Marco da IA (PL 2338/2023): onde está na Câmara e o que o texto do Senado exige de quem só usa IA

A tabela traz situações hipotéticas e a leitura do ConnectWeek sobre o papel provável em cada uma. A definição final dependeria de regulamento e do caso concreto.

Como o texto classifica o risco

O projeto separa os usos de IA em três faixas.

Risco excessivo (art. 13): uso proibido. A lista inclui sistemas com o propósito de instigar ou induzir pessoas ou grupos a agir de forma que cause dano à saúde, à segurança ou a outros direitos fundamentais delas mesmas ou de terceiros, de explorar vulnerabilidades com esse mesmo efeito, de avaliar traços de personalidade para prever crimes e de facilitar material de abuso sexual infantil. Entram também a pontuação social de pessoas pelo poder público, as armas autônomas e os sistemas de identificação biométrica remota feita em tempo real em locais abertos ao público, salvo nas exceções do inciso IV: instrução de inquérito ou processo criminal com autorização judicial prévia, busca de vítimas de crimes e de pessoas desaparecidas ou ameaça grave e iminente à vida ou à integridade física, flagrante delito de crimes com pena de prisão superior a dois anos e a recaptura de réus foragidos, junto com o cumprimento de mandados de prisão e de medidas restritivas determinadas pelo Judiciário.

Alto risco (art. 14): uso permitido, com deveres. O caput classifica como de alto risco o sistema de IA usado nas finalidades e contextos listados nos incisos, considerando a probabilidade e a gravidade dos impactos negativos sobre as pessoas ou grupos afetados, conforme regulamentação. Os doze incisos cobrem infraestrutura crítica, seleção e avaliação de estudantes, emprego, acesso a serviços essenciais, triagem de chamadas de emergência, justiça, veículos autônomos, saúde, estudo analítico de crimes, investigação por autoridades administrativas, reconhecimento de emoções e controle de fronteiras. Na leitura do ConnectWeek, o item mais próximo do dia a dia da pequena empresa privada é o inciso III:

"III – recrutamento, triagem, filtragem ou avaliação de candidatos, tomada de decisões sobre promoções ou cessações de relações contratuais de trabalho, avaliação do desempenho e do comportamento das pessoas afetadas nas áreas de emprego, gestão de trabalhadores e acesso ao emprego por conta própria;" (PL 2338/2023, texto do Senado, art. 14)

Dois limites importam. O parágrafo único do art. 14 tira da faixa o uso em que o sistema de IA funciona como tecnologia intermediária, sem influenciar nem determinar resultado ou decisão, e também o uso em que ele cumpre uma tarefa processual restrita. E a lista não é fechada: o art. 15 deixa ao Sistema Nacional de Regulação e Governança de IA (SIA) a tarefa de regulamentar como se classifica a lista de sistemas de alto risco e de identificar novas situações de aplicação de alto risco. Um detalhe para conferir em resumos de terceiros: a análise ou concessão de crédito não está nomeada entre os incisos do art. 14 do texto enviado à Câmara.

Demais usos. O que não está nas duas listas fica fora do pacote do alto risco, mas não fora da lei: os direitos gerais do art. 5º valem seja qual for o grau de risco do sistema, incluindo o direito de ser informado sobre as interações com IA, o que abrange saber que a interação é automatizada. E o art. 17 manda os agentes de IA assegurar que os sistemas sejam seguros e que os direitos das pessoas ou grupos afetados sejam atendidos, na forma do regulamento.

A avaliação preliminar, que é a autoclassificação do sistema em uma dessas faixas, aparece no art. 12 como faculdade: o agente tem a opção de fazer uma avaliação preliminar para definir o grau de risco do sistema, e o § 1º a trata como boa prática que pode trazer benefícios ao agente na dosagem de sanções do art. 50, § 1º. Para o desenvolvedor de IA de propósito geral e generativa, o art. 29 usa "deverá". E o § 4º do art. 12 dá à autoridade competente, em colaboração com as autoridades setoriais e garantidos o contraditório e a ampla defesa, o poder de determinar a reclassificação do sistema e também de exigir, em decisão fundamentada, que se faça avaliação de impacto algorítmico.

O que o aplicador teria de fazer em um uso de alto risco

O art. 18 trata do desenvolvedor e do aplicador que introduzirem ou colocarem em circulação sistema de alto risco: eles devem adotar, entre outras, as medidas de governança e os processos internos listados no artigo, conforme o estado da arte da tecnologia e com esforços razoáveis. Para o aplicador, o inciso I lista seis itens, aqui resumidos:

1. documentar o uso ao longo das etapas relevantes do ciclo de vida do sistema (alínea a);
2. usar ferramentas ou processos que permitam avaliar acurácia e robustez dos resultados e apurar resultados discriminatórios, registrando as medidas de mitigação (alínea b);
3. documentar testes de confiabilidade e segurança (alínea c);
4. documentar o grau de supervisão humana que contribuiu para os resultados (alínea d);
5. adotar medidas contra vieses discriminatórios, quando o risco de discriminação vier da aplicação do sistema (alínea e);
6. disponibilizar informações que permitam interpretar os resultados e o funcionamento do sistema, respeitado o sigilo industrial e comercial (alínea f).

Além disso, o art. 25 diz que a avaliação de impacto algorítmico cabe, como obrigação, ao desenvolvedor ou ao aplicador que lançar ou puser em circulação no mercado um sistema de IA, sempre que o sistema ou o uso dele for de alto risco, levando em conta o papel e a participação de cada agente na cadeia. A pessoa afetada por um sistema de alto risco ganharia, pelo art. 6º, direito à explicação, direito de contestar e direito à revisão humana. A supervisão humana pode ser dispensada quando implantá-la for comprovadamente impossível ou exigir esforço desproporcional; nesses casos, o agente deve adotar medidas alternativas que sejam eficazes (art. 8º, parágrafo único).

Na leitura do ConnectWeek, parte dessa documentação dependeria do fornecedor. O art. 18, II, a, manda o desenvolvedor manter registro das medidas de governança para fornecer ao aplicador as informações de que ele precisa para cumprir as obrigações do inciso I do caput, conforme a relação jurídica entre as partes e preservado o sigilo comercial e industrial, e o § 3º obriga os agentes da cadeia a cooperar entre si. O § 1º ainda deixa às autoridades setoriais definir as hipóteses em que as obrigações fixadas em regulamento serão flexibilizadas ou dispensadas, conforme o contexto em que o agente atua na cadeia de valor do sistema de IA.

Há ainda o dever de comunicar incidente grave (art. 42), que, pelo § 1º, só passa a valer depois que a autoridade setorial fixar o prazo e os critérios para determinar a gravidade do incidente.

O que o texto prevê para micro e pequenas empresas

O texto do Senado não traz dispensa geral por porte. As menções a micro e pequenas empresas são estas:

Repare que o art. 67 fala de sistemas ofertados por pequenas empresas, ou seja, de quem desenvolve ou fornece IA. Na leitura do ConnectWeek, para a pequena empresa que só usa ferramenta de terceiro, o que limita os deveres é sobretudo o desenho por risco, não uma regra de porte.

Sanções e responsabilidade previstas

As sanções do art. 50 vão de advertência à suspensão do sistema e à proibição de tratar determinadas bases de dados. A multa tem teto total de R$ 50 milhões por infração e, para pessoa jurídica de direito privado, fica em até 2% do faturamento bruto da empresa, do seu grupo ou conglomerado no Brasil no último exercício, sem contar os tributos. Entre os critérios de dosagem estão a condição econômica do infrator, a boa-fé e o fato de o infrator ter adotado política de boas práticas e governança (art. 50, § 1º, IX). A fiscalização seria coordenada pela ANPD, citada no art. 45 como autoridade competente; o texto do Senado a chama de Autoridade Nacional de Proteção de Dados, e a LGPD, na redação dada pela Lei 15.352/2026, já usa o nome Agência Nacional de Proteção de Dados.

Na responsabilidade civil, o texto não cria regime novo para relações de consumo: o art. 35 mantém os danos causados por IA nessas relações sujeitos ao Código de Defesa do Consumidor. O art. 37 acrescenta que o juiz inverterá o ônus da prova em duas situações: se a vítima for hipossuficiente ou se o funcionamento do sistema de IA tornar excessivamente custoso para ela provar os requisitos da responsabilidade civil.

O que já vale hoje, sem o marco

Enquanto o projeto não vira lei, uma regra em vigor que já trata de decisão automatizada está na LGPD. Pelo art. 20 da Lei 13.709/2018, a pessoa cujos dados foram tratados pode pedir que sejam revistas as decisões tomadas apenas com base em tratamento automatizado de dados pessoais que afetem os interesses dela, e o § 1º obriga o controlador a informar, quando pedido, os critérios e procedimentos usados na decisão, observados os segredos comercial e industrial. Para quem coloca dados de clientes em ferramentas de IA, os cuidados da LGPD estão no guia sobre o que a equipe pode e não pode colar no ChatGPT, e as regras internas cabem num modelo de política de uso de IA para pequena empresa. A empresa que atende clientes na União Europeia pode já estar sujeita a regras do regulamento europeu, explicadas no texto sobre o AI Act europeu e a empresa brasileira.

Perguntas para a pequena empresa que usa IA de terceiros

Nenhuma das obrigações do PL 2338 vale hoje. O roteiro abaixo, elaborado pelo ConnectWeek, serve para saber onde o texto do Senado pegaria a empresa se fosse aprovado como está, e para guardar as respostas que a ajudariam a se adaptar caso ele avance:

1. Em que processos a IA participa de decisão sobre pessoas? Liste os usos em contratação, avaliação de desempenho, promoção ou desligamento: são os que o art. 14, III, coloca no alto risco.
2. Nesses processos, a IA decide ou só prepara? Se ela apenas organiza informação e uma pessoa decide, o parágrafo único do art. 14 pode afastar o alto risco; se o resultado dela determina a decisão, não.
3. O cliente sabe quando fala com um robô? O direito à informação do art. 5º, I, cobre o caráter automatizado da interação, em qualquer faixa de risco.
4. A empresa alterou a ferramenta ou mudou a finalidade dela? Pelo art. 18, § 5º, modificação substancial ou mudança de finalidade pode transformar o aplicador em desenvolvedor.
5. O fornecedor documenta testes, limites e medidas contra viés, e entrega essa documentação? O texto do Senado coloca esse registro na conta do desenvolvedor para que o aplicador cumpra a parte dele. Os pontos a pedir por escrito estão nas cláusulas do contrato com fornecedor de IA, e os sinais de alerta na escolha, no roteiro de como avaliar fornecedor de IA antes de contratar.
6. Quem confere o resultado antes que ele afete alguém, e isso fica registrado? No alto risco, o art. 18, I, d, pede documentação do grau de supervisão humana.
7. A empresa já atende pedidos de revisão com base no art. 20 da LGPD? Esse dever já existe e não depende do marco.

Este texto tem caráter informativo e descreve o PL 2338/2023 na versão aprovada pelo Senado e enviada à Câmara, com a tramitação consultada em 12 de outubro de 2026. O projeto pode ser alterado antes de virar lei. Não substitui a análise do caso concreto por advogado.