Introdução
Esperar a aprovação definitiva de uma lei para começar a governar inteligência artificial é uma estratégia cara. O PL 2338/2023 já passou pelo Senado e foi remetido à Câmara dos Deputados em março de 2025; em 3 de agosto de 2026, o tema voltou ao debate institucional no Conselho de Comunicação Social do Congresso. O texto ainda pode mudar, mas os controles empresariais mais importantes não dependem de conhecer a redação final.
O que mudou e por que importa
O debate brasileiro acompanha uma tendência regulatória baseada em risco, transparência, responsabilidade e proteção de direitos. Independentemente da versão final, empresas que usam IA para atendimento, seleção, crédito, marketing, prevenção de fraude, análise de documentos ou apoio decisório precisam saber que sistemas utilizam, de onde vêm os dados, quem responde pelo uso e como resultados são revisados. Essa é infraestrutura de gestão, não mera antecipação legislativa.
Onde está o risco para as empresas
A organização que não possui inventário de IA não consegue avaliar impacto, responder auditoria, negociar contratos nem agir em incidente. Outro risco é terceirizar responsabilidade para o fornecedor: contratar uma plataforma não elimina a necessidade de compreender dados enviados, finalidade, retenção, limitações, logs e possibilidade de contestação. Há ainda automação silenciosa, quando uma recomendação aparentemente auxiliar passa a determinar, na prática, decisões sobre pessoas.
Controles que precisam sair do papel
Comece por inventário e classificação de risco. Para cada sistema, registre finalidade, área proprietária, fornecedor, modelo, dados de entrada, pessoas afetadas, nível de autonomia e impacto potencial. Exija revisão humana em decisões relevantes, critérios de escalonamento, testes de qualidade e viés, documentação de versões e procedimento para suspender o sistema. Contratos devem disciplinar dados, subcontratação, segurança, incidentes, propriedade intelectual, auditoria, mudança de modelo e encerramento.
Como transformar o tema em rotina de governança
Estabeleça fluxo de aprovação proporcional: casos de baixo risco podem seguir checklist; casos que envolvem dados sensíveis, crianças, efeitos jurídicos, financeiros ou laborais exigem análise aprofundada. Mantenha registro das decisões e dos riscos aceitos. Quando a lei mudar, a empresa ajusta critérios e documentos; sem essa base, terá de descobrir o próprio ecossistema de IA sob pressão.
O que a diretoria deve perguntar
A diretoria deve saber quantos sistemas de IA estão em produção, quais influenciam decisões sobre pessoas, quais fornecedores podem usar dados para treinamento, onde existe revisão humana e quais sistemas poderiam ser desligados sem interromper o negócio. Também deve saber quem pode autorizar novo uso de IA. Se qualquer colaborador consegue contratar ferramenta e conectar dados corporativos sem avaliação, a governança ainda não existe.
Conclusão
O melhor preparo regulatório é construir capacidade de explicar e controlar o uso de IA. Inventário, classificação de risco, documentação, contratos, testes e supervisão humana continuam úteis qualquer que seja a redação final do marco legal. Governança antecipada reduz custo de adaptação e melhora decisões hoje.