Governança de IA enquanto a lei não vem
Muita empresa está esperando o marco legal de IA para começar a se organizar. É uma escolha cara: a maior parte das obrigações que valerão amanhã já é exigível hoje, por outras leis.
Onde está o marco legal brasileiro
O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e segue em análise na Câmara dos Deputados, em comissão especial, com votação final ainda pendente em 2026. O texto do Senado organiza obrigações por nível de risco, cria deveres de transparência, governança e avaliação de impacto, e prevê autoridade de coordenação. Como ainda não é lei, o que ele oferece hoje é uma boa antecipação de desenho — não uma obrigação.
O que já obriga, independentemente do PL
- LGPD (Lei 13.709/2018). Se o sistema trata dados pessoais, tudo se aplica: base legal, finalidade, minimização, segurança e, no caso de decisões automatizadas, o direito à revisão previsto no art. 20. A ANPD tem regulamento de dosimetria de sanções desde 2023 e já aplicou sanções.
- ECA Digital (Lei 15.211/2025). Em vigor desde 17 de março de 2026, com fiscalização da ANPD. Exige verificação de idade por método confiável, restringe perfilamento publicitário de menores, obriga configuração mais protetiva por padrão e prevê multas de até 10% do faturamento do grupo econômico no Brasil.
- Código de Defesa do Consumidor. Alcança recomendação algorítmica, precificação dinâmica e atendimento automatizado que induza o consumidor a erro.
- Regulação setorial. Bancos, seguradoras, saúde e setor público têm exigências próprias sobre modelos, explicabilidade e retenção de evidência que antecedem qualquer lei geral de IA.
ISO/IEC 42001: o esqueleto disponível
Publicada em 2023, é o primeiro padrão certificável de sistema de gestão de IA. Ela não define o que é IA aceitável; define como a organização governa o ciclo de vida: política, papéis, avaliação de impacto, gestão de fornecedores, monitoramento e melhoria. Para quem já tem ISO 27001 ou 37301, o encaixe é natural — mesma estrutura de alto nível, mesmos rituais de análise crítica.
Seis movimentos que cabem nos próximos noventa dias
- Inventariar o que já está em uso. Inclusive o que entrou sem aprovação: assistentes em navegador, plugins de planilha, ferramentas contratadas por cartão corporativo. Quase sempre a lista real surpreende.
- Classificar por consequência. O critério útil não é a tecnologia, é o efeito sobre pessoas: o sistema influencia crédito, contratação, preço, atendimento a menores, diagnóstico ou acesso a direito? Esses vão para o topo.
- Definir quem aprova. Um comitê pequeno, com jurídico, segurança, dados e a área de negócio — e uma regra clara de o que pode ser adotado sem passar por ele.
- Publicar uma política de uso aceitável que diga o que não pode entrar no prompt (dado pessoal sensível, segredo de negócio, informação de cliente identificável) e que exija revisão humana para decisões com efeito jurídico ou relevante.
- Exigir cláusulas dos fornecedores: uso de dados para treinamento, localização de processamento, subcontratados, direito de auditoria, registro de incidentes e notificação.
- Registrar. Versão do modelo, finalidade, base legal, testes feitos, limitações conhecidas e canal de contestação. É o registro que separa uso responsável de alegação de uso responsável.
Erros recorrentes
O primeiro é proibir por decreto: a proibição sem alternativa empurra o uso para fora do controle da empresa. O segundo é tratar governança de IA como projeto de TI — as decisões difíceis são de negócio e de risco, não de infraestrutura. O terceiro é confundir avaliação de impacto com formulário: se o documento nunca reprovou nenhum caso de uso, ele não está avaliando nada.