O Brasil vota sua lei de IA em semanas — com a Europa de exemplo e a LGPD como aviso

O que aconteceu

Em 25 de março de 2026, o relator do PL 2338/2023 na Câmara declarou que o texto está "90% pronto" e a votação pode ocorrer em meados de abril ou início de maio. O Senado havia aprovado o substitutivo em dezembro de 2024. Os pontos abertos — direitos autorais, opt-out, governança dual entre ANPD e reguladores setoriais — ainda podem definir se o Brasil terá um marco equilibrado ou um que afasta investimentos.

O padrão que vai se repetir é o da LGPD: lei aprovada, fiscalização lenta, mas risco de negócio real antes da primeira multa. A LGPD levou 5 anos para a primeira multa de R$ 14,4 mil — mas o custo médio de uma violação de dados no Brasil já chegou a US$ 1,3 milhão. Empresas que esperaram o texto final para pensar em governança chegaram atrasadas com a LGPD. As que repetirem o erro com IA vão chegar atrasadas pela segunda vez.

O principal impasse está nos artigos que tratam de direitos autorais e treinamento de modelos de IA. A versão do Senado exigia que empresas listassem cada obra usada no treinamento — descrito por especialistas como "impraticável e oneroso" para os bilhões de tokens que compõem qualquer modelo de linguagem moderno. A proposta em debate na Câmara é substituir essa exigência pela publicação de um "sumário dos conteúdos utilizados". Outro artigo adota regime de opt-out para uso de obras em treinamento: o uso é permitido sem consentimento prévio, mas o titular pode proibir. Advogados de propriedade intelectual apontam que isso contradiz a Lei de Direitos Autorais brasileira (Lei 9.610/98), que exige autorização prévia — criando insegurança jurídica no núcleo da lei.

Os dois lados têm posições documentadas. A ABES (Associação Brasileira das Empresas de Software) recomendou formalmente a eliminação dos artigos mais restritivos, alertando que as medidas seriam "devastadoras para fintechs, healthtechs e agritechs". O IBDAutoral, pelo lado dos criadores, exige autorização expressa para qualquer uso de obras em IA generativa.

Por que importa para o Brasil

A LGPD oferece o caso de uso mais próximo de como regulação funciona no Brasil. A lei foi aprovada em 2018, entrou em vigor em 2020, e a primeira multa foi aplicada apenas em julho de 2023: R$ 14,4 mil contra uma microempresa. Cinco anos depois da vigência, 80% das empresas seguiam incompletamente alinhadas.

O contraste com a Europa é útil não como modelo a copiar, mas como aviso. O EU AI Act entrou em vigor em agosto de 2024. O custo estimado para PMEs com sistemas de alto risco: até € 400 mil por sistema em conformidade inicial. O impacto já visível: cerca de 20% de redução em investimentos em IA na região.

O custo real do não-compliance no Brasil, porém, veio pelo mercado antes das multas regulatórias: o custo médio de uma violação de dados chegou a US$ 1,3 milhão. É um padrão que o PL 2338 pode reproduzir: obrigações formais sem fiscalização efetiva no curto prazo, mas com risco de negócio real para quem não tiver governança em ordem quando o cenário mudar.

O impacto recai de forma desproporcional sobre startups brasileiras: são elas que menos têm equipes jurídicas dedicadas, que enfrentam custo de compliance relativo ao faturamento muito maior que as grandes empresas, e que competem com players estrangeiros que treinaram modelos antes de qualquer regulação — e portanto não serão alcançados retroativamente.

O risco maior, porém, é o modelo de governança dual: o PL designa a ANPD como autoridade geral, mas mantém reguladores setoriais com competência em saúde, finanças e telecomunicações. Sem definição clara de como conflitos entre reguladores serão arbitrados, empresas em setores como saúde digital ou fintechs enfrentarão dupla conformidade — ou pior, orientações contraditórias.

O que fazer com isso

Independente de quando o PL for aprovado, mapeie agora quais dos seus sistemas de IA seriam classificados como alto risco: decisões de crédito, triagem de saúde, seleção de pessoal, segurança. Para esses sistemas, comece a documentar os dados de treinamento, os critérios de decisão e os mecanismos de contestação. Quando a regulação chegar, empresas com governança formalizada terão vantagem — não apenas de compliance, mas de confiança junto a clientes e reguladores. A LGPD mostrou que o mercado pune antes do regulador.