LGPD & Inteligência Artificial 

A sua empresa já usa IA. A lei ainda não chegou. E as obrigações? 

O que o PL 2338 e a LGPD já exigem das empresas que automatizaram processos antes do marco legal da inteligência artificial ser sancionado. 

Quando um banco usa um algoritmo para negar crédito, quando uma empresa de RH filtra currículos com inteligência artificial antes de um humano ver qualquer candidato, ou quando uma plataforma suspende uma conta com base em moderação automatizada, já existe uma relação jurídica com obrigações concretas. Isso não depende de nenhuma lei nova. 

O Projeto de Lei 2338/2023, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara dos Deputados, é o futuro marco legal da inteligência artificial no Brasil. Mas o erro mais comum de gestores e jurídicos internos é aguardar a sanção dessa lei para iniciar qualquer movimento de adequação. A Lei Geral de Proteção de Dados Pessoais (LGPD) já incide sobre o uso de sistemas de IA que envolvam dados pessoais, e a Autoridade Nacional de Proteção de Dados (ANPD) já está fiscalizando. 

Este artigo explica o que está em vigor hoje, o que o PL 2338 vai acrescentar e o que a empresa precisa ter documentado antes da lei ser sancionada. 

A lei que ainda não existe e as obrigações que já existem 

A ausência de um marco legal específico para IA não é ausência de regulação. A LGPD, em vigor desde 2020, regula qualquer operação de tratamento de dados pessoais independentemente da tecnologia utilizada. Quando um sistema de inteligência artificial processa dados pessoais para produzir um resultado, a empresa que o opera é controladora e responde por todas as obrigações da lei. 

Três dispositivos da LGPD têm aplicação direta sobre sistemas automatizados. O artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas exclusivamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões de crédito, seleção profissional e definição de perfil. O artigo 37 obriga o controlador a elaborar e manter o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando o tratamento representar risco elevado para os titulares. E o artigo 6.º impõe os princípios de transparência e finalidade a todo ciclo de tratamento de dados, incluindo o que ocorre dentro de um modelo algorítmico. 

A ANPD incluiu inteligência artificial e tecnologias emergentes entre os quatro eixos prioritários de fiscalização para o biênio 2026-2027. O órgão já conduziu uma Tomada de Subsídios sobre o tema, recebeu 124 contribuições e consolidou os resultados na Nota Técnica 12/2025. A minuta de regulamentação do artigo 20 está em elaboração. A autoridade não está aguardando o PL 2338 para atuar. 

O que o PL 2338 vai exigir das empresas 

O projeto de lei segue o modelo europeu do AI Act: classifica sistemas de IA por nível de risco e distribui obrigações proporcionais a essa classificação. A estrutura cria três perfis de responsável, desenvolvedores, fornecedores e empresas que utilizam sistemas de terceiros, e atribui deveres distintos a cada um. 

Para as empresas que adquirem ou contratam soluções de IA prontas, o ponto mais relevante é justamente esse: o fato de não desenvolverem o sistema não elimina a responsabilidade pelo uso. Quem decide implementar uma ferramenta automatizada para tomar decisões que afetam pessoas responde pelos efeitos dessas decisões. 

Sistemas de alto risco: quem se enquadra 

O PL 2338 categoriza como de alto risco os sistemas que operam em áreas críticas: acesso a serviços financeiros e de crédito, recrutamento e seleção de pessoal, saúde, biometria, segurança pública e infraestrutura essencial. Para esses sistemas, o projeto prevê obrigações reforçadas de transparência, documentação técnica, supervisão humana e avaliação de impacto prévia. 

Na prática, isso alcança a maioria dos casos em que IA está sendo usada hoje no mercado brasileiro. Uma fintech que usa score automatizado para liberar ou negar crédito, uma empresa de RH que filtra currículos com algoritmo e um plano de saúde que autoriza procedimentos com base em modelo preditivo operam sistemas que o projeto classifica como de alto risco. 

A vacatio legis vai ser curta para quem não se preparou 

Quando a LGPD entrou em vigor, empresas que esperaram a lei ser sancionada para começar a adequação encontraram um prazo de implementação incompatível com a complexidade das mudanças necessárias. O histórico do PL 2338 indica que o texto deverá ter vacatio legis escalonada, com prazos diferenciados para obrigações gerais e para sistemas classificados como de alto risco. 

Vacatio legis não é descanso. É o prazo que a lei oferece para quem ainda não começou. Para quem começa agora, é a diferença entre uma adequação planejada e uma corrida contra o relógio. 

O que a LGPD já cobra hoje 

Independentemente do estágio de tramitação do PL 2338, as seguintes obrigações já estão em vigor para qualquer empresa que use sistemas de IA com dados pessoais. 

Decisão automatizada sem mecanismo de revisão 

O artigo 20 da LGPD é claro: o titular tem direito a solicitar que uma decisão tomada exclusivamente por meios automatizados seja revisada por um ser humano. O controlador precisa garantir esse mecanismo, informar ao titular quando uma decisão foi tomada de forma automatizada e fornecer explicações sobre os critérios utilizados, observados os segredos comercial e industrial. 

Os casos de maior exposição são precisamente os mais comuns: negativas de crédito geradas por score, eliminação de candidatos em processos seletivos por triagem algorítmica, suspensão de contas em plataformas por moderação automatizada e definição de preços individuais por sistema preditivo. Em todos esses casos, se não existe mecanismo de revisão humana documentado e disponível ao titular, a empresa está descumprindo a lei hoje. 

RIPD para tratamentos de risco elevado 

O artigo 37 da LGPD exige que o controlador elabore o Relatório de Impacto à Proteção de Dados Pessoais quando o tratamento puder gerar riscos relevantes para os direitos dos titulares. Sistemas de IA que processam dados em escala, que operam com dados sensíveis, ou que produzem decisões com efeitos significativos para pessoas físicas se enquadram nessa obrigação. 

O RIPD não é um documento burocrático. É o instrumento que demonstra que a empresa mapeou os riscos, avaliou as medidas de mitigação e tomou decisões conscientes sobre o tratamento. Na ausência dele, a empresa não consegue demonstrar conformidade quando a ANPD bater à porta. 

Transparência e finalidade no uso do modelo 

O artigo 6.º da LGPD impõe que o tratamento de dados tenha finalidade determinada, explícita e legítima, e que o titular seja informado de forma clara. Isso alcança o funcionamento interno dos sistemas de IA: os dados que alimentam o modelo, a finalidade para a qual o modelo foi treinado e as decisões que ele produz precisam estar alinhados com o que foi informado ao titular na política de privacidade e nos avisos de coleta. 

Uma empresa que contrata uma ferramenta de IA de terceiro e permite que o fornecedor use os dados dos seus clientes para treinar ou melhorar o próprio modelo está, quase sempre, violando o princípio da finalidade, a menos que essa possibilidade esteja expressamente prevista e o titular tenha sido informado. 

O que fazer antes da lei ser sancionada 

A adequação ao ambiente regulatório atual e a preparação para o marco legal que vem requerem ações concretas em quatro frentes. 

• Mapeamento dos sistemas de IA em uso. A empresa precisa saber quais ferramentas automatizadas está utilizando, quais dados pessoais cada uma processa, quais decisões cada uma produz e se há ou não intervenção humana no processo. Esse inventário raramente existe. A maioria das empresas adotou ferramentas de forma incremental, sem registro centralizado. 

• Documentação da base legal para cada tratamento. Se o sistema de IA usa dados pessoais com base no legítimo interesse, existe um teste de ponderação documentado? Se a base é o consentimento, o mecanismo de coleta registra e mantém esse consentimento de forma auditável? A base legal precisa estar definida antes do tratamento, não descoberta depois de um questionamento. 

• Revisão dos contratos com fornecedores de tecnologia. O Acordo de Processamento de Dados (DPA) com cada fornecedor precisa definir claramente quem é controlador e quem é operador, proibir o uso dos dados do contratante para treinar modelos próprios e estabelecer obrigações de segurança compatíveis com o risco do tratamento. 

• Elaboração ou atualização do RIPD. Para todos os tratamentos realizados por sistemas de IA classificáveis como de risco elevado, o documento precisa refletir a realidade operacional atual, não um cenário hipotético. 

A ANPD não está esperando o marco legal para fiscalizar 

Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027. Inteligência artificial e tecnologias emergentes figuram entre os quatro eixos centrais de atuação da autoridade, ao lado de direitos dos titulares, proteção de crianças no ambiente digital e tratamento de dados pelo Poder Pública. 

O sandbox regulatório de IA da ANPD já está em operação com empresas selecionadas. A autoridade está, na prática, construindo jurisprudência administrativa sobre o tema antes mesmo da aprovação de qualquer lei específica. Isso significa que os precedentes que definirão como a regulação de IA será interpretada no Brasil estão sendo formados agora. 

Empresas que operam sistemas de IA com dados pessoais e não possuem os documentos, processos e controles mínimos exigidos pela LGPD não precisam esperar o PL 2338 para estar em descumprimento. Já estão. 

Mapear sistemas, documentar bases legais, revisar contratos com fornecedores e elaborar RIPDs são obrigações que não podem ser resolvidas em paralelo com uma fiscalização em curso. A janela para fazer isso de forma planejada está aberta, mas tem prazo. 

O SMN Advogados Associados atua na adequação de empresas ao ambiente regulatório de proteção de dados, incluindo o mapeamento de sistemas de inteligência artificial, elaboração de RIPDs e revisão de contratos com fornecedores de tecnologia. Entre em contato: contato@smnadvogados.com.br.