O Brasil já impõe obrigações legais a algumas aplicações de inteligência artificial (IA), mas ainda não tem uma lei geral para definir critérios uniformes de avaliação de riscos, controles e responsabilidades quando esses sistemas falham. As regras atuais estão distribuídas entre normas civis, consumeristas, trabalhistas, de proteção de dados e setoriais.
O Projeto de Lei 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e enviado à Câmara em março de 2025. A proposta trata da classificação de sistemas de alto risco, dos deveres de desenvolvedores e demais agentes da cadeia de IA, da avaliação de impacto algorítmico e da responsabilidade por danos. Na Câmara, o texto está em comissão especial, aguardando o parecer do relator, com novos projetos apensados.
A ausência de um regime único alcança situações em que algoritmos influenciam a seleção de candidatos a emprego, a concessão de crédito, decisões administrativas e o conteúdo apresentado a crianças e usuários. Empresas, órgãos públicos, trabalhadores e consumidores lidam com essas ferramentas sem uma referência nacional uniforme para os chamados danos algorítmicos.
Regras específicas avançaram em ritmo diferente
O ECA Digital teve uma tramitação distinta. O projeto que deu origem à norma ganhou impulso em 2025, em meio ao debate sobre exposição, exploração e “adultização” de crianças e adolescentes nas redes sociais. A sequência incluiu a aprovação do texto, a sanção da Lei nº 15.211/2025, a entrada em vigor em 17 de março de 2026 e a regulamentação pelo Decreto nº 12.880/2026.
A proteção de crianças e adolescentes tem fundamento no princípio da proteção integral. O caso, porém, também mostra que o Estado consegue deliberar sobre tecnologia, direitos fundamentais e sanções em prazo relativamente curto quando existe convergência institucional.
Parte das obrigações do ECA Digital depende de sistemas automatizados. A verificação de idade pode recorrer a inferências probabilísticas; recomendações de conteúdo usam perfilamento; e a moderação em larga escala pode utilizar IA. Essas aplicações estão sujeitas a falsos positivos, discriminação e falta de transparência, o que exige documentação técnica, testes, rastreabilidade, avaliação de impacto e supervisão humana.
Responsabilidade existe, mas falta previsibilidade
A não aprovação do PL 2.338/2023 não elimina a possibilidade de responsabilização. Danos associados a sistemas de IA já podem ser analisados com base em normas civis, consumeristas, trabalhistas e de proteção de dados. A LGPD prevê direitos ligados a decisões automatizadas e estabelece princípios de transparência, necessidade, segurança e não discriminação.
O problema é que essas normas não foram formuladas para distribuir, de maneira uniforme, os deveres entre desenvolvedor, fornecedor, integrador e operador. Também não há um padrão específico consolidado para modelos de propósito geral ou para sistemas que alteram seu comportamento depois de disponibilizados.
A Agência Nacional de Proteção de Dados (ANPD) exemplifica essa coordenação construída por camadas. A agência revisa seu regulamento sancionatório para reunir, sob uma mesma lógica, infrações relacionadas à LGPD, ao ECA Digital e ao Marco Civil. A iniciativa evidencia a sobreposição de regras e a falta de um eixo legislativo geral para a governança da IA.
Sem esse eixo, a proteção de direitos depende da combinação entre a Constituição, o Código Civil, o Código de Defesa do Consumidor, a LGPD, normas setoriais e decisões judiciais. Empresas precisam antecipar padrões ainda não consolidados, investidores avaliam riscos regulatórios sem uma referência definitiva e órgãos públicos adotam soluções de IA sem parâmetros nacionais uniformes para contratação e auditoria.
Governança pode avançar antes da lei
A falta de uma lei geral não impede que organizações criem mecanismos internos de controle. Uma estrutura de governança pode estabelecer responsabilidades, critérios de uso, níveis de risco e procedimentos para responder a resultados lesivos.
Entre os instrumentos estão inventários de sistemas de IA, classificação de risco, avaliação de impacto, testes antes da implantação e revisão humana. Esses mecanismos são relevantes porque uma pessoa pode não saber que perdeu uma oportunidade de trabalho por causa de uma ferramenta automatizada ou que foi classificada de modo desfavorável com base em dados incompletos.
A proposta de um marco legal baseado em riscos busca combinar proteção de direitos, segurança jurídica e competitividade. Conceitos rígidos ou obrigações vinculadas a tecnologias específicas podem ficar desatualizados, mas a cautela não precisa resultar em indefinição. Uma lei geral poderia ser acompanhada de regulamentação técnica posterior e revisões periódicas.
A aprovação do Marco Legal da IA não encerraria o debate. Ela iniciaria uma etapa de implementação e aprendizado institucional, com o objetivo de reduzir a fragmentação e oferecer respostas mais previsíveis a riscos já presentes em atividades econômicas e sociais. O desafio é criar uma arquitetura de governança para sistemas que afetam crédito, trabalho, educação e acesso a oportunidades, antes que seus efeitos se consolidem sem parâmetros comuns.
