Marco Legal da IA: como preparar sua empresa para a regulamentação da inteligência artificial

Resumo Executivo

• O Marco Legal da IA (PL 2338/2023) já passou pelo Senado e tramita na Câmara dos Deputados — a lei deve chegar em breve e vale para empresas de todos os portes.
• O texto adota uma lógica de risco: quanto mais sensível o uso da IA (crédito, saúde, recrutamento, segurança), mais obrigações a empresa assume.
• Quase toda empresa já usa IA em algum processo — atendimento, triagem de documentos, análise de dados ou previsão de demanda — e isso pode cair na regulação.
• O Marco Legal caminha junto com a LGPD: quem trata dados pessoais com IA terá obrigações nas duas frentes.
• Adequar-se agora custa menos do que lidar com multas, processos e perda de contratos depois.
• Recomendação da Nox: comece mapeando onde a IA é usada e como os dados circulam, antes de a lei virar obrigação.

Introdução

A inteligência artificial deixou de ser promessa e virou rotina. Empresas usam IA para responder clientes no WhatsApp, analisar crédito, filtrar currículos, revisar contratos e prever demanda. A adoção avançou muito mais rápido do que a regulação — e é exatamente essa distância que o Marco Legal da IA pretende fechar.

O Projeto de Lei 2338/2023, apresentado pelo senador Rodrigo Pacheco, foi aprovado no Senado em dezembro de 2024 e agora tramita na Câmara dos Deputados. Em outubro de 2026, o texto ainda aguarda o parecer do relator na Comissão Especial. Embora ainda não seja lei, ele é a melhor bússola do que vem pela frente — e a pressão para aprová-lo só cresce: em setembro de 2026, na abertura da Assembleia Geral da ONU, o presidente Lula classificou como "omissão histórica" não regular as big techs e a inteligência artificial.

O objetivo deste artigo é direto: mostrar o que o Marco Legal muda na prática, como a classificação de risco afeta o seu negócio e o que fazer agora para se adequar sem travar a operação.

O que é o Marco Legal da IA e por que ele importa para o seu negócio

O Marco Legal da IA é a proposta de lei que cria regras gerais para o desenvolvimento, a oferta e o uso de sistemas de inteligência artificial no Brasil. O texto se inspira no AI Act europeu, mas tem identidade própria: em vez de regular uma lista fechada de tecnologias, ele regula pelo risco que cada aplicação representa.

Na prática, isso significa que a mesma tecnologia — um modelo de linguagem, por exemplo — pode ter tratamento completamente diferente dependendo do uso. Um chatbot que responde dúvidas simples sobre horário de funcionamento tem risco baixo. O mesmo modelo aplicado a análise de crédito ou triagem de candidatos entra na categoria de alto risco e passa a ter uma série de obrigações.

Para o gestor, a mensagem é clara: não se trata da ferramenta, e sim do que você faz com ela. Por isso, o primeiro passo de qualquer adequação é entender onde a IA está sendo usada dentro da empresa — e isso, na maioria das operações, ainda é uma caixa-preta.

Como funciona a classificação de risco (e onde sua empresa se encaixa)

O Marco Legal divide os sistemas de IA em quatro categorias de risco. Entender essa régua é a chave para dimensionar o impacto no seu negócio.

Categoria	O que engloba	Obrigações
Risco inaceitável	Práticas proibidas, como pontuação social pelo governo e técnicas subliminares que manipulam pessoas	Proibição total
Alto risco	Crédito, saúde, recrutamento, educação, segurança pública, infraestrutura crítica e biometria	Avaliação de impacto, governança, transparência, supervisão humana e registro de incidentes
Risco limitado	Chatbots, deepfakes e sistemas de recomendação	Obrigação de transparência (informar que se trata de IA)
Risco mínimo	Filtros de spam, jogos e automações simples	Sem obrigações específicas

Se a sua empresa usa IA em decisões que afetam direitos — aprovar crédito, contratar, precificar seguro ou avaliar desempenho — muito provavelmente o sistema será enquadrado como de alto risco. Isso não significa proibição, mas exige documentação, supervisão humana e transparência com o usuário.

A relação com a LGPD: IA e proteção de dados caminham juntas

Muita gente trata o Marco Legal da IA como uma "LGPD da inteligência artificial". Não é bem isso — mas as duas leis se sobrepõem e se reforçam. A LGPD já regula o tratamento de dados pessoais; o Marco Legal regula o que os sistemas fazem com esses dados e como as decisões automatizadas afetam as pessoas.

Na prática, quem opera IA sobre dados pessoais terá de responder às duas frentes ao mesmo tempo: comprovar base legal para o uso dos dados (LGPD) e demonstrar que o sistema é seguro, explicável e supervisionado (Marco Legal). A própria LGPD já prevê o direito à revisão de decisões automatizadas — o novo marco aprofunda esse direito.

A boa notícia é que empresas que já estruturaram governança de dados para a LGPD largam na frente. Mapeamento de dados, inventário de sistemas, políticas de privacidade e registros de tratamento são exatamente a base que o Marco Legal vai exigir.

Quanto custa se adequar — e quanto custa ignorar

Adequação não é projeto de TI, é projeto de governança. O custo varia conforme a maturidade da empresa e o risco dos sistemas, mas a experiência mostra que os primeiros passos — inventário de usos de IA e revisão de contratos com fornecedores — custam pouco e já reduzem boa parte da exposição.

O custo de ignorar tende a ser muito maior. Como referência, o AI Act europeu prevê multas que podem chegar a 7% do faturamento global para as infrações mais graves; no Brasil, a tendência é que o Marco Legal siga uma lógica semelhante, com sanções proporcionais ao porte e ao risco. A esses valores somam-se danos reputacionais, ações de indenização e a perda de contratos com grandes clientes que já exigem conformidade de seus fornecedores.

Na prática, a pergunta não é "quanto custa se adequar?", mas "quanto custa continuar operando às cegas?". Sistemas que processam dados pessoais sem governança são um passivo que cresce com o tempo — e que fica mais caro de resolver a cada ano.

O que eu faria se estivesse começando hoje

Se eu fosse gestor e precisasse preparar minha empresa para o Marco Legal da IA, começaria com um plano simples, em quatro etapas:

Plano de adequação em 4 passos

1. Inventário de IA: listar todos os sistemas, planilhas e ferramentas que usam IA ou automação de decisões — incluindo SaaS contratado de terceiros.
2. Classificação de risco: para cada uso, avaliar se a decisão afeta direitos (crédito, contratação, saúde) e se há tratamento de dados pessoais.
3. Governança e documentação: registrar a base legal dos dados, definir supervisão humana e documentar como cada sistema funciona.
4. Revisão de contratos: checar cláusulas de proteção de dados e responsabilidade nos contratos com fornecedores de IA.

Esse plano não exige investimento pesado. O essencial é começar antes de a lei virar obrigação — quem já tem o inventário pronto ajusta processos em semanas, não em meses.

Conclusão

O Marco Legal da IA ainda não é lei, mas a direção está definida: sistemas que tomam decisões sobre pessoas terão mais transparência, mais supervisão e mais responsabilidade. Para a empresa que usa IA em atendimento, crédito, recrutamento ou análise de dados, a adequação não é uma questão de "se", mas de "quando".

A recomendação da Nox é prática: comece pelo inventário e pela governança de dados. É o trabalho mais barato e o que mais reduz exposição a multas, processos e perda de contratos. Empresas que estruturam isso agora transformam uma obrigação em vantagem competitiva — e chegam à frente quando a lei entrar em vigor.

Quer se adequar ao Marco Legal da IA sem travar a operação?

A sua empresa já usa IA em algum processo — e provavelmente ainda não sabe como isso se encaixa na regulamentação. A Nox ajuda você a mapear os usos de IA, estruturar a governança de dados e adequar seus sistemas à LGPD e ao futuro Marco Legal. Fale com a nossa equipe para avaliar seu caso e montar um plano de adequação sob medida.