PL 2338/23: o Marco Legal da IA no Brasil — o guia completo

O Brasil está a poucos meses de ter sua primeira lei específica sobre inteligência artificial. O PL 2338/2023 — apelidado de "Marco Legal da IA" — foi aprovado por unanimidade no plenário do Senado em 10 de dezembro de 2024, chegou à Câmara dos Deputados em 2025, foi adiado múltiplas vezes por questões políticas, e agora tem votação final prevista para 2026 (com estimativas que foram do meio para o fim do ano). Este artigo explica, em português direto, o que a lei propõe, o que muda para quem usa IA no dia a dia — inclusive quem só usa Claude para estudar ou trabalhar — e o que se sabe sobre a tramitação.

Origem e status atual

O projeto foi apresentado em 2023 pelo então presidente do Senado, Rodrigo Pacheco, e resulta da consolidação de quatro projetos anteriores sobre IA que tramitavam separadamente. A tramitação foi:

• 2023-2024: discussão em comissão temporária no Senado, com contribuições de mais de 200 especialistas e 91 audiências públicas.
• 10/12/2024: aprovação por unanimidade no plenário do Senado.
• 17/03/2025: remessa oficial à Câmara dos Deputados para revisão.
• 2025-2026: tramitação na Câmara, com múltiplos adiamentos.
• 27/05/2026: era a data prevista para votação em plenário, adiada mais uma vez.
• Situação em julho de 2026: ainda em tramitação. Se aprovado com ajustes na Câmara, volta ao Senado para nova análise. Se aprovado sem alterações, segue para sanção presidencial.

O modelo baseado em risco — os três níveis

A espinha dorsal do PL 2338/23 é a classificação dos sistemas de IA em três categorias:

1) Risco excessivo — PROIBIDO

Sistemas classificados como risco excessivo não podem ser desenvolvidos, ofertados ou utilizados no Brasil. Entram nessa categoria, por exemplo:

• Sistemas de social scoring (pontuação social generalizada) por entes públicos.
• Sistemas de identificação biométrica remota em tempo real em espaços públicos, salvo exceções restritas para segurança pública com autorização judicial.
• Sistemas que exploram vulnerabilidades específicas (crianças, idosos, pessoas com deficiência) para induzir comportamento prejudicial.

2) Alto risco — REGULADO

Sistemas de alto risco podem operar, mas sob obrigações mais rigorosas. Entram:

• IA usada em processo seletivo de emprego, promoção ou demissão.
• IA que apoia decisões judiciais, de crédito ou de segurança pública.
• IA aplicada a serviços essenciais (saúde, educação, energia, água).
• Sistemas de perfilamento profundo para efeitos comportamentais em larga escala.
• Sistemas biométricos para identificação de indivíduos.

3) Baixo/moderado risco — TRANSPARÊNCIA

É onde entra a maioria absoluta dos usos comuns — chatbots de atendimento, geração de texto, resumo de documentos, criação de imagens para conteúdo. Nesta faixa, a exigência principal é transparência: informar ao usuário que ele está interagindo com uma IA, marcar conteúdo sintético como tal quando relevante, e cumprir a LGPD para dados pessoais.

Os direitos que a lei cria para pessoas afetadas

Se uma decisão que envolve IA afeta você, a lei garante:

• Direito à informação: você tem que ser avisado de que uma IA participou da decisão.
• Direito à explicação: pode pedir que a decisão seja explicada em linguagem acessível, incluindo quais critérios foram usados.
• Direito à contestação: pode contestar a decisão e pedir revisão humana, especialmente em casos de alto risco.
• Direito à não-discriminação: a lei proíbe expressamente decisões automatizadas que produzam discriminação ilícita.
• Direito à correção de vieses: quando erros forem detectados, você pode exigir correção.

Quem responde quando algo dá errado

Este é um dos pontos mais debatidos do projeto. O texto atual distribui responsabilidade entre três figuras:

• Desenvolvedor: quem cria o sistema de IA (por exemplo, Anthropic, OpenAI, Google, empresas brasileiras que constroem modelos).
• Fornecedor/operador: quem integra o sistema em um serviço ou produto (por exemplo, a startup brasileira que usa Claude para criar um chatbot jurídico).
• Aplicador final: quem usa o sistema para tomar uma decisão que afeta terceiros (por exemplo, o banco que decide crédito ou o RH que faz triagem de currículos).

A responsabilidade tende a ser objetiva e solidária em casos de alto risco — ou seja, o afetado pode acionar qualquer um dos três, e a apuração de quem tem culpa vira problema interno da cadeia. Esse ponto é o mais polêmico do PL e foi um dos motivos dos adiamentos.

A estrutura de governança — o SIA

A lei cria o Sistema Nacional de Regulação e Governança de IA (SIA), com estas peças principais:

• ANPD (Autoridade Nacional de Proteção de Dados): assume papel central como autoridade coordenadora, aproveitando a experiência acumulada com a LGPD.
• CRIA (Comitê de Regulação e Inovação em IA): foro para articulação entre reguladores setoriais.
• CECIA (Comitê de Especialistas e Cientistas de IA): instância técnica-consultiva.
• CBIA (Conselho Brasileiro de IA): participação da sociedade civil.
• Reguladores setoriais: Banco Central para IA financeira, ANATEL para telecom, ANVISA para saúde, e assim por diante.

As sanções — o que pesa no bolso

As multas seguem o modelo escalonado que já conhecemos da LGPD:

• Advertência na primeira infração leve.
• Multa simples de até 2% do faturamento no Brasil, com teto de R$ 50 milhões por infração.
• Multa diária em casos de descumprimento continuado.
• Suspensão parcial ou total do sistema em casos graves.
• Proibição de operação em reincidências severas.

Reincidência dobra o valor da multa. Para empresas que faturam menos, o valor é proporcional. Para gigantes globais, R$ 50 milhões por infração começa a ser dissuasivo em decisões operacionais.

Impacto direto para quem usa Claude no Brasil

Se você é usuário comum do Claude (Free, Pro, Max) para tarefas pessoais ou profissionais rotineiras, o PL 2338/23 não muda praticamente nada no seu dia a dia. Suas conversas com o Claude são baixo risco, e a Anthropic já cumpre a LGPD e políticas equivalentes ao que a lei vai exigir.

Se você usa Claude para construir produtos que afetam terceiros — chatbot jurídico, apoio a diagnóstico médico, análise de crédito, triagem de RH, sistema educacional — a lei importa muito. Você provavelmente será classificado como fornecedor, e sua operação vai precisar:

1. Documentação de avaliação de risco.
2. Registro em cadastro específico se for alto risco.
3. Comunicação clara ao usuário final de que há IA envolvida.
4. Mecanismos técnicos e organizacionais para atender aos direitos de contestação e revisão humana.
5. Registro de decisões automatizadas por período mínimo (definido em regulamentação).
6. Auditoria periódica dos sistemas em uso.

Se você é advogado, médico, professor, RH ou gestor que usa Claude no trabalho — a orientação prática é: entenda que o output do Claude segue sob sua responsabilidade profissional. A lei não te tira dessa responsabilidade, e o Estatuto da OAB, o CFM, o CFP e outros conselhos profissionais já reforçam isso.

Como o PL 2338 conversa com o AI Act europeu

O modelo brasileiro tem paralelo direto com o EU AI Act, aprovado pela União Europeia em 2024. Ambos usam classificação por risco, ambos criam obrigações escalonadas, ambos preveem direitos de contestação. As principais diferenças:

Riscos jurídicos que já existem — independentemente do PL

Vale um ponto importante: mesmo sem o PL 2338 aprovado, o uso profissional de IA já tem consequências jurídicas hoje. Alguns exemplos:

• Advogados que citam jurisprudência gerada por IA sem verificar respondem por irregularidade — o Estatuto da OAB já basta.
• Empresas que usam IA em processo seletivo já estão sujeitas à LGPD, à Consolidação das Leis do Trabalho e ao Código de Defesa do Consumidor quando aplicáveis.
• Deepfakes em contexto de violência psicológica contra a mulher já são crime agravado pela Lei 15.123/2025, sancionada em abril de 2025.
• Uso de IA em propaganda eleitoral está regulado pelo TSE desde a Resolução 23.732/2024, com atualização na 23.748/2026 (março).
• Crimes cometidos com IA (fraude, extorsão, falsidade) já são puníveis pelas normas penais existentes, aplicadas por analogia.

O que fazer agora (mesmo antes da lei valer)

Para empresas e profissionais que já usam IA:

1. Mapear os sistemas de IA em uso: quais fornecedores, para quê, com quais dados.
2. Classificar o risco: qual dos três níveis do PL 2338 se aplica a cada uso.
3. Documentar processos: como os outputs de IA entram nas suas decisões, quem revisa, como corrigir erros.
4. Revisar contratos com fornecedores: checar cláusulas de responsabilidade, retenção de dados, compliance com LGPD, e futuro alinhamento com o Marco Legal.
5. Treinar equipe: quem usa IA no trabalho precisa entender os limites de responsabilidade.
6. Estabelecer um comitê ou responsável de IA: em organizações médias e grandes, ter um ponto focal para essas questões vai passar a ser boa prática (e depois exigência).

Resumo em uma linha