TL;DR: O marco legal da IA no Brasil ainda não está em vigor: o PL 2338/2023 segue em tramitação no Congresso, sem sanção. O que já vale hoje é a LGPD, aplicável ao tratamento de dados pela IA, e o dever fiduciário do conselheiro (Lei 6.404/76), que não espera lei nova. Para o conselho, o caminho prático é política de uso de IA, classificação do que pode ou não ir a ferramentas e registro das decisões. Atualizado em 12 de novembro de 2026.

O que é o marco legal da IA no Brasil?

O marco legal da IA no Brasil é o conjunto de regras que vai disciplinar o desenvolvimento, a oferta e o uso de sistemas de inteligência artificial no país. Hoje, ele corresponde ao PL 2338/2023, cuja tramitação pode ser acompanhada na Câmara dos Deputados, aprovado pelo Senado em 10 de dezembro de 2024 e pendente na Câmara: em novembro de 2026, aguarda o parecer do relator e não tem força de lei.

O projeto avançou no Legislativo, mas parou antes da sanção. A proposta chegou à Câmara em 17 de março de 2025, por meio do Ofício 235/2025 do Senado Federal, e em 29 de abril de 2025 a Presidência da Casa constituiu Comissão Especial para analisá-la, instalada em 20 de maio de 2025 sob a presidência da deputada Luisa Canziani e a relatoria do deputado Aguinaldo Ribeiro. Em novembro de 2026, o relator ainda não apresentou o parecer.

Além do Congresso, o Executivo também move o tema. O Plano Brasileiro de Inteligência Artificial 2024-2028, do Ministério da Ciência, Tecnologia e Inovação, prevê R$ 23 bilhões em investimentos em pesquisa, soberania digital e capacitação, segundo o MCTI. Ou seja: o Estado brasileiro estimula a adoção e, ao mesmo tempo, prepara regras para contê-la.

A linha do tempo abaixo resume onde o país está:

Marco	Data	Situação
Aprovação no Senado	10/12/2024	Concluído
Chegada à Câmara e instalação da Comissão Especial	17/03 a 20/05/2025	Concluído
Parecer do relator	nov. 2026 (aguardando parecer)	Pendente
Votação em plenário	sem data	Pendente
Sanção, vacância e regulamentação	após a sanção	Pendente

Mesmo depois da sanção, a maior parte das obrigações só nasce com a regulamentação, que define prazos, formulários e procedimentos. Entre a sanção e o início das obrigações há ainda o período de vacância (vacatio legis), a janela entre a publicação da lei e a entrada em vigor das regras, cujo prazo o texto final vai definir. O projeto ainda não está em vigor, mas a preparação do conselho não cabe em um horizonte distante: as frentes abaixo levam meses para amadurecer.

O que o PL 2338/2023 propõe: regulação por risco

Regulação por risco é o modelo que gradua as obrigações pelo potencial de dano do sistema: quanto maior o risco, maiores os deveres de quem desenvolve, oferece e usa a tecnologia. O PL 2338/2023 segue esse desenho, a mesma lógica do AI Act europeu. A diferença central é o estágio: o Regulamento europeu entrou em vigor em 1º de agosto de 2024 e tornou-se aplicável em 2 de agosto de 2026, segundo a Comissão Europeia, enquanto o PL 2338/2023 ainda aguarda parecer na Câmara.

• Risco excessivo, proibido: usos considerados inaceitáveis, como práticas que manipulem comportamento de forma subliminar ou explorem vulnerabilidades de grupos específicos.
• Alto risco, obrigações reforçadas: o texto aprovado lista, entre outros, concessão de crédito, triagem de currículos em recrutamento, veículos autônomos e identificação biométrica em segurança pública, sujeitos a gestão de riscos, supervisão humana e transparência.
• Demais sistemas, deveres gerais: informação ao usuário e boas práticas de governança, sem o peso da faixa alta.

O projeto também cria direitos expressos para as pessoas afetadas por decisões de IA: direito à informação, à explicação, à contestação e à revisão humana, além de proteção contra discriminação. Para as empresas, isso se traduz em registro, rastreabilidade e capacidade de responder pelo critério do sistema.

Na fiscalização, o PL cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), coordenado pela ANPD e integrado por autoridades setoriais como Banco Central, ANATEL e ANS. As sanções administrativas previstas vão da advertência à multa e à suspensão do sistema. Uma leitura introdutória de IA aplicada a colegiados está no guia IA e governança corporativa: guia para conselhos.

O que já está em vigor enquanto a lei não vem

A ausência de sanção não significa ausência de regras. O uso de IA nas empresas brasileiras já é alcançado por normas vigentes, e o conselho que ignorar isso assume risco jurídico hoje, não em 2028.

O exemplo mais direto é a LGPD. O art. 20 da Lei 13.709/2018 garante ao titular de dados a revisão de decisões tomadas unicamente de forma automatizada, inclusive solicitação de nova análise com participação humana. Quem usa IA para triar clientes, pontuar crédito ou priorizar atendimentos já precisa responder por isso.

Somam-se a ela o Código de Defesa do Consumidor e o Código Civil, que alcançam danos causados por produtos e serviços com IA, e normas setoriais já editadas, como as do Conselho Nacional de Justiça para uso de IA no Judiciário. O ponto de partida interno costuma ser a relação entre compliance e LGPD.

O dever de diligência do conselho não espera a publicação no Diário Oficial. A pergunta que o colegiado precisa responder hoje é: onde a empresa já usa IA e quem responde por cada uso.

O que muda para o conselho: as 4 frentes

Para converter a tramitação em plano de trabalho, o conselho pode organizar a preparação em quatro frentes, aqui chamadas de Framework 4 Frentes do Conselho para o Marco Legal da IA.

1. Política de IA aprovada pelo colegiado: documento que define o que a empresa pode fazer com IA, o que exige aprovação prévia e o que está fora dos limites, com responsável nomeado e revisão anual.
2. Inventário e classificação de risco: mapeamento de todos os sistemas de IA em uso, inclusive os contratados de terceiros e os adotados por áreas sem passar pela tecnologia, cada um classificado pela faixa de risco do projeto de lei.
3. Controles para a faixa de alto risco: gestão formal de riscos, supervisão humana nas decisões relevantes, avaliação de qualidade dos dados e transparência para as pessoas afetadas, na linha do que a governança de dados aplicada aos colegiados já recomenda.
4. Registro e prestação de contas: atas e documentos que demonstrem as decisões do conselho sobre IA, trilha de auditoria dos sistemas e relatórios periódicos para o colegiado.

Inventário é a frente que destrava todas as outras. Sem saber onde a IA já opera, o conselho não classifica risco, não define controle e não tem o que registrar. Empresas com múltiplas unidades e áreas autônomas tipicamente descobrem usos que a diretoria não conhecia.

Para aprofundar o repertório do colegiado antes da próxima reunião, vale a leitura do Guia de Inteligência Artificial para Conselheiros, que cobre ética, riscos e critérios de adoção.

Perguntas frequentes

O marco legal da IA no Brasil já foi aprovado?

O marco legal da IA ainda não tem sanção presidencial. O PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e, desde março de 2025, tramita na Câmara dos Deputados, onde, em Comissão Especial, aguarda o parecer do relator em novembro de 2026. Depois do parecer, o texto segue para votação em plenário e, se alterado, retorna ao Senado antes da sanção.

O que é um sistema de IA de alto risco no PL 2338/2023?

Sistema de alto risco é aquele cuja falha ou uso indevido pode afetar direitos fundamentais ou a segurança das pessoas. O texto aprovado cita, entre outros, concessão de crédito, triagem de currículos, veículos autônomos e identificação biométrica em segurança pública. Esses sistemas terão obrigações reforçadas de gestão de riscos, supervisão humana, qualidade de dados e transparência.

O que a empresa já precisa cumprir hoje em relação à IA?

Hoje, o uso de IA já é alcançado pela LGPD, que assegura a revisão humana de decisões tomadas de forma automatizada, pelo Código de Defesa do Consumidor e pelo Código Civil. Normas setoriais, como as do CNJ para o Judiciário, também se aplicam a setores específicos. A sanção do PL 2338/2023 vai somar obrigações, não criar o dever de diligência do zero.

Quem vai fiscalizar a inteligência artificial no Brasil?

A fiscalização ficará com o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), coordenado pela ANPD e integrado pelas autoridades setoriais, como Banco Central, ANATEL e ANS. Cada regulador atua no seu setor, com a ANPD como autoridade central. As sanções previstas vão da advertência à multa e à suspensão do sistema.

O conselho precisa esperar a lei para agir?

O conselho que espera a sanção perde o prazo de adaptação que a própria lei vai prever. As frentes de trabalho, política de IA, inventário, controles e registro, levam meses para amadurecer e dependem de decisão colegiada. Começar antes significa negociar prazos em melhor posição e reduzir o risco que já existe hoje pela LGPD.

Prepare o colegiado antes da sanção

A regulação da IA avança em ritmo de Congresso, e o dever de diligência avança em ritmo de mercado. Atlas Governance, maior portal de governança da América Latina, usado por mais de 750 organizações e 30 mil profissionais em 16 países, mantém agendas, documentos, deliberações e atas do conselho em um só lugar, com trilha de auditoria completa e certificação ISO 27001. Conheça os planos do Atlas Gov e comece gratuitamente.