional de Proteção de Dados (ANPD). As sanções vão de advertência até a suspensão do sistema. Para pessoas jurídicas de direito privado, a multa simples pode chegar a 2% do faturamento bruto no Brasil, limitada a R$ 50 milhões por infração, conforme o texto aprovado no Senado. Esses valores podem mudar na Câmara.

Os prazos de vigência previstos no texto do Senado também merecem atenção:

• 180 dias após a publicação: proibições de risco excessivo, regras para IA generativa e de propósito geral e a seção de direitos autorais.
• 730 dias após a publicação: as demais regras gerais.

A transição parece longa, mas mapear sistemas, classificar riscos, definir responsáveis e documentar decisões consome meses. Empresas que começam só depois da publicação da lei tendem a trabalhar sob pressão e com custo maior.

LGPD e PL 2338: O Que Já Vale Hoje

A Lei Geral de Proteção de Dados já está em vigor e trata, entre outros pontos, de decisões tomadas exclusivamente por tratamento automatizado e dos direitos dos titulares. Organizações que já mantêm registro das operações de tratamento, bases legais definidas e responsáveis nomeados chegam ao Marco Legal da IA com vantagem.

Já as que ainda não organizaram essa base enfrentam um duplo esforço: adequar-se à LGPD hoje e ao PL amanhã. Por isso, tratar IA e dados como um único programa de governança costuma ser mais eficiente do que abrir dois projetos separados.

Por Onde Começar: Plano de Adequação em 5 Passos

Mesmo sem data de votação, é possível avançar com ações que serão úteis em qualquer cenário:

• Inventário de IA: listar modelos, agentes, copilotos e fornecedores, incluindo ferramentas contratadas diretamente por áreas de negócio.
• Classificação de risco: avaliar cada uso a partir das categorias do projeto, priorizando o que influencia decisões sobre pessoas.
• Responsáveis e aprovação: definir um dono para cada sistema e um fluxo para aprovar mudanças relevantes.
• Documentação e explicabilidade: registrar dados utilizados, lógica da decisão, testes realizados e canal de contestação.
• Contratos e arquitetura: revisar com fornecedores onde os dados são processados, quem pode treinar modelos com eles e quais as saídas em caso de mudança.

Union One: IA e Dados Preparados para o Marco Legal da IA

A Union One é a camada de inteligência artificial e dados da Union para empresas de setores regulados. Em vez de tratar a conformidade como um documento isolado, a abordagem conecta governança, dados e arquitetura, de forma que cada decisão de IA possa ser explicada, auditada e custeada. O trabalho começa pelo que a lei exigirá e termina com entregas que a empresa consegue verificar.

Como a Union One Apoia a Adequação ao PL 2338/2023

• Inventário e Governança de IA: mapeia os sistemas em uso, classifica o risco de cada um e estrutura responsáveis, políticas e documentação. É o ponto de partida natural para o projeto de lei. Conheça a oferta de Inventário e Governança de IA.
• Governança baseada em referências reconhecidas: organiza a governança com apoio de COBIT 2019, ISO/IEC 38500, ITIL 4 e ISO/IEC 42001, para que as políticas de IA se encaixem no modelo de gestão que a empresa já possui.
• Governança de dados: estrutura qualidade, linhagem e responsabilidades para que as decisões do modelo sejam rastreáveis. Veja a página de governança de dados.
• Arquitetura de IA soberana e FinOps de modelos: define onde cada modelo roda, com dados e hospedagem no Brasil, e acompanha o custo de uso. Saiba mais sobre Arquitetura de IA Soberana e FinOps de Modelos.
• Apoio jurídico e regulatório: acompanha a evolução da norma e converte exigências em controles práticos, em conjunto com o Union Legal e o Union RegTech.
• Modelo de contratação objetivo: escopo claro, preço fixo e critérios de saída definidos. Veja como contratar.

Quer saber onde sua empresa está exposta ao Marco Legal da IA? Fale com um especialista da Union One e comece pelo mapa de IA e dados.

Benefícios para as Empresas e para as Pessoas Afetadas

Para as Empresas

• Previsibilidade regulatória: um inventário e uma classificação de risco prontos reduzem o esforço quando a lei for publicada.
• Decisões explicáveis: documentação e rastreabilidade facilitam respostas a clientes, auditorias e órgãos de controle.
• Controle de custos: o acompanhamento do uso de modelos evita gastos sem dono e reforça a governança financeira de IA.
• Confiança comercial: clientes e parceiros de setores regulados tendem a exigir evidências de governança de seus fornecedores.

Para as Pessoas Afetadas

• Transparência: informação clara sobre quando e como a IA participa de uma decisão.
• Direito de contestar: canal definido para questionar o resultado e pedir revisão humana.
• Proteção contra discriminação: controles que reduzem o risco de vieses em decisões sensíveis.

Conclusão

O PL 2338/2023 ainda depende da votação na Câmara, mas sua lógica já orienta o mercado: classificar por risco, documentar, explicar e permitir revisão. Quem espera o texto final para começar tende a enfrentar prazos curtos, enquanto quem organiza a base agora transforma a regulação em vantagem de confiança.

A Union One apoia esse caminho com inventário, governança, dados e arquitetura de IA para setores regulados. O primeiro passo é saber o que existe, onde está e qual o risco de cada uso, e a partir daí o plano de adequação passa a ser objetivo.

Perguntas Frequentes sobre o PL 2338/2023

O PL 2338/2023 já é lei?

Não. O projeto foi aprovado pelo Senado em 10 de dezembro de 2024 e aguarda votação na Câmara dos Deputados, em comissão especial. Se a Câmara modificar o texto, ele retorna ao Senado antes de seguir para sanção. Enquanto isso, nenhuma obrigação do projeto está em vigor, mas a LGPD já se aplica.

Qual é a multa prevista no Marco Legal da IA?

No texto aprovado pelo Senado, a multa simples para pessoas jurídicas de direito privado pode chegar a 2% do faturamento bruto no Brasil, limitada a R$ 50 milhões por infração. Há também sanções como advertência e suspensão do sistema. Os valores podem mudar durante a tramitação na Câmara.

Minha empresa precisa esperar a lei para se adequar?

Não. Inventário de IA, classificação de risco, definição de responsáveis e documentação das decisões são ações úteis em qualquer cenário e também fortalecem a conformidade com a LGPD. Começar antes reduz custo, risco e pressão de prazo quando a lei for publicada.

Usar ChatGPT ou Copilot na empresa entra no projeto?

Depende do uso. Uma ferramenta usada para resumir textos internos tem risco bem menor do que a mesma ferramenta apoiando decisões de crédito, contratação ou atendimento a consumidores. Por isso, o primeiro passo é um inventário que mostre onde e para que cada ferramenta é utilizada.