Regulamentação da Inteligência Artificial no Brasil em 2026: o que as empresas precisam saber

A inteligência artificial deixou de ser uma tecnologia experimental restrita a laboratórios, universidades e grandes empresas de tecnologia.

Hoje, sistemas baseados em IA escrevem textos, analisam documentos, geram imagens, programam aplicações, atendem clientes, recomendam produtos, avaliam dados financeiros e participam até mesmo de processos de contratação.

A discussão, portanto, mudou.

A pergunta já não é:

“A inteligência artificial será utilizada pelas empresas?”

A pergunta agora é:

“Como utilizar inteligência artificial de forma produtiva, segura, transparente e juridicamente responsável?”

Esse é justamente o ponto em que tecnologia e regulamentação começam a se encontrar.

No Brasil, o debate sobre um marco regulatório para inteligência artificial avançou significativamente nos últimos anos. Ao mesmo tempo, outros países começaram a transformar princípios éticos sobre IA em regras concretas.

Para empresas brasileiras, isso significa que governança de inteligência artificial deverá deixar de ser apenas uma preocupação técnica e se tornar também uma questão estratégica.

O Brasil já possui uma lei específica sobre inteligência artificial?

Ainda não.

Esse ponto é importante porque frequentemente vemos referências à chamada “Lei de Inteligência Artificial brasileira”, embora o principal marco regulatório ainda esteja em discussão no Congresso Nacional.

O principal projeto sobre o tema é o Projeto de Lei nº 2.338/2023, conhecido como uma das principais propostas para estabelecer o marco regulatório da inteligência artificial no Brasil.

O texto foi aprovado pelo Senado Federal em dezembro de 2024 e posteriormente encaminhado à Câmara dos Deputados.

Na Câmara, o projeto passou a ser analisado por uma Comissão Especial responsável por discutir o desenvolvimento, o fomento e o uso ético e responsável da inteligência artificial.

Durante o processo legislativo, diversas outras propostas relacionadas ao tema também passaram a integrar a discussão.

Isso significa que o texto ainda pode sofrer alterações antes de eventualmente se transformar em lei.

Portanto, empresas precisam tomar cuidado com duas posições extremas.

A primeira é acreditar que “não existe lei de IA, portanto podemos fazer qualquer coisa”.

A segunda é agir como se todas as regras atualmente discutidas já fossem obrigações legais definitivas.

Nenhuma das duas interpretações é adequada.

Mesmo sem uma lei específica, a IA já está sujeita a regras

A ausência de uma legislação exclusiva sobre inteligência artificial não significa ausência de responsabilidade.

Uma empresa que utiliza inteligência artificial continua submetida às demais leis aplicáveis às suas atividades.

Entre elas estão, dependendo do contexto:

Lei Geral de Proteção de Dados — LGPD;
Código de Defesa do Consumidor;
Marco Civil da Internet;
legislação trabalhista;
legislação sobre propriedade intelectual;
direitos autorais;
regras setoriais;
contratos;
normas relativas à responsabilidade civil.

Imagine uma empresa utilizando inteligência artificial para analisar milhares de currículos.

Mesmo que não exista uma “Lei Geral da Inteligência Artificial” em vigor, aquele processo poderá envolver dados pessoais, decisões automatizadas, critérios de seleção e potenciais impactos sobre pessoas.

Ou considere uma empresa utilizando IA generativa para produzir campanhas publicitárias.

Questões relacionadas a direitos autorais, imagem, transparência e proteção ao consumidor podem surgir independentemente de uma legislação específica sobre IA.

É por isso que discutir regulamentação da inteligência artificial não significa discutir apenas uma futura lei.

Estamos falando da interação entre novas tecnologias e todo um sistema jurídico que já existe.

A tendência mundial: regular de acordo com o risco

Um dos conceitos mais importantes na discussão internacional sobre inteligência artificial é a chamada abordagem baseada em risco.

A lógica é relativamente simples:

Quanto maior o potencial de impacto de uma inteligência artificial sobre pessoas e sobre a sociedade, maior deve ser o nível de governança aplicado ao sistema.

Um chatbot utilizado para responder perguntas simples sobre o horário de funcionamento de uma empresa não possui necessariamente o mesmo potencial de impacto que uma inteligência artificial utilizada para auxiliar na concessão de crédito.

Da mesma maneira, uma ferramenta para corrigir ortografia possui características completamente diferentes de um sistema utilizado para auxiliar diagnósticos médicos.

Portanto, tentar aplicar exatamente o mesmo nível de regulamentação a todos esses sistemas seria pouco eficiente.

É por isso que os debates regulatórios procuram diferenciar aplicações de acordo com fatores como risco, finalidade, contexto e impacto.

O exemplo europeu

A União Europeia tornou-se uma das principais referências internacionais ao aprovar o Artificial Intelligence Act — AI Act.

A legislação europeia estabelece diferentes níveis de controle dependendo do risco representado por determinadas aplicações de inteligência artificial.

Seu impacto não está limitado às empresas europeias.

Assim como aconteceu com normas de proteção de dados, empresas internacionais que possuem operações ou oferecem determinadas tecnologias e serviços no mercado europeu precisam observar as regras aplicáveis.

Esse fenômeno gera algo importante para o mercado.

Grandes fornecedores de tecnologia normalmente não querem desenvolver uma estrutura completamente diferente para cada país.

Como consequência, padrões regulatórios adotados por grandes mercados frequentemente acabam influenciando práticas empresariais globalmente.

É o chamado efeito extraterritorial da regulação tecnológica.

O que está em discussão no Brasil?

Embora o texto legislativo ainda possa mudar, alguns princípios aparecem repetidamente nas discussões brasileiras e internacionais sobre inteligência artificial.

Entre eles estão:

1. Transparência

Pessoas precisam saber, em determinados contextos, quando estão interagindo com sistemas automatizados ou quando determinado conteúdo foi produzido ou manipulado artificialmente.

Isso se torna especialmente relevante com o crescimento de:

deepfakes;
clonagem de voz;
imagens sintéticas;
vídeos gerados por IA;
chatbots;
agentes autônomos.

Quanto mais difícil se torna distinguir conteúdo humano de conteúdo sintético, mais importante se torna a discussão sobre transparência.

2. Supervisão humana

Automatizar um processo não significa necessariamente eliminar completamente a participação humana.

Em decisões potencialmente relevantes para a vida das pessoas, mecanismos de revisão e supervisão podem ser necessários.

Isso cria um princípio importante:

IA pode apoiar decisões sem necessariamente substituir a responsabilidade humana pela decisão.

Para empresas, essa distinção será cada vez mais relevante.

3. Gestão de riscos

Antes de implementar determinados sistemas, organizações deverão compreender quais riscos aquela tecnologia pode gerar.

Isso envolve perguntas como:

quais dados serão utilizados?
de onde esses dados vieram?
o modelo pode produzir informações incorretas?
existe possibilidade de discriminação algorítmica?
informações confidenciais podem ser expostas?
quem responde quando o sistema falha?
existe supervisão humana?
existe registro das decisões tomadas?

Essas perguntas fazem parte de algo que provavelmente ouviremos cada vez mais:

governança de inteligência artificial.

Governança de IA será tão importante quanto utilizar IA

Nos últimos anos, muitas empresas começaram suas estratégias de inteligência artificial de maneira informal.

Um funcionário cria uma conta em uma ferramenta.

Outro começa a enviar documentos.

Outro conecta uma inteligência artificial ao atendimento.

Outro utiliza um modelo para analisar contratos.

Em pouco tempo, a empresa possui dezenas de aplicações de inteligência artificial sem necessariamente saber:

quais ferramentas estão sendo utilizadas;
quais informações estão sendo enviadas;
onde esses dados são armazenados;
quais decisões estão sendo automatizadas;
quais fornecedores possuem acesso aos dados.

Esse fenômeno já possui um nome no mercado:

Shadow AI.

É uma extensão do conceito de Shadow IT — tecnologias utilizadas por funcionários sem conhecimento ou governança adequada da organização.

E talvez esse seja um dos maiores riscos empresariais relacionados à inteligência artificial atualmente.

O problema não é utilizar IA. É utilizar IA sem saber como ela está sendo utilizada

Imagine que um funcionário copie para uma ferramenta pública de IA:

contratos;
dados financeiros;
código-fonte;
informações de clientes;
estratégias comerciais;
documentos internos.

Mesmo que sua intenção seja apenas aumentar a produtividade, existe uma questão fundamental:

A empresa sabe que essas informações estão sendo processadas por um sistema externo?

Se a resposta for não, existe um problema de governança.

Por isso, empresas não precisam necessariamente começar suas estratégias de IA comprando tecnologias sofisticadas.

Elas podem começar criando políticas.

Cinco medidas que empresas podem adotar agora

Mesmo antes da conclusão do marco regulatório brasileiro, algumas práticas fazem sentido do ponto de vista empresarial.

1. Mapear as ferramentas de IA utilizadas

O primeiro passo é descobrir onde a inteligência artificial já existe dentro da empresa.

Exemplos:

ChatGPT;
Gemini;
Copilot;
Claude;
ferramentas integradas ao CRM;
sistemas de atendimento;
automações;
APIs;
modelos internos.

É difícil governar algo cuja existência a organização desconhece.

2. Classificar os dados utilizados

Nem toda informação possui o mesmo nível de sensibilidade.

Uma empresa precisa diferenciar:

Dados públicos

Informações que podem ser livremente utilizadas.

Dados internos

Processos, estratégias e documentos que não deveriam circular externamente.

Dados confidenciais

Informações comerciais estratégicas, credenciais, contratos ou propriedade intelectual.

Dados pessoais

Informações relacionadas a pessoas físicas e potencialmente submetidas à LGPD.

Essa classificação permite estabelecer quais informações podem ou não ser enviadas para determinadas ferramentas de inteligência artificial.

3. Definir responsabilidades

Quem pode contratar uma nova ferramenta de IA?

Quem avalia segurança?

Quem avalia privacidade?

Quem acompanha custos?

Quem responde quando o sistema produz um resultado incorreto?

À medida que inteligência artificial passa a integrar processos críticos, essas perguntas deixam de ser apenas administrativas.

Elas passam a fazer parte da governança corporativa.

4. Manter supervisão humana

Inteligência artificial possui uma característica perigosa:

ela pode apresentar uma informação falsa de maneira extremamente convincente.

Em modelos generativos, esse fenômeno costuma ser chamado de alucinação.

Por isso, processos relevantes não deveriam assumir automaticamente que uma resposta produzida por IA é verdadeira.

O princípio deve ser:

automatizar execução sem automatizar confiança.

Quanto maior o impacto da decisão, maior deve ser a necessidade de validação.

5. Documentar

Uma boa governança precisa deixar rastros.

Empresas deveriam começar a registrar:

quais sistemas utilizam;
para quais finalidades;
quais departamentos utilizam;
quais dados são processados;
quem é responsável;
quais fornecedores estão envolvidos;
quais riscos foram identificados.

Esse inventário poderá ser extremamente importante conforme as obrigações regulatórias evoluírem.

Regulamentação pode limitar a inovação?

Esse provavelmente será um dos maiores debates dos próximos anos.

De um lado, existe uma preocupação legítima:

regulamentações excessivamente complexas podem aumentar custos e criar barreiras para startups e empresas menores.

Do outro, inteligência artificial pode gerar impactos significativos sobre privacidade, segurança, trabalho, consumo e direitos individuais.

O desafio regulatório está justamente em encontrar equilíbrio entre dois objetivos:

permitir inovação

reduzir riscos socialmente relevantes.

Regulamentar tecnologia cedo demais pode limitar possibilidades que ainda nem conhecemos.

Regulamentar tarde demais pode permitir que problemas estruturais se tornem difíceis de corrigir.

Esse equilíbrio será uma das principais discussões políticas, econômicas e tecnológicas desta década.

A inteligência artificial está entrando na fase da responsabilidade

Durante os primeiros anos da explosão da IA generativa, a pergunta predominante era:

“O que essa tecnologia consegue fazer?”

Agora surge uma segunda fase.

A pergunta passa a ser:

“Como devemos utilizá-la?”

Isso muda completamente a conversa.

Empresas precisarão discutir simultaneamente:

produtividade;
segurança;
privacidade;
ética;
transparência;
responsabilidade;
competitividade;
regulamentação.

Inteligência artificial continuará evoluindo rapidamente.

A regulamentação provavelmente continuará correndo atrás dela.

Entre esses dois movimentos estarão empresas tentando transformar tecnologia em vantagem competitiva.

E provavelmente serão mais bem-sucedidas aquelas que compreenderem uma ideia simples:

Governança não é o oposto da inovação. Governança é o que permite que a inovação continue funcionando quando deixa de ser um experimento e passa a fazer parte do negócio.

O que acompanhar daqui para frente

Nos próximos meses e anos, algumas discussões merecem atenção especial:

evolução do PL 2.338/2023 no Congresso Nacional;
definição das autoridades responsáveis pela fiscalização de sistemas de IA;
regras específicas para sistemas considerados de maior risco;
utilização de dados pessoais no treinamento e operação de modelos;
direitos autorais e inteligência artificial generativa;
identificação de conteúdo sintético;
deepfakes;
responsabilidade de desenvolvedores e empresas;
uso de IA em relações de trabalho;
impactos do AI Act europeu sobre empresas brasileiras.

Esses temas não dizem respeito apenas a advogados ou desenvolvedores.

Eles dizem respeito à maneira como empresas funcionarão.

Conclusão

A regulamentação da inteligência artificial no Brasil ainda está sendo construída.

Isso, entretanto, não significa que empresas deveriam esperar a publicação de uma lei para começar a pensar em governança.

Tecnologias de IA já estão dentro das organizações.

Já processam dados.

Já influenciam decisões.

Já produzem conteúdos.

Já automatizam operações.

O momento adequado para discutir responsabilidade não é depois que um problema acontece.

É durante a construção da tecnologia.

Nos próximos artigos do Blog da Vórtice, acompanharemos a evolução da inteligência artificial, regulamentação, segurança, automação e transformação digital, buscando compreender não apenas quais tecnologias estão surgindo, mas principalmente o que elas significam para empresas e para a sociedade.

Porque compreender tecnologia deixou de ser assunto exclusivo de quem trabalha com tecnologia.

Está se tornando parte essencial de compreender o próprio mercado.

Aviso: este conteúdo possui caráter informativo e analítico e não constitui orientação jurídica.