Índice do artigofaltam 7 min de leitura
O projeto que vai regular inteligência artificial no Brasil ainda não virou lei. Isso leva muita empresa a concluir que não há nada a fazer. É a conclusão errada, porque a lei que já alcança quase todo uso corporativo de IA está em vigor desde 2020.
Existe uma espera confortável acontecendo em muitas empresas: implantar IA agora e tratar conformidade quando o marco legal sair. A espera parte de uma premissa falsa, a de que não existe regra hoje.
Este artigo separa duas coisas que costumam ser confundidas: o que já obriga sua empresa, com artigo e texto legal, e o que ainda é projeto, com o status exato de onde ele está.
Resumo do artigo
- O PL 2338/2023 foi aprovado no Senado e remetido à Câmara em março de 2025, onde aguarda parecer em Comissão Especial. Não é lei e não cria obrigação.
- A LGPD já alcança o uso de IA sempre que houver dado pessoal, e traz quatro exigências concretas que quase ninguém endereçou.
- A redação vigente do artigo 20 garante o direito de solicitar revisão de decisão automatizada, e a expressão "por pessoa natural" não consta dela.
- Enviar dado pessoal para a API de um fornecedor no exterior é transferência internacional e só é permitida nas hipóteses do artigo 33.
Onde o PL 2338 está, exatamente
O projeto foi aprovado pelo Plenário do Senado Federal em dezembro de 2024, depois do trabalho da Comissão Temporária Interna sobre Inteligência Artificial, e foi remetido à Câmara dos Deputados em 17 de março de 2025, pelo Ofício SF nº 235. A tramitação no Senado está encerrada. Na Câmara, existe uma Comissão Especial dedicada ao tema e a proposição aguarda parecer.
Ou seja: ele não é lei, não tem prazo de adequação correndo e não impõe sanção a ninguém hoje.
-
Aprovado pelo Plenário
Depois da Comissão Temporária Interna sobre Inteligência Artificial, com relatoria do senador Eduardo Gomes.
-
Enviado à Câmara pelo Ofício SF nº 235
A tramitação no Senado é encerrada e o texto passa a ser matéria da outra casa.
-
Em Comissão Especial, aguardando parecer
O conteúdo ainda pode mudar. Qualquer data de votação divulgada é previsão, não etapa cumprida.
Vale a franqueza sobre o que isso significa para planejamento: montar um programa de conformidade inteiro em cima de um texto que ainda vai ser emendado é desperdício. Ignorar a lei que já vale, com o argumento de que a outra não saiu, é risco.
A LGPD já alcança o que você faz com IA
A Lei Geral de Proteção de Dados não menciona inteligência artificial e alcança quase tudo que se faz com ela, porque o gatilho dela não é a tecnologia: é o dado pessoal. Se o seu assistente interno responde sobre clientes, se o seu modelo classifica currículos, se o seu chatbot atende consumidor identificado, você está tratando dado pessoal, e a lei se aplica sem depender de nenhum marco novo.
Quatro exigências saem direto do texto em vigor e são as que mais aparecem sem resposta em projeto de IA.
Base legal: a pergunta que ninguém fez antes de ligar a IA
O artigo 7º estabelece que o tratamento de dados pessoais só pode acontecer em hipóteses específicas, e lista dez delas. As três que costumam sustentar uso corporativo de IA são o consentimento do titular (inciso I), a execução de contrato do qual o titular é parte (inciso V) e o legítimo interesse do controlador (inciso IX), este último com a ressalva expressa de que não vale quando prevalecerem direitos e liberdades fundamentais do titular.
O ponto prático: uma base legal já existe para o uso original daquele dado, e o novo uso com IA pode não estar coberto por ela. Alimentar um modelo com a base de atendimento coletada para prestar suporte é uma finalidade diferente da que foi informada, e o princípio da finalidade (artigo 6º, inciso I) veda o tratamento posterior de forma incompatível com o que foi informado.
Decisão automatizada dá direito a revisão
O artigo 20 é o que mais diretamente atinge produto com IA. A redação vigente, dada pela Lei 13.853/2019, garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade.
Há um detalhe que costuma ser citado errado, e ele importa. O texto original da lei dizia "revisão, por pessoa natural". Essa expressão não está na redação em vigor: ela saiu na alteração de 2019. Quem afirma que a LGPD obriga revisão humana está citando um texto que foi substituído.
Isso não torna o artigo inofensivo, porque o parágrafo 1º continua exigindo bastante: o controlador deve fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados na decisão automatizada, observados os segredos comercial e industrial. E o parágrafo 2º dá à autoridade nacional o poder de auditar para verificar aspectos discriminatórios quando essas informações forem negadas com base em segredo.
O que isso destrava, em termos de produto: se o seu sistema nega crédito, recusa cadastro, prioriza atendimento ou classifica pessoas, ele precisa nascer com registro do que pesou em cada decisão. Reconstruir isso depois, sob pedido de um titular ou da autoridade, é caro e às vezes impossível.
Mandar dado para a API do fornecedor é transferência internacional
Esta é a exigência mais ignorada em projeto de IA generativa, porque a arquitetura torna o envio invisível: o desenvolvedor chama uma API e o dado sai do país sem que ninguém trate isso como um evento.
O artigo 33 permite a transferência internacional de dados pessoais apenas em hipóteses específicas. Para uso empresarial de fornecedor estrangeiro, a que normalmente se aplica é o inciso II, que exige que o controlador ofereça e comprove garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção da lei, na forma de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta.
Em outras palavras, a conformidade aqui não é técnica, é contratual. Ela mora no contrato com o fornecedor de modelo, não no código.
| Situação no projeto | O que a LGPD exige olhar |
|---|---|
| Assistente interno | Se a finalidade original da base cobre o novo uso, e qual base legal do artigo 7º sustenta. |
| Decisão sobre pessoa | Registro dos critérios da decisão e capacidade de explicar, pelo artigo 20, parágrafo 1º. |
| API de modelo no exterior | Enquadramento no artigo 33 e as garantias contratuais correspondentes. |
| Dado sensível na base | Regime próprio da lei, mais restritivo que o dos dados pessoais comuns. |
Necessidade: o princípio que resolve metade do problema
Antes de qualquer controle sofisticado, existe um princípio que reduz o risco de forma desproporcional ao esforço. O artigo 6º, inciso III, estabelece a necessidade: o tratamento deve se limitar ao mínimo necessário para a finalidade, com dados pertinentes, proporcionais e não excessivos.
Aplicado a um projeto de IA, isso vira uma pergunta de arquitetura muito concreta: o modelo precisa mesmo receber o nome, o CPF e o telefone, ou ele resolve o problema com o histórico sem os identificadores? Na maioria dos casos de classificação, resumo e busca, a resposta é que os identificadores não são necessários, e removê-los antes do envio reduz a exposição sem custar qualidade.
É o tipo de decisão que sai barato quando tomada no desenho e vira retrabalho quando descoberta na auditoria.
O que o PL 2338 acrescenta, pelo texto que já é público
Pelo que foi aprovado no Senado e está sob análise da Câmara, o projeto acrescenta uma camada que a LGPD não tem: classifica sistemas de IA por nível de risco e distingue "inteligência artificial" de "inteligência artificial generativa", definindo a segunda como modelo projetado para gerar ou modificar significativamente texto, imagem, áudio, vídeo ou código.
A consequência de planejamento é direta: sistemas que decidem sobre pessoas em contexto sensível tendem a receber exigências maiores que ferramentas internas de produtividade. Preparar-se pela LGPD hoje já cobre boa parte disso, porque as duas normas compartilham a mesma espinha de transparência, finalidade e responsabilização.
O que não vale fazer é tratar o texto atual como definitivo. Ele ainda está em comissão e pode ser alterado.
O que fazer nas próximas semanas
Nada disso exige esperar votação, e a maior parte é levantamento, não obra.
- Liste onde há IA tocando dado pessoal hoje, incluindo as ferramentas que times adotaram por conta própria.
- Anote a base legal de cada uso e confira se a finalidade informada ao titular cobre o que está sendo feito agora.
- Marque os sistemas que decidem sobre pessoas e verifique se existe registro suficiente para explicar uma decisão específica.
- Mapeie para onde os dados saem e confirme, com o jurídico, o enquadramento contratual de cada fornecedor no exterior.
- Corte identificadores desnecessários antes do envio, aplicando o princípio da necessidade onde ele não custa qualidade.
O item 1 costuma ser o mais revelador, e quase sempre encontra mais ferramentas do que a diretoria imaginava. Vale registrar que este artigo descreve o texto legal e a situação de tramitação; ele não substitui a análise do jurídico da sua empresa sobre o seu caso concreto.
Precisa colocar IA em produção sem criar passivo?
Solicite um orçamento e comece pelo levantamento de onde a IA já toca dado pessoal na sua operação.
Perguntas frequentes
Não. O PL 2338/2023 foi aprovado pelo Plenário do Senado e remetido à Câmara dos Deputados em março de 2025, onde tramita em Comissão Especial. Enquanto isso, ele não cria obrigação para ninguém.
Precisa. A LGPD está em vigor e alcança praticamente todo uso corporativo de IA que envolva dado pessoal, o que inclui base legal, transparência, direito de revisão de decisão automatizada e regras para enviar dados para fora do país.
A redação em vigor, dada pela Lei 13.853/2019, garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado. A expressão "por pessoa natural", que constava do texto original, não está na redação vigente.
Se houver dado pessoal envolvido, sim, e ela só é permitida nas hipóteses do artigo 33 da LGPD. O caminho mais comum em contrato empresarial é o inciso II, com cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais ou certificações.
O artigo 20, parágrafo 1º, obriga o controlador a fornecer informações claras e adequadas sobre os critérios e os procedimentos usados na decisão automatizada, sempre que solicitadas, observados os segredos comercial e industrial.
O texto que veio do Senado classifica sistemas por nível de risco e distingue inteligência artificial de inteligência artificial generativa. O conteúdo final ainda pode mudar na Câmara, então planejar sobre a versão atual é razoável, e tratá-la como definitiva não é.
Fontes e método
O texto legal citado vem da Lei nº 13.709/2018 (LGPD) na versão publicada pelo Planalto, consultada em 31 de agosto de 2026: artigo 6º (princípios), artigo 7º (hipóteses de tratamento), artigo 20 e seus parágrafos, na redação dada pela Lei nº 13.853/2019, e artigo 33 (transferência internacional).
A situação de tramitação do PL 2338/2023 vem da ficha oficial do Senado Federal e das páginas da Comissão Especial da Câmara dos Deputados, consultadas na mesma data. Datas futuras de votação divulgadas por veículos e consultorias não foram incorporadas, porque não constam da tramitação oficial e são previsão, não etapa cumprida.
