PL 2338/2024 - o marco legal da IA no Brasil: o que muda?
O PL 2338/2024 é o projeto de marco legal da inteligência artificial no Brasil. Inspirado em modelos baseados em risco (como o EU AI Act), propõe classificar sistemas de IA por nível de risco, estabelecer direitos para pessoas afetadas por decisões automatizadas, exigir governança e transparência e definir responsabilidades. Empresas devem se preparar com inventário de IA, avaliação de risco e políticas de uso, em conjunto com a LGPD.
O que o PL 2338/2024 propõe
O PL 2338/2024 é o projeto de lei em tramitação no Congresso Nacional que pretende estabelecer o marco legal da inteligência artificial no Brasil. Seu texto evoluiu a partir de discussões anteriores (PL 21/2020 e relatório da Comissão de Juristas do Senado) e adota uma abordagem baseada em risco semelhante à do EU AI Act. As linhas principais incluem: princípios gerais (centralidade da pessoa, não discriminação, transparência, segurança, prestação de contas), classificação de sistemas por nível de risco, direitos para pessoas afetadas por decisões automatizadas (informação, contestação, revisão humana, explicação), obrigações de governança proporcionais ao risco, supervisão por autoridade competente e regime de responsabilidade. Importante: trata-se de projeto em tramitação - ainda não está em vigor - e o texto final pode sofrer alterações.
Abordagem baseada em risco
A lógica baseada em risco do PL 2338/2024 segue a mesma família de modelos do EU AI Act: sistemas considerados de risco excessivo seriam vedados; sistemas de alto risco (usados em decisões com impacto significativo sobre direitos - crédito, saúde, emprego, segurança pública, infraestrutura crítica) ficariam sujeitos a obrigações reforçadas (avaliação de impacto, governança, documentação, transparência, supervisão humana); demais sistemas teriam obrigações proporcionais ao risco. A combinação com a LGPD é direta: muitos sistemas de IA tratam dados pessoais, o que já exige base legal, finalidade, RIPD/AIPD quando aplicável e o direito do titular sobre decisões automatizadas (Art. 20 da LGPD).
Relação com a LGPD e decisões automatizadas
Mesmo antes do PL 2338/2024 entrar em vigor, a LGPD já alcança boa parte do uso de IA. O Art. 20 garante ao titular o direito à revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo perfis profissional, de consumo, de crédito ou aspectos da personalidade. Isso obriga, na prática, a manter trilha de auditoria, capacidade de explicar a decisão e mecanismo para revisão humana. Empresas que já estruturam esses controles hoje saem na frente do marco legal - e reduzem risco regulatório com a ANPD.
Como se preparar agora
Recomendações independentes do texto final: (1) montar inventário de sistemas de IA - internos, embarcados em SaaS e desenvolvidos por terceiros; (2) classificar cada sistema por nível de risco usando uma taxonomia compatível com EU AI Act / PL 2338; (3) escrever a política de IA da empresa (uso aceitável, IA generativa, dados em prompts, aprovação de novos casos de uso); (4) implementar avaliação de impacto (AIIA) para sistemas de alto risco; (5) garantir trilha de auditoria e capacidade de revisão humana para decisões automatizadas (Art. 20 LGPD); (6) treinar stakeholders. Esses passos já atendem LGPD hoje e absorvem o PL 2338/2024 quando vigente - sem refazer o programa.
O papel da Tripla (consultoria + Autoritas)
A entrega típica combina consultoria regulatória / GRC com a plataforma Autoritas. A consultoria conduz diagnóstico, política, inventário e avaliações; o Autoritas opera o programa com inventário vivo, workflow de aprovação, evidências, trilha de auditoria e indicadores para o board. Para fundamento, ver tripla.com.br/glossario/governanca-de-ia e tripla.com.br/glossario/eu-ai-act. Para a solução, ver tripla.com.br/solucoes/governanca-algoritmica. Para a plataforma, ver tripla.com.br/produtos/autoritas.
O papel da Tripla
A Tripla apoia empresas brasileiras a se prepararem para o marco legal da IA mesmo antes da sua promulgação. A consultoria GRC conduz o diagnóstico de aplicabilidade, classificação de sistemas por nível de risco, política de IA, inventário e avaliação de impactos. A operação acontece na plataforma Autoritas, que centraliza inventário vivo, workflow de aprovação, evidências e indicadores. O programa é desenhado para ser compatível com LGPD, PL 2338/2024 e, quando aplicável, EU AI Act e ISO/IEC 42001 - evitando retrabalho conforme o cenário regulatório se consolida.
Perguntas frequentes
O PL 2338 já está em vigor?
Não. O PL 2338/2024 é um projeto de lei em tramitação no Congresso Nacional. O texto final pode sofrer alterações e a vigência depende de aprovação, sanção e eventuais prazos de adequação. Mesmo assim, a LGPD já alcança boa parte do uso de IA - especialmente o direito do titular à revisão de decisões automatizadas (Art. 20) - e empresas que se estruturarem agora chegam preparadas para o marco brasileiro.
Como ele se relaciona com a LGPD?
São complementares. A LGPD trata do tratamento de dados pessoais (incluindo decisões automatizadas) e o PL 2338/2024 trata especificamente do uso responsável de IA, com obrigações proporcionais ao risco. Na prática, muitos sistemas de IA tratam dados pessoais e estarão sujeitos aos dois regimes. A boa notícia é que controles bem desenhados (inventário, política, AIIA/RIPD, trilha de auditoria, revisão humana) atendem aos dois.
O que minha empresa deve fazer agora?
Mesmo antes do marco legal entrar em vigor: monte um inventário de sistemas de IA, classifique-os por risco, escreva uma política de IA (incluindo uso de IA generativa e dados em prompts), faça avaliação de impacto para sistemas de alto risco e garanta trilha de auditoria e revisão humana para decisões automatizadas. Esses passos já atendem a LGPD hoje e absorvem o PL 2338/2024 quando vigente. A Tripla conduz com consultoria GRC + plataforma Autoritas.
Diagnóstico Executivo
24 perguntas, 4 disciplinas, radar de risco em 10 minutos.
IniciarFalar com especialista em Indústria
Equipe sênior responde em horário comercial.
Falar agora