Marco Legal da IA no Brasil: o Que Todo Tech Lead Precisa Saber

Se você acompanha o mercado de tech no Brasil, provavelmente já ouviu falar do "Marco Legal da IA" em alguma reunião de compliance ou numa pauta de all-hands que ninguém no time de engenharia entendeu direito. O projeto tramita no Congresso Nacional desde 2023 — popularmente ainda referido pelo número do texto original, PL 2338/2023 —, passou por comissão de juristas, virou substitutivo no Senado, foi para a Câmara e segue em debate. Não existe uma versão final. E é por isso que vale a pena entender o panorama agora, em vez de esperar a lei sair para só então correr atrás.

Esse post não é sobre prever o texto exato que vai ser aprovado. É sobre dar para você, tech lead ou head de tecnologia, um mapa mental de para onde as coisas estão indo e o que faz sentido construir hoje, independente de qual versão final for sancionada.

Trato esse tema com o mesmo espírito prático que usei ao cobrir o EU AI Act para tech leads: sem alarmismo, sem fingir certeza jurídica que não tenho, com foco em decisões de engenharia que você pode tomar essa semana. Uma ressalva logo de cara: não sou advogado, isso aqui não é parecer jurídico, e qualquer decisão de compliance formal precisa passar por um profissional do direito que conheça o contexto específico da sua empresa.

---

Por Que o Brasil Não Está Só Copiando o EU AI Act

A pergunta mais óbvia que qualquer engenheiro faz é: "isso não é só uma tradução do EU AI Act?" A resposta curta é não, embora a influência europeia seja real e declarada.

O Brasil tem histórico recente de construir sua própria arquitetura regulatória em vez de importar modelos prontos — a LGPD, por exemplo, bebeu do GDPR europeu, mas incorporou elementos próprios (tratamento de dados sensíveis, figura do encarregado) adaptados à realidade institucional local. O Marco Legal da IA parece seguir padrão parecido: usar a arquitetura de risco escalonado como inspiração, mas adaptar o desenho institucional e algumas categorias de risco ao contexto brasileiro.

Existem razões práticas para isso. O Brasil já tem uma autoridade de proteção de dados relativamente jovem — a ANPD, criada pela própria LGPD — e boa parte do debate legislativo gira em torno de reaproveitar essa estrutura em vez de criar um órgão novo do zero. Some-se a isso um histórico de judicialização de direitos que torna mecanismos como direito à explicação e contestação humana politicamente mais sensíveis aqui do que em boa parte da Europa.

Há também um componente de soberania digital: parte dos parlamentares e da sociedade civil defende que o Brasil precisa de regras que considerem o fato de que a maior parte da infraestrutura de IA relevante (modelos de fundação, nuvem, chips) é controlada por empresas de fora do país. Isso aparece em discussões sobre transparência mais rígida para sistemas desenvolvidos no exterior e sobre o papel do estado em fomentar capacidade nacional de IA — um tema que o EU AI Act, por razões óbvias, trata de forma diferente.

---

A Lógica de Classificação por Risco (e o Papel da ANPD)

O espírito da abordagem por níveis de risco é inspirado no modelo europeu: quanto maior o potencial de dano a direitos fundamentais, mais pesadas as obrigações. Isso não é surpresa — é hoje o modelo regulatório de IA mais discutido no mundo, e várias jurisdições usam variações dele como ponto de partida.

Nas versões do texto que têm circulado, a lógica geral separa sistemas por categorias que vão de risco excessivo (práticas vedadas, como manipulação comportamental e certos tipos de pontuação de cidadãos por entes públicos) até sistemas de risco alto, que concentram a maior parte das obrigações — pense em processos seletivos de emprego, concessão de crédito, saúde, educação, segurança pública e acesso a serviços essenciais. Sistemas de risco mais baixo teriam obrigações mais leves, ligadas principalmente à transparência.

O ponto que diferencia o desenho brasileiro é o papel cogitado para a ANPD. Distintas versões do texto colocaram a Autoridade Nacional de Proteção de Dados como candidata natural a coordenar a governança de IA no país — não como reguladora única, mas como articuladora de um sistema que pode envolver também reguladores setoriais (Banco Central para crédito, ANS para saúde suplementar). Faz sentido institucional: a ANPD já lida com boa parte da lógica de decisões automatizadas por conta do artigo 20 da LGPD, que trata do direito à revisão de decisões tomadas unicamente com base em tratamento automatizado.

Essa interação com a LGPD é o ponto mais relevante para quem constrói produto. Se sua empresa já mapeou bases legais, fez relatórios de impacto à proteção de dados (RIPD) e desenhou fluxos de revisão humana por causa da LGPD, você já tem musculatura relevante para o que o Marco Legal da IA deve exigir — a ideia é que o RIPD vire base para uma avaliação de impacto algorítmico mais ampla, não um processo separado.

Vale reforçar que nada disso está com redação fechada. Diferentes substitutivos moveram peças desse tabuleiro — níveis de risco, setores em "alto risco" por padrão, competência ampla ou compartilhada da ANPD. Trate essa seção como o desenho mais provável hoje, não como texto final.

---

O Que Muda na Prática Para Times de Engenharia

Saindo da teoria e indo para o dia a dia de quem escreve código e toma decisão de arquitetura, existem três frentes que aparecem de forma consistente nas diferentes versões do projeto e valem atenção agora.

A primeira é transparência de interação. A ideia central — presente também no EU AI Act e em praticamente toda proposta séria de regulação de IA — é que o usuário final tenha o direito de saber quando está interagindo com um sistema automatizado em vez de uma pessoa. Isso parece óbvio, mas exige decisão de produto: seu chatbot deixa isso claro no primeiro turno? Seu agente que gera conteúdo ou toma decisões identifica isso de forma visível, ou está escondido atrás de uma UX que sugere interação humana? Se você trabalha com sistemas agênticos e já pensou em controle e governança desses agentes, esse ponto provavelmente já apareceu no seu desenho — a diferença é que ele deixa de ser boa prática e passa a ser, com razoável probabilidade, obrigação legal.

A segunda frente é o direito à explicação sobre decisões automatizadas. O artigo 20 da LGPD já garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. O Marco Legal da IA tende a aprofundar essa exigência: seu sistema precisa produzir uma explicação inteligível — não o funcionamento interno completo do modelo, mas os critérios relevantes que levaram àquela decisão. Se você usa modelos de caixa-preta para decisões de alto impacto sem nenhuma camada de justificativa por cima, esse é o momento de repensar a arquitetura.

A terceira, e provavelmente a mais trabalhosa, é a avaliação de impacto algorítmico para sistemas de alto risco. O desenho é semelhante em espírito à Data Protection Impact Assessment do GDPR e ao regime de avaliação de conformidade do EU AI Act: antes de colocar em produção um sistema que pode afetar significativamente pessoas, você documenta objetivo, dados usados, riscos identificados, medidas de mitigação e supervisão humana. Não é burocracia nova para quem já pratica boas práticas de engenharia — é formalizar decisões que um time responsável já deveria documentar.

Um ponto que costuma pegar tech leads de surpresa: essas obrigações não nascem no dia em que a lei é sancionada. Regulações desse tipo costumam trazer prazos de adequação (o EU AI Act escalona a entrada em vigor por categoria de risco ao longo de anos). É razoável esperar algo parecido aqui — mas "razoável esperar" não é "garantido", e apostar tudo num prazo que talvez não se confirme é risco que eu não recomendaria correr.

---

Comparando com o EU AI Act: o Que Foi Importado e o Que É Diferente

Vale ser honesto sobre até onde vai a semelhança, porque "o Brasil está copiando a Europa" é uma simplificação que atrapalha mais do que ajuda.

O que parece claramente inspirado no modelo europeu: a classificação por níveis de risco, com práticas proibidas no topo e risco mínimo na base; a exigência de documentação técnica e avaliação prévia para sistemas de alto risco; e a transparência obrigatória em interações com IA voltadas ao consumidor final. Esses pilares aparecem, com variações de nomenclatura, em praticamente toda proposta séria de regulação de IA em tramitação no mundo — não é exclusividade europeia, é o "estado da arte" regulatório do momento.

O que é estruturalmente diferente é o desenho institucional de fiscalização. A Europa criou o AI Office e exige autoridade nacional de supervisão dedicada em cada país-membro. O Brasil tende a um modelo mais híbrido, com a ANPD como articuladora e reguladores setoriais (Banco Central, CVM, ANS) atuando em seus domínios — o que pode significar mais sobreposição de competências e ambiguidade sobre "quem fiscaliza o quê".

Outra diferença é o volume de litígio esperado. O Brasil tem cultura jurídica de judicialização mais intensa — ações coletivas, Ministério Público, defensorias públicas e um Judiciário disposto a intervir em direitos do consumidor e proteção de dados. Mesmo com desenho administrativo mais brando, o risco de exposição via ação judicial pode ser proporcionalmente relevante aqui, e mais imprevisível, por depender de decisões caso a caso.

Por fim, há diferença de ênfase: o debate brasileiro dedica mais atenção a temas com peso social específico, como IA em processos seletivos de emprego e viés algorítmico em crédito e segurança pública — categorias que podem receber tratamento mais detalhado do que no correspondente europeu.

---

Planejando Sob Incerteza: o Que Fazer Enquanto o Texto Não Fecha

Aqui está o ponto prático mais importante desse post: você não pode esperar o texto final para começar a se preparar, porque não há previsão confiável de quando isso vai acontecer, e a experiência de outras regulações digitais brasileiras (a própria LGPD levou anos entre aprovação e entrada em vigor efetiva) mostra que datas costumam mudar.

A boa notícia é que existe um conjunto de práticas que funciona como "compliance por padrão" — coisas que fazem sentido independente de qual versão do Marco Legal da IA for sancionada, porque refletem princípios presentes em toda proposta séria de regulação de IA e que também são boas práticas de engenharia responsável. Já toquei nesse tema ao escrever sobre governança de IA como vantagem competitiva para empresas: investir nisso agora não é custo perdido se a lei demorar ou mudar — é infraestrutura organizacional que reduz risco de qualquer forma.

Primeiro: documente decisões de modelo desde o design, não depois que o sistema já está em produção. Objetivo, dados usados, critérios de peso, limitações conhecidas — exatamente o tipo de artefato que qualquer avaliação de impacto algorítmico vai pedir, seja qual for o nome final que a lei der a esse processo.

Segundo: mantenha audit logs estruturados de decisões automatizadas relevantes — não um log genérico, mas um registro de "o sistema decidiu X, com base em Y critérios, na data Z, envolvendo o usuário W". Sem isso, você não consegue responder a uma solicitação de explicação nem reconstituir o que aconteceu numa investigação.

Terceiro: construa canais de contestação reais para usuários afetados por decisões automatizadas — um fluxo com SLA definido, responsável identificado e possibilidade efetiva de revisão humana, não um formulário genérico que cai num limbo. Isso conecta com o direito de revisão que já existe na LGPD.

Quarto: classifique seus próprios sistemas por risco hoje. Sistemas que afetam emprego, crédito, saúde, educação e acesso a serviços essenciais devem ser tratados como candidatos a "alto risco" independente do texto final — é improvável que essas categorias fiquem de fora de qualquer versão aprovada.

---

Conclusão

O Marco Legal da IA brasileiro ainda está em construção, e vai continuar mudando de forma até virar lei — pode ser que o texto final se pareça bastante com o que está sendo debatido hoje, ou pode ser que emendas de última hora reorganizem peças importantes, como já aconteceu antes na tramitação de projetos digitais no Congresso. Isso não é motivo para ignorar o tema; é motivo para se preparar de um jeito que não dependa de acertar o texto exato.

A lição prática para tech leads é simples de enunciar e trabalhosa de executar: trate documentação de decisões de modelo, audit logs estruturados e canais de contestação como infraestrutura permanente do seu produto, não como projeto de compliance pontual amarrado a uma data de sanção de lei. Essas práticas protegem você tanto se o Marco Legal da IA sair parecido com o desenho atual quanto se mudar substancialmente — e tornam seu sistema mais confiável, valor suficiente mesmo sem regulação nenhuma no meio do caminho.

Reforçando o que já disse no início: este post é uma análise técnica e um panorama de cenário provável — não é parecer jurídico, não substitui orientação legal especializada, e nada aqui deve ser tratado como afirmação definitiva sobre o texto final da lei ou sobre obrigações legais específicas da sua empresa. Se você constrói produtos de IA em áreas sensíveis (crédito, saúde, emprego, segurança pública), vale ter um advogado especializado em direito digital acompanhando a tramitação junto com você.

---

Fontes:

• JOTA — Cobertura da tramitação do PL 2338/2023 e o Marco Legal da IA
• Consultor Jurídico (ConJur) — Análises sobre regulação de inteligência artificial no Brasil
• IAPP — International Association of Privacy Professionals, comparativos globais de regulação de IA
• Senado Federal — Tramitação do Projeto de Lei 2338/2023