A regulamentação da inteligência artificial no Brasil deixou o terreno das hipóteses. O Projeto de Lei nº 2.338/2023, aprovado por unanimidade no plenário do Senado Federal e remetido à Câmara dos Deputados para revisão, estabelece um modelo de classificação de sistemas por nível de risco, cria direitos de transparência, explicação e contestação para pessoas afetadas por decisões automatizadas e prevê sanções que podem alcançar R$ 50 milhões por infração, aplicadas por um sistema nacional de regulação e governança do tema.
Enquanto o texto tramita, a distância entre a adoção acelerada da tecnologia e a maturidade de governança das empresas ficou mensurável: o relatório Cost of a Data Breach, conduzido pelo Ponemon Institute com patrocínio da IBM a partir de 600 organizações no mundo, apontou que 87% das organizações estudadas no Brasil não possuem políticas de governança de IA e 61% operam sem controles de acesso aos seus modelos.
Essa combinação define o problema real do decisor. A pergunta relevante não é se a lei será aprovada nesta ou na próxima janela legislativa, e sim quanto tempo a organização levará para fechar uma lacuna de governança que já produz custo hoje e que se tornará passivo regulatório amanhã. A experiência da adequação à LGPD oferece o precedente: quem começou depois da sanção pagou mais caro, contratou pior e implementou sob pressão aquilo que os concorrentes construíram com calma.
O que a regulamentação da inteligência artificial propõe para as empresas
O desenho do projeto segue a lógica de regulação baseada em risco que inspirou o regulamento europeu, adaptada ao arranjo institucional brasileiro. Sistemas de risco excessivo ficam vedados, sistemas de alto risco recebem obrigações reforçadas de avaliação, documentação e supervisão humana, e as demais aplicações respondem a deveres gerais de transparência.
Para a empresa, a consequência operacional é que a mesma tecnologia pode gerar cargas regulatórias muito diferentes conforme o contexto de uso: um modelo de linguagem aplicado a rascunhos internos e o mesmo modelo aplicado à triagem de candidatos a emprego habitam categorias distintas de risco e de responsabilidade.
Os direitos das pessoas afetadas formam o segundo pilar do texto. Transparência sobre a existência de interação com sistema automatizado, explicação sobre a lógica da decisão e possibilidade de contestação com revisão humana deixam de ser boas práticas voluntárias e passam a ser obrigações exigíveis.
Isso desloca o problema da área de tecnologia para o desenho do produto e do atendimento, porque explicar uma decisão algorítmica a um cliente exige que alguém dentro da organização saiba, de fato, como ela é tomada, com qual base de dados e sob quais critérios de corte.
O texto também distribui deveres conforme o papel de cada agente na cadeia, distinguindo quem desenvolve, quem fornece e quem aplica os sistemas. Essa arquitetura importa porque a maior parte das empresas brasileiras ocupará a ponta da aplicação, e descobrirá que a condição de usuária não a isenta, já que cabe a quem emprega o sistema em decisões que afetam pessoas garantir a supervisão humana adequada, o uso conforme a finalidade documentada e a resposta aos direitos dos afetados.
A fronteira entre a responsabilidade do fornecedor da tecnologia e a de quem a opera será, previsivelmente, o território mais disputado da regulamentação da inteligência artificial, e os contratos assinados hoje já deveriam desenhar essa fronteira em vez de deixá-la para a primeira controvérsia.
Convém desfazer, ainda, a ilusão do vácuo normativo. Sistemas de IA que tratam dados pessoais já respondem à LGPD, inclusive ao direito de revisão de decisões automatizadas previsto em seu artigo 20, e a autoridade de proteção de dados incluiu a inteligência artificial entre as frentes do seu Mapa de Temas Prioritários de fiscalização para o biênio em curso. A empresa que aguarda o marco legal para começar a se organizar está, na verdade, descumprindo obrigações que já existem, diante de um regulador que anunciou publicamente para qual direção está olhando.
Governança de IA: a lacuna que os dados já precificam
Os números do estudo da IBM com o Ponemon Institute ajudam a converter o tema em linguagem de orçamento. No recorte brasileiro, o uso não autorizado de ferramentas de IA pelas equipes, o chamado shadow AI, adicionou em média R$ 591 mil ao custo das violações de dados, enquanto a adoção de tecnologia de governança de IA reduziu esse custo em cerca de R$ 630 mil, medida implementada por apenas 29% das organizações estudadas no país.
No plano global, uma em cada cinco organizações relatou violação envolvendo IA não gerenciada, e das que tiveram modelos ou aplicações comprometidos, 97% não mantinham controles de acesso. Governança, nesse retrato, não é requisito futuro de conformidade, é variável presente de custo.
O mesmo estudo mostra que a tecnologia já opera dos dois lados do incidente. No recorte global, 13% das organizações relataram violações envolvendo seus próprios modelos ou aplicações de IA, outras 8% sequer sabiam dizer se haviam sido comprometidas por essa via, e 16% das violações analisadas envolveram atacantes usando ferramentas de IA, com destaque para phishing e deepfakes.
O quadro desmonta a divisão confortável entre a IA como ativo a proteger e a IA como ameaça a monitorar, porque ela é as duas coisas ao mesmo tempo, e a governança que a empresa estruturar precisa cobrir tanto a segurança dos sistemas que adota quanto a preparação das equipes para golpes que a tecnologia tornou mais convincentes e mais baratos de produzir.
A lacuna tem uma explicação organizacional recorrente. A adoção de IA acontece de forma distribuída, puxada por áreas de negócio que contratam ferramentas ou incorporam funcionalidades sem passar pelos ritos de avaliação que um novo sistema crítico normalmente enfrentaria.
O resultado é um parque de aplicações que ninguém enxerga por inteiro, no qual dados sensíveis circulam por serviços não homologados e decisões relevantes se apoiam em modelos que não passaram por qualquer teste de viés, robustez ou segurança. Nenhum programa de conformidade sobrevive ao que não consegue inventariar.
Estruturar a resposta exige tratar governança de IA como disciplina permanente, não como política publicada na intranet. O núcleo do trabalho combina inventário vivo de sistemas e casos de uso, classificação interna de risco alinhada à lógica do projeto de lei, definição de papéis com um responsável identificável por cada sistema relevante, avaliação de impacto para as aplicações de maior criticidade e supervisão humana desenhada nos pontos de decisão, e não apenas declarada.
Normas como a ISO/IEC 42001 oferecem esqueleto gerencial para esse conjunto e têm a vantagem de gerar evidência auditável, o tipo de prova que reguladores, clientes corporativos e investidores começaram a pedir na mesma frase.
Como preparar a empresa antes da votação do marco legal
O ponto de partida pragmático é o inventário. Mapear quais sistemas de IA a organização usa, desenvolve ou contrata, quais dados alimentam cada um, quais decisões eles influenciam e quem responde por eles internamente costuma revelar um retrato mais extenso do que o comitê executivo imagina, principalmente quando o levantamento inclui as funcionalidades de IA embutidas em softwares já contratados.
Esse mapa é a fundação de todo o resto, porque a classificação de risco, a priorização de controles e a resposta a qualquer questionamento regulatório dependem de saber o que existe.
O segundo movimento é contratual e alcança a cadeia de fornecimento. A maior parte das empresas brasileiras será usuária, e não desenvolvedora, de sistemas de IA, o que significa que parte relevante das suas obrigações dependerá do que os fornecedores documentam, garantem e comunicam.
Cláusulas sobre origem e tratamento dos dados de treinamento, sobre logs e explicabilidade, sobre comunicação de incidentes e sobre responsabilidade em caso de dano precisam entrar no padrão de contratação agora, porque renegociar contratos vigentes sob a pressão de uma lei recém-sancionada é exercício de fragilidade negocial.
O terceiro movimento é de governança corporativa no sentido estrito. A experiência regulatória recente mostra que os temas que ficam órfãos de dono no organograma são os que explodem, e a IA atravessa tecnologia, jurídico, riscos, produto e recursos humanos ao mesmo tempo.
Definir a instância que arbitra conflitos, aprova casos de uso sensíveis e presta contas ao conselho é o que separa um programa de governança de uma coleção de boas intenções departamentais. Treinamento das equipes, com atenção especial a quem usa IA sem perceber que usa, completa a base sobre a qual a adequação formal será construída quando o texto final chegar.
A sequência importa tanto quanto o escopo. Organizações que tentam lançar a governança completa de uma só vez costumam produzir políticas extensas e pouca mudança real, enquanto as que avançam por ondas, começando pelo inventário e pelos casos de uso de maior risco, geram aprendizado e legitimidade interna para as etapas seguintes.
Vitórias rápidas ajudam a financiar politicamente o programa: bloquear o envio de dados sensíveis a ferramentas públicas não homologadas, formalizar o rito de aprovação de novos usos e documentar os sistemas que influenciam decisões sobre pessoas são entregas de semanas, não de anos, e cada uma delas reduz exposição imediata enquanto o arcabouço maior amadurece.
O marco legal definirá prazos, sanções e detalhes que hoje ainda são objeto de disputa legislativa, mas a direção está dada e o custo da inércia já aparece nos relatórios de violação antes de aparecer nos autos de infração. Resta ao decisor um teste simples de prontidão: se um regulador, um grande cliente ou um juiz pedisse amanhã a explicação documentada da decisão algorítmica mais crítica da sua operação, quem na empresa responderia, e com quais documentos na mão?