Regras de IA que já valem no Brasil sem o marco legal

A resposta curta é: mesmo sem o marco legal da IA, quem usa inteligência artificial no Brasil já está sujeito a um conjunto grande de regras. O PL 2338/2023 segue parado na Câmara dos Deputados, mas LGPD, Código de Defesa do Consumidor, Lei de Direitos Autorais, legislação trabalhista, responsabilidade civil e, no caso das eleições de outubro de 2026, resoluções do Tribunal Superior Eleitoral já se aplicam a sistemas automatizados. A ausência de lei específica não cria vácuo jurídico: apenas espalha as obrigações por normas que não foram escritas pensando em IA.

Onde o PL 2338/2023 realmente está

O projeto, de autoria do senador Rodrigo Pacheco (PSD-MG), foi apresentado em 3 de maio de 2023 e aprovado pelo Plenário do Senado em 10 de dezembro de 2024, com três votos contrários. O texto foi remetido à Câmara dos Deputados em 17 de março de 2025, por meio do Ofício SF nº 235.

Na Câmara, uma Comissão Especial foi constituída em 29 de abril de 2025 e o deputado Aguinaldo Ribeiro (PP-PB) foi designado relator em 20 de maio de 2025. Desde então, a ficha de tramitação registra a situação como aguardando parecer do relator na Comissão Especial, com o projeto em regime de prioridade e 37 proposições apensadas.

Em agosto de 2026 o calendário eleitoral travou o que restava do cronograma. Em reportagem de 12 de agosto de 2026, atualizada em 27 de agosto, o site O Desinformante registrou que o relator espera votar o texto apenas “depois das eleições de outubro”, e que o presidente da Câmara, Hugo Motta, priorizaria antes da campanha somente matérias “consensuais”. Para Fernanda Rodrigues, coordenadora de pesquisa do IRIS, chegar ao fim do ano sem lei é “especialmente preocupante em ano eleitoral”. Na prática, quem usa IA em setembro de 2026 deve planejar considerando o direito que já existe.

A LGPD é a norma que mais se aproxima de uma lei de IA

A Lei 13.709/2018 se aplica sempre que o sistema trata dados pessoais, o que abrange treinamento de modelos, personalização, análise de currículos, concessão de crédito e atendimento automatizado. Os pontos mais sensíveis para projetos de IA são:

Art. 6º: princípios obrigatórios, entre eles transparência, finalidade, necessidade, não discriminação e prevenção de danos.
Art. 7º: nenhum tratamento é lícito sem base legal, e consentimento é apenas uma das hipóteses, nem sempre a mais adequada.
Art. 20: o titular pode pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Art. 37: registro das operações de tratamento, exigência reforçada quando a base usada é o legítimo interesse.
Art. 38: a autoridade nacional pode determinar a elaboração de relatório de impacto à proteção de dados pessoais.
Art. 46: medidas técnicas e administrativas de segurança, tema crítico quando dados vão para ferramentas de terceiros.

As sanções do art. 52 chegam a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração. E não se trata de risco teórico: em 24 de dezembro de 2025 a Autoridade Nacional de Proteção de Dados publicou o Mapa de Temas Prioritários para o biênio 2026-2027, no qual “inteligência artificial e tecnologias emergentes” figura entre os quatro temas prioritários, ao lado de direitos dos titulares, proteção de crianças e adolescentes e tratamento de dados pelo poder público.

O CDC não abre exceção para algoritmo

Se o sistema atende consumidor final, a Lei 8.078/1990 incide integralmente. O art. 6º, III garante informação adequada e clara sobre produtos e serviços. O art. 14 estabelece que o fornecedor responde pela reparação de danos causados por defeitos na prestação de serviços independentemente da existência de culpa, ou seja, responsabilidade objetiva. Não existe atenuante por o erro ter partido de um modelo estatístico.

Há ainda dois dispositivos que costumam ser esquecidos em projetos de IA generativa: o art. 30, segundo o qual informação ou publicidade suficientemente precisa obriga o fornecedor, e o art. 37, que proíbe publicidade enganosa, inclusive quando parcialmente falsa. Um chatbot que promete condição inexistente vincula a empresa; um material promocional gerado por IA com afirmação incorreta é publicidade enganosa como qualquer outra.

Direitos autorais: a regra continua sendo autorização prévia

A Lei 9.610/1998 protege as criações do espírito expressas por qualquer meio (art. 7º) e define, no art. 11, que autor é a pessoa física criadora da obra. O art. 22 atribui ao autor os direitos morais e patrimoniais, e o art. 29 condiciona a utilização da obra à autorização prévia e expressa. As limitações do art. 46 são taxativas e não contemplam, de forma explícita, mineração de dados para treinamento de modelos.

Daí decorrem duas consequências. Primeira: usar acervo protegido para treinar ou ajustar modelos sem autorização é juridicamente arriscado no Brasil. Segunda: como o autor é pessoa física, a titularidade sobre conteúdo inteiramente gerado por máquina é incerta, o que enfraquece a proteção de peças publicitárias e materiais criados só com IA.

Trabalho, responsabilidade civil e a regra eleitoral que já vale

No campo trabalhista, o art. 2º da CLT define o empregador como quem assume os riscos da atividade econômica, o que inclui as ferramentas que ele escolhe adotar. A Lei 9.029/1995 proíbe, no art. 1º, prática discriminatória para efeito de acesso à relação de trabalho ou de sua manutenção, e o art. 4º prevê, na dispensa discriminatória, reintegração com ressarcimento integral ou percepção em dobro da remuneração do período de afastamento. Um filtro automatizado de currículos que reproduza viés não é problema de fornecedor: é problema do empregador. Na contratação dessas ferramentas, a divisão de responsabilidades precisa estar no papel, e é por falhar nisso que startups de SaaS perdem contratos por termos de uso frágeis.

Na responsabilidade civil, valem os arts. 186 e 187 do Código Civil e, sobretudo, o parágrafo único do art. 927, que impõe reparação independentemente de culpa quando a atividade normalmente desenvolvida implicar, por sua natureza, risco para direitos de terceiros. É o dispositivo mais provável de ser invocado contra usos de IA em saúde, crédito, segurança e moderação.

Já existe, além disso, regra setorial específica sobre IA. A Resolução TSE nº 23.610/2019, alterada pela Resolução nº 23.755, de 2 de março de 2026, exige aviso explícito, destacado e acessível quando a propaganda eleitoral usa conteúdo sintético, proíbe deepfakes que induzam o eleitor a erro e prevê multa de R$ 5.000 a R$ 30.000, além de vedar a publicação de novo conteúdo sintético nas 72 horas anteriores ao pleito até 24 horas depois. Vale para as eleições de outubro de 2026 e atinge agências e prestadores contratados por campanhas.

Checklist do que fazer antes de a lei chegar

Monte um inventário de usos de IA na empresa, incluindo ferramentas contratadas por áreas de negócio sem passar pela TI.
Para cada uso que envolva dados pessoais, defina e documente a base legal do art. 7º da LGPD antes de escalar o projeto.
Garanta um canal real de revisão humana para decisões automatizadas, atendendo ao art. 20 da LGPD, com prazo e responsável definidos.
Mantenha o registro das operações de tratamento (art. 37) e prepare relatório de impacto para os usos de maior risco (art. 38).
Revise contratos com fornecedores de IA: onde os dados são processados, se há uso para treinamento, quem responde por incidentes.
Verifique a procedência do material usado em treinamento e ajuste fino, à luz do art. 29 da Lei 9.610/1998.
Identifique claramente ao consumidor quando ele fala com uma máquina e valide promessas geradas por IA antes da publicação.
Audite ferramentas de recrutamento e gestão de pessoas em busca de efeito discriminatório, com registro dos testes realizados.
Publique uma política interna de uso de IA e treine as equipes, para que a governança exista em prova documental, não só no discurso.

O que muda se e quando o PL for aprovado

O texto aprovado pelo Senado organiza o tema por níveis de risco, com hipóteses de risco excessivo (vedadas) e de alto risco, que incluem, por exemplo, sistemas usados em diagnóstico e procedimentos médicos, controle de trânsito e análise de bases policiais para identificar padrões de comportamento criminal. Também trata de direitos autorais, prevendo autorização e remuneração para uso de conteúdo protegido, e prevê sanções que chegam a R$ 50 milhões ou 2% do faturamento, além de suspensão do sistema.

A mudança principal não seria criar obrigações do zero, e sim consolidar deveres atualmente dispersos em um regime único, com classificação prévia de risco, documentação padronizada e uma autoridade de referência. Nada disso está definido: o relator ainda não apresentou parecer, o texto pode ser alterado na Câmara e, se houver mudança, volta ao Senado. Quem construir agora inventário, base legal, revisão humana e trilha de auditoria estará em posição melhor sob qualquer versão que venha a ser aprovada, porque essas exigências já decorrem do direito vigente.

Este texto tem caráter informativo e jornalístico e não substitui orientação jurídica. Situações concretas devem ser avaliadas por profissional habilitado. Informações verificadas em 8 de setembro de 2026.