Regulação de IA no Brasil: o que o PL 2338 e a ANPD já exigem da sua operação

Existe lei de IA valendo no Brasil hoje?#

Não. Em julho de 2026 o Brasil não possui marco legal específico de inteligência artificial em vigor, embora o debate esteja avançado no Congresso.

O andamento é o seguinte: o PL 2338/2023 foi aprovado pelo Senado Federal em 10 de dezembro de 2024 e enviado à Câmara dos Deputados, onde uma Comissão Especial foi criada. O projeto tramita na Câmara desde março de 2025 e a votação final foi adiada para 2026, em meio a impasses políticos e críticas ao texto.

Em paralelo, o Executivo encaminhou em dezembro de 2025 projeto de lei complementar criando o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial (SIA), formalizando a ANPD como coordenadora do sistema.

Então por que a ANPD já importa para a minha operação?#

Porque ela já anunciou onde vai olhar. Em dezembro de 2025 a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027 e colocou inteligência artificial e tecnologias emergentes como um dos quatro eixos de fiscalização.

Além disso, o sandbox regulatório de IA da autoridade já está em fase de testes com três empresas selecionadas. Sandbox é onde o regulador aprende o que vai exigir depois: o que sai dessa fase tende a virar orientação.

Para uma operação comercial com IA que conversa com pessoas físicas por WhatsApp e voz, isso é bem concreto. Você trata dado pessoal, muitas vezes dado financeiro, em decisão automatizada. Isso está no centro do eixo declarado.

O que ter pronto agora, independentemente do texto final da lei?#

Há um conjunto de controles que aparece em toda proposta de regulação séria, do PL 2338 ao AI Act europeu, e que já é exigível pela LGPD. Vale implementar por isso, não por medo de multa:

1. Inventário de agentes. Quais agentes existem, o que cada um faz, quais dados acessa, quem é o responsável.
2. Transparência de que é IA. A pessoa precisa saber que fala com um agente, e como pedir atendimento humano.
3. Base legal e finalidade. Por que aquele dado é tratado naquela conversa, e por quanto tempo fica guardado.
4. Registro auditável. Toda conversa recuperável, com o que foi oferecido, aceito e decidido.
5. Revisão humana. Caminho claro para contestar uma decisão automatizada, com pessoa capaz de reverter.
6. Limite de autonomia. O que o agente nunca pode prometer, conceder ou afirmar, configurado como regra e não como sugestão de prompt.
7. Avaliação de risco. Documento simples que diga o que pode dar errado naquele uso e o que mitiga.

Nenhum desses itens depende de saber como o PL 2338 será votado. Todos ficam mais caros se forem adicionados depois.

Como isso se conecta com a operação, não só com o jurídico?#

O erro comum é tratar conformidade como parecer jurídico arquivado. Em IA conversacional, conformidade é característica de produto: se a plataforma não grava a conversa de forma auditável, nenhum parecer resolve.

Na prática, escolher plataforma passou a ser também uma decisão de conformidade. Vale perguntar ao fornecedor: onde a conversa fica armazenada, por quanto tempo, quem pode consultar, como se exporta o histórico de um titular que pede seus dados, como se configura o que o agente não pode dizer, e como se prova o que foi dito em uma disputa.

É esse conjunto que a camada de governança da DOM360 AI trata como parte do produto: multitenancy com permissões, auditoria de conversas e handoff humano disponível em toda operação.

Marco regulatório de IA no Brasil: onde estamos