Marco Legal da IA: 3 Passos para sua Empresa se Preparar Agora

O Marco Legal da IA (PL 2338) ainda não virou lei. O projeto foi aprovado no Senado em dezembro de 2024, está em tramitação na Câmara dos Deputados e a votação final segue sem data confirmada em 2026. Mesmo assim, empresas que usam IA em contratação, atendimento, análise de dados ou automação de decisões já deveriam estar se organizando. Esperar a lei sair para começar é a estratégia mais cara.

O que é o Marco Legal da IA e o que muda na prática

O PL 2338 segue o modelo europeu (AI Act): classifica sistemas de IA por nível de risco (excessivo, alto, baixo ou moderado) e distribui responsabilidades entre quem desenvolve, quem fornece e quem usa a tecnologia. Na prática, isso significa três obrigações que vão bater direto na porta de qualquer empresa:

• Transparência: informar quando uma decisão foi tomada ou apoiada por IA (crédito, contratação, atendimento).
• Avaliação de risco: mapear onde a IA impacta pessoas de forma relevante e documentar como esse risco é mitigado.
• Responsabilização: registrar quem decide o quê no uso de IA dentro da empresa, com trilha auditável.

As penalidades propostas chegam a R$ 50 milhões por infração. O valor por si só já justifica tratar o tema como prioridade de governança, não como pauta jurídica distante.

Por que esperar a lei passar é a decisão mais arriscada

Em quase todas as calls de diagnóstico que a ESV conduz, a mesma lacuna aparece: a empresa já usa IA em várias áreas, mas ninguém sabe listar, com precisão, quais sistemas estão em produção, quem aprovou o uso e que dado eles tocam. Isso não é um problema de compliance futuro. É uma lacuna de governança hoje, que a regulamentação só vai deixar mais cara de resolver depois.

Empresas que organizam esse mapeamento agora, antes da lei valer, fazem isso em ritmo próprio, com tempo para corrigir rota. Quem espera a lei aprovar corre para adequar tudo sob prazo legal, com auditoria em cima e menos margem de negociação sobre como fazer.

3 passos para se preparar agora

1. Mapeie todos os usos de IA na empresa, mesmo os informais. Isso inclui ferramentas contratadas oficialmente e as que times adotaram por conta própria (o que já tratamos em detalhe no artigo sobre shadow AI). Sem esse inventário, não existe classificação de risco possível.

2. Classifique por impacto em pessoas, não por sofisticação técnica. Um chatbot simples que decide se um cliente recebe desconto tem mais risco regulatório do que um modelo complexo usado só para análise interna de dados. O critério que importa é quem é afetado pela decisão e como.

3. Defina quem aprova, documenta e revisa cada uso de IA. Não precisa ser um comitê grande. Precisa ser um processo claro, com responsável nomeado e revisão periódica, o mesmo tipo de estrutura que detalhamos no guia de advisory de IA para empresas.

Essas três frentes são exatamente o que um trabalho de advisory contínuo endereça: não um projeto pontual de compliance, mas acompanhamento recorrente que ajusta a governança de IA conforme a empresa cresce e a regulamentação avança.

O papel do advisory nesse momento

Regulamentação muda de redação a cada rodada de tramitação. Uma empresa que trata isso como projeto único corre o risco de adequar processos a uma versão do texto que muda no mês seguinte. Advisory contínuo resolve esse problema porque acompanha a lei junto com o negócio, ajusta prioridades e evita retrabalho.

A ESV apoia empresas nesse acompanhamento através da linha de advisory de IA: mapeamento de uso de IA, classificação de risco e estrutura de governança que resiste a mudanças no texto final da lei, porque parte de princípios (transparência, rastreabilidade, responsabilização) que dificilmente vão sair da versão aprovada, qualquer que seja a data final.

Perguntas frequentes

O Marco Legal da IA já é lei no Brasil? Ainda não. O PL 2338 foi aprovado no Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, sem data final de votação confirmada em 2026. Isso não é motivo para esperar: empresas que se organizam antes da aprovação enfrentam adequação mais tranquila do que quem espera o prazo legal apertar.

Minha empresa pequena também precisa se preocupar com isso? Sim, se usa IA em decisões que afetam clientes ou funcionários, como crédito, atendimento ou contratação. O tamanho da empresa não isenta da lei; o que muda é a complexidade da adequação, geralmente menor e mais rápida de resolver em empresas menores, com menos sistemas para mapear.

Por onde uma empresa sem time jurídico interno deve começar? Pelo mapeamento de todos os usos de IA e a classificação de risco de cada um, etapa que não exige advogado, exige processo estruturado. Um trabalho de advisory ajuda a organizar esse levantamento com apoio técnico e só depois conecta o resultado com o jurídico, se necessário.

Próximo passo

Quer saber onde sua empresa está exposta antes que o Marco Legal da IA vire lei? A ESV oferece um diagnóstico gratuito de IA que mapeia uso, risco e maturidade de governança em poucos dias.