Governança de IA e o PL 2338: o que muda para quem já usa IA na empresa

Governança de IA é a camada de decisão e controle sobre os sistemas de inteligência artificial da empresa. Ela responde a cinco perguntas: quais sistemas de IA usamos e para quê (inventário); qual o risco de cada um para clientes, funcionários e para o negócio (classificação); quem aprova, supervisiona e desliga cada sistema (papéis); como o cliente é informado e como contesta uma decisão (transparência e revisão); e como registramos o que a IA fez (trilha). Não é um departamento nem um software. Em uma empresa de 20 pessoas, cabe em três documentos e uma reunião mensal.

O PL 2338/2023, de autoria do senador Rodrigo Pacheco, foi aprovado pelo Plenário do Senado em 10 de dezembro de 2024 e remetido à Câmara dos Deputados em 17 de março de 2025. Na Câmara, tramita em Comissão Especial criada para proferir parecer, presidida pela deputada Luisa Canziani, com o deputado Aguinaldo Ribeiro (PP-PB) como relator, designado em 20 de maio de 2025. Segundo a ficha oficial de tramitação consultada em 4 de novembro de 2026, a situação é “Aguardando Parecer do Relator na Comissão Especial”. As movimentações mais recentes, de 26 e 27 de outubro de 2026, são apensações de outros projetos. Não há parecer, substitutivo nem data de votação marcada. O Brasil, portanto, ainda não tem lei geral de IA.

O texto aprovado pelo Senado adota a abordagem por risco, parecida com o Regulamento de IA da União Europeia (EU AI Act, Regulamento 2024/1689). Os pontos que afetam uma empresa que usa IA, e que podem mudar na Câmara, são:

• Classificação por risco: sistemas de risco excessivo ficam proibidos; sistemas de alto risco (ex.: crédito, emprego, saúde, serviços essenciais) têm obrigações reforçadas; os demais têm obrigações gerais de transparência.
• Direitos das pessoas afetadas: informação prévia de que interagem com IA, explicação sobre a decisão, contestação e revisão humana em decisões de impacto relevante.
• Medidas de governança para quem desenvolve ou aplica IA: documentação, gestão de riscos, supervisão humana, segurança e registro de operação, proporcionais ao risco.
• Avaliação de impacto algorítmico para sistemas de alto risco, com participação da autoridade competente.
• Sistema Nacional de Regulação e Governança de IA (SIA), coordenado pela ANPD, com reguladores setoriais.
• Sanções que, no texto do Senado, chegam a R$ 50 milhões por infração ou 2% do faturamento, além de suspensão do sistema.
• Ambiente regulatório experimental (sandbox) para testar sistemas sob supervisão.

A ANPD não espera o PL. Mantém IA entre os temas prioritários da agenda regulatória e opera um sandbox regulatório de inteligência artificial e proteção de dados, com relatórios parciais de monitoramento publicados ao longo de 2026 em sua página oficial. Isso indica a direção: a autoridade que fiscaliza a LGPD já acompanha como sistemas de IA tratam dados e quais medidas de transparência e governança são viáveis. Quando a lei vier, a ANPD é a candidata natural a coordenar a aplicação. Para a empresa, isso significa que a fiscalização de IA chegará pela mesma porta da proteção de dados.

Para a maioria das pequenas e médias empresas, os sistemas em uso (atendimento, agendamento, cobrança, redação, classificação de notas) tendem a ficar fora da categoria de alto risco. Mesmo assim, as obrigações gerais e a LGPD já valem. A tabela abaixo cruza usos comuns com o que já é exigido hoje e o que o PL deve acrescentar.

O inventário é o primeiro documento da governança e o que a fiscalização pede primeiro. Faça em uma planilha com uma linha por sistema, inclusive os assistentes que a equipe usa por conta própria.

1. 01

   Liste tudo que usa IA

   Agentes, assistentes, recursos de IA dentro de ERP, CRM e e-commerce, ferramentas de marketing, transcrição de áudio. Inclua o que a equipe usa sem autorização formal.

2. 02

   Registre finalidade e dados

   Para cada sistema: o que faz, quais dados pessoais trata (nome, telefone, CPF, saúde, financeiro), de quem e com que base legal.

3. 03

   Classifique o risco

   Pergunte: a IA decide algo que afeta direito, acesso a serviço, crédito, emprego ou saúde de alguém? Se sim, alto risco. Se só informa ou executa tarefa reversível, baixo.

4. 04

   Defina papéis

   Nomeie quem aprova mudanças, quem supervisiona diariamente e quem pode desligar o sistema. Em empresa pequena, pode ser a mesma pessoa, mas precisa estar escrito.

5. 05

   Garanta transparência e revisão

   O cliente sabe que fala com IA? Consegue pedir um atendente? Consegue contestar uma decisão? Documente como.

6. 06

   Guarde a trilha

   Registre o que cada sistema fez (conversas, ações executadas, aprovações). Sem trilha, não há como responder a uma reclamação ou a uma fiscalização.

7. 07

   Revise a cada trimestre

   Sistemas novos entram, finalidades mudam, modelos são trocados. Atualize o inventário e a classificação.

1. Inventário de sistemas de IA com classificação de risco (planilha, atualizada por trimestre).
2. Política de uso de IA para a equipe: ferramentas permitidas, contas corporativas, dados proibidos, quem revisa o que vai ao cliente.
3. Registro de decisões automatizadas e trilha de ações dos agentes, com retenção definida.
4. Aviso de privacidade atualizado, mencionando o uso de IA no atendimento e o canal para pedir revisão humana.
5. Para sistemas de alto risco: avaliação de impacto, com medidas de mitigação e responsável nomeado.

A IA é só mais uma decisão de negócio que precisa de dono, regra e prestação de contas. Os mesmos princípios do Código do IBGC (integridade, transparência, equidade, responsabilização e sustentabilidade) se aplicam a um agente que cobra clientes ou a um modelo que sugere preço. Empresas que já têm um mínimo de governança corporativa (papéis definidos, indicadores, reunião de gestão com ata) incorporam a IA como um item da pauta. Empresas que não têm precisam criar o básico, e a IA é um bom motivo para começar.

Faça o inventário e a política de uso neste trimestre. Ambos são exigidos na prática pela LGPD e serão a base de qualquer obrigação futura. Garanta que todo agente voltado ao cliente se identifique como IA e ofereça caminho para uma pessoa. Reveja os casos de alto risco (crédito, emprego, saúde) e coloque revisão humana obrigatória. Acompanhe a Comissão Especial da Câmara pela ficha oficial e a página da ANPD. Quem fizer isso agora vai ajustar detalhes quando a lei sair, em vez de começar do zero sob prazo.