No AI law doesn't mean no AI rules: how to govern while the legal framework is pending

Pontos principais

• O PL 2338/2023 aguarda parecer do relator na comissão especial da Câmara, depois de várias datas de votação não cumpridas.
• O Regulamento (UE) 2026/1744 adiou as obrigações de alto risco do AI Act para dezembro de 2027 e agosto de 2028, sem eliminá-las.
• Mesmo sem lei específica, a IA já está sujeita a regras: proteção de dados, defesa do consumidor e regulação setorial.
• Uma base mínima de governança — inventário, classificação de risco, responsável humano, regra de dados e registro — serve para qualquer versão final da lei.

Onde está a regra específica

O PL 2338/2023, de autoria do senador Rodrigo Pacheco, chegou à Câmara em 17 de março de 2025 e, na ficha oficial de tramitação, aparece como "Aguardando Parecer do(a) Relator(a)" na comissão especial, com o deputado Aguinaldo Ribeiro como relator e última ação registrada em 27 de outubro de 2026.

Segundo um monitor legislativo independente, o Senado aprovou o texto em 10 de dezembro de 2024, e datas de votação previstas na Câmara para novembro de 2025 e para maio e junho de 2026 não foram cumpridas; em agosto de 2026, o relator indicou que a votação ficaria para depois das eleições.

Na Europa, o Regulamento (UE) 2026/1744, conhecido como Digital Omnibus sobre IA, foi publicado no Jornal Oficial em 24 de julho de 2026 e entrou em vigor três dias depois, conforme seu art. 4º.

Pelo texto publicado (art. 1º, ponto 40, alínea b, que altera o art. 113 do AI Act), as obrigações para sistemas de alto risco listados no Anexo III passam a valer em 2 de dezembro de 2027, e as de IA embarcada em produtos regulados do Anexo I, em 2 de agosto de 2028.

O quadro, portanto, é de regra específica em construção dos dois lados do Atlântico. Para empresas brasileiras com clientes, sócios ou operações na Europa, o calendário europeu também importa.

Já há regra hoje

No Brasil, a LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive as que definem perfil profissional, de consumo e de crédito, e obriga o controlador a fornecer, sempre que solicitadas, informações claras sobre os critérios e procedimentos usados, observados os segredos comercial e industrial.

Além disso, o Código de Defesa do Consumidor continua valendo para quem usa IA no atendimento, na oferta e na cobrança, e reguladores setoriais — financeiro, saúde, energia, telecomunicações — aplicam suas próprias regras de gestão de risco e de terceiros a sistemas automatizados.

Na União Europeia, as proibições de certas práticas de IA valem desde 2 de fevereiro de 2025, as obrigações para modelos de IA de uso geral desde 2 de agosto de 2025, e a data geral de aplicação do AI Act é 2 de agosto de 2026.

O letramento em IA era exigido desde fevereiro de 2025; com o Digital Omnibus (art. 1º, ponto 5, que altera o art. 4º do AI Act), a regra passou a pedir que fornecedores e responsáveis pela implantação (deployers) adotem medidas para apoiar o letramento das suas equipes, sem exigir que assegurem um nível específico de letramento de cada pessoa.

O risco não espera o Diário Oficial

Enquanto o texto legal específico não chega, a IA já está no dia a dia: em triagem de currículos, previsão de demanda, análise de crédito, atendimento, manutenção preditiva, relatórios gerados automaticamente. Em boa parte das empresas, esse uso cresceu de baixo para cima, por iniciativa de áreas e pessoas, sem inventário e sem dono.

O problema não é a ferramenta; é a decisão sem responsável. Quando um modelo erra a previsão, recomenda um fornecedor inadequado ou expõe um dado de cliente, a pergunta "quem aprovou isso?" costuma não ter resposta. Esse é um risco de gestão, e nenhuma lei nova precisa entrar em vigor para que ele exista.

Uma base mínima que vale para qualquer lei

1. Inventário. Liste onde a IA é usada: ferramenta, área, finalidade, dados envolvidos e quem responde. Sem inventário não há governança; há suposição.

2. Classificação de risco. Separe os usos por impacto. Gerar um rascunho de e-mail não é o mesmo que recomendar quem será contratado, conceder crédito ou parar uma linha de produção. A lei europeia e o projeto brasileiro partem dessa mesma lógica de risco, e é ela que deve orientar o esforço de controle.

3. Responsável humano. Todo uso de risco relevante precisa de um dono com nome e cargo, que entenda o que o sistema faz, conheça seus limites e possa interromper o uso. "A área de TI cuida" não é dono.

4. Dados e confidencialidade. Defina quais dados podem entrar em qual ferramenta. Informação de cliente, dado pessoal e segredo industrial exigem ferramenta contratada, com cláusulas e controles adequados, e não a conta pessoal de alguém.

5. Registro e revisão. Guarde o que foi decidido, com que versão de ferramenta e com quais dados. Revise os usos de maior risco periodicamente. Isso responde a quem pedir revisão de decisão automatizada e protege a empresa diante de clientes, auditores e, no futuro, do regulador.

6. Letramento. Treine as pessoas que usam IA para reconhecer erros, respostas inventadas e vieses. O dever europeu de apoiar o letramento das equipes é um bom parâmetro, mesmo para quem não está sujeito a ele.

Contrapontos

Há quem prefira esperar o texto final para não investir duas vezes. O argumento faz sentido para certificações e documentação formal específica. Não se aplica ao básico: inventário, dono e controle de dados serão necessários em qualquer cenário, e parte deles já decorre de regras em vigor.

Também existe o risco contrário: criar um comitê que aprova tudo devagar e empurra o uso para a informalidade. Governança proporcional ao risco é o que permite usar mais IA, e não menos.

Implicações para quem decide

Para o CEO: peça o inventário de IA em 30 dias e trate os usos de alto impacto como qualquer outro risco operacional relevante.

Para operações e tecnologia: combine ganho de produtividade com rastreabilidade; o que não pode ser explicado não deve decidir sozinho.

Para o conselho: inclua o tema no mapa de riscos e pergunte quem responde por cada uso crítico.

Limites deste artigo

O texto não é orientação jurídica. A situação do PL 2338/2023 e do AI Act foi conferida em 10/11/2026 e pode mudar; a ficha oficial da Câmara foi lida parcialmente. O parágrafo sobre CDC e regulação setorial é uma leitura geral, não uma análise norma a norma.

Se este tema está na agenda da sua empresa, vale uma conversa.