O Marco Legal da IA já é uma lei em vigor?

Ainda não. O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e seguiu para a Câmara dos Deputados. Enquanto o texto final não for aprovado e sancionado, ele não é uma lei em vigor — mas mostra com clareza a direção da regulação. A LGPD, essa sim, já vale e já se aplica à IA que trata dados pessoais.

Se eu terceirizei o desenvolvimento da IA, quem é o responsável?

A responsabilidade recai principalmente sobre quem implementa e usa a IA no seu negócio — ou seja, você — mesmo que a tecnologia venha de um fornecedor. Por isso, vale incluir cláusulas de conformidade e transparência no contrato com quem desenvolve ou fornece o sistema.

Rodar um modelo localmente me deixa 100% em conformidade?

Não automaticamente. Rodar um modelo aberto no seu servidor (via Ollama, por exemplo) dá o máximo de privacidade, porque o dado não sai da sua infraestrutura — o que ajuda muito na LGPD. Mas transparência, documentação e revisão humana continuam sendo sua responsabilidade.

Regulamentação de IA no Brasil: O Que Muda para Empresas

Q: Qual a diferença entre a LGPD e o Marco Legal da IA?

A LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais e já está em vigor — inclusive com o direito de pedir revisão de decisões tomadas só por máquina (art. 20). O Marco Legal da IA (ainda em tramitação) mira a IA em si, com foco em risco, transparência e responsabilização. Quando entrar em vigor, as duas se somam.

Q: Posso treinar meu próprio modelo com dados de clientes?

Não sem base legal para isso. A LGPD exige finalidade definida e uma base legal (como o consentimento) para tratar dados pessoais — e treinar um modelo costuma ser uma finalidade nova. Antes de usar dados de clientes para treino, informe, obtenha a base adequada e documente tudo.

Cedo ou tarde, o "vale-tudo" da inteligência artificial nos negócios vai acabar — e o Brasil já está construindo as regras. A tese em uma frase: mesmo antes do Marco Legal da IA virar lei, a LGPD já obriga qualquer empresa que usa IA sobre dados de pessoas a agir com transparência e responsabilidade — então preparar-se agora não é antecipação, é conformidade.

Neste artigo, você vai entender o estágio atual da regulamentação de inteligência artificial no Brasil, a lógica de classificação por risco que está por vir, o que já vale hoje e como preparar a sua operação — sem alarmismo e sem inventar obrigações que ainda não existem.

Em que pé está a regulamentação de IA no Brasil

É importante separar o que já é lei do que ainda é projeto — porque muita informação circulando por aí confunde os dois.

Já em vigor: a LGPD. A Lei Geral de Proteção de Dados (Lei 13.709/2018) está valendo e é fiscalizada pela ANPD (Autoridade Nacional de Proteção de Dados). Se a sua IA trata dados pessoais — nomes, e-mails, comportamento — ela já está sob a LGPD. E há um ponto que quase ninguém percebe: o artigo 20 garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente por meios automatizados (como um crédito negado por algoritmo).

A caminho: o Marco Legal da IA. O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e seguiu para a Câmara dos Deputados. Ele se inspira no AI Act europeu e organiza a regulação por nível de risco. Enquanto o texto final não for aprovado e sancionado, ele ainda não é uma lei em vigor — os detalhes (categorias exatas, valores de multa, prazos) podem mudar. Trate o que vem a seguir como a direção provável, não como regra já aplicável.

A lógica por risco: o coração da futura lei

O modelo em discussão classifica os sistemas de IA pelo risco que representam aos direitos das pessoas. Em linhas gerais:

Nível	O que é	Exemplos
Risco excessivo	Usos proibidos por ferir direitos fundamentais	Certos tipos de vigilância em massa e classificação social pelo poder público
Alto risco	Decisões que afetam direitos importantes	Crédito, seleção de emprego, biometria, serviços essenciais, apoio à justiça
Usos comuns	Baixo impacto sobre direitos	Chatbots de atendimento, recomendação de produtos, geração de conteúdo

A ideia central: quanto maior o risco, maiores as exigências. Para usos comuns, o principal é a transparência (avisar que há IA envolvida). Para alto risco, o texto aponta para obrigações mais pesadas — avaliação de impacto, documentação, supervisão humana e o direito à explicação e à contestação das decisões.

O que já dá para (e convém) fazer hoje

Independentemente do texto final, boa parte da preparação é a mesma — e já ajuda a cumprir a LGPD. Um roteiro em quatro passos:

Inventarie suas IAs. Liste tudo: ChatGPT, Claude, o scoring de leads no Mautic, automações no n8n, plugins de IA no WordPress. Anote qual modelo, qual dado processa e para quê.
Classifique por risco. A maioria das PMEs opera em usos de baixo impacto. Se você usa IA para decisões sensíveis (crédito, contratação), assuma alto risco e trate com rigor.
Seja transparente. Avise quando há IA envolvida ("resposta gerada com auxílio de IA") e descreva na sua política de privacidade quais sistemas usa e como tratam dados.
Garanta revisão humana e cumpra a LGPD. Para qualquer decisão que afete uma pessoa, deixe um caminho de revisão por gente de verdade — e confirme base legal, finalidade, segurança e os direitos do titular.

Direitos autorais e IA generativa: o que se sabe

Uma dúvida frequente: "se eu gero conteúdo com IA generativa, de quem é o direito autoral?"

Pela lei de direitos autorais brasileira (Lei 9.610/1998), a autoria pressupõe criação humana. Conteúdo gerado puramente por IA, sem intervenção criativa relevante de uma pessoa, tende a não ter proteção autoral — e não, não existe nenhuma "regra dos 30% de edição" que garanta a proteção; isso é mito. O que vale na prática:

Você é responsável pelo que publica. Se a IA gerar algo que viola direito de terceiros, a responsabilidade pela publicação é sua.
Revise sempre. Modelos "alucinam" — inventam fontes, dados e citações. Confira antes de publicar.
Dados de treino são terreno em disputa. Há processos mundo afora sobre o uso de obras de terceiros no treino de modelos. É um tema aberto, sem palavra final.

Adequando a sua stack (WordPress, Mautic, n8n)

Na prática, adequar as ferramentas do dia a dia é mais simples do que parece:

WordPress + IA: se você usa plugins de IA para gerar conteúdo, descreva isso na política de privacidade e verifique se o plugin não envia dados de clientes para APIs externas sem necessidade.
Mautic + scoring: o scoring de leads costuma ser de baixo/médio risco (afeta prioridade, mas com revisão humana). Registre o critério do score, permita revisão e confirme que os dados estão protegidos conforme a LGPD.
n8n + automação: garanta que toda comunicação com APIs use HTTPS, mantenha logs de execução (essenciais para auditoria) e, se rodar o n8n na sua própria infraestrutura, você ganha o máximo de controle sobre os dados.

Aliás, para dados sensíveis, uma alternativa poderosa é rodar o modelo localmente — veja as alternativas open source ao ChatGPT que mantêm tudo na sua infraestrutura.

Perguntas frequentes sobre regulamentação de IA no Brasil

O Marco Legal da IA já é lei?

Ainda não. O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e seguiu para a Câmara. Enquanto não for aprovado e sancionado, não é uma lei em vigor. A LGPD, por outro lado, já vale e já se aplica à IA que trata dados pessoais.

Qual a diferença entre a LGPD e o Marco Legal da IA?

A LGPD regula o tratamento de dados pessoais e já está em vigor — incluindo o direito de pedir revisão de decisões automatizadas (art. 20). O Marco Legal da IA (em tramitação) mira a IA em si, com foco em risco e responsabilização. Quando entrar em vigor, as duas se complementam.

Terceirizei o desenvolvimento. Sou responsável?

Sim, principalmente. A responsabilidade recai sobre quem implementa e usa a IA no negócio, mesmo que a tecnologia venha de um fornecedor. Vale incluir cláusulas de conformidade e transparência no contrato.

Rodar um modelo localmente me deixa 100% conforme?

Não automaticamente. Rodar local dá o máximo de privacidade (o dado não sai da sua infraestrutura), o que ajuda muito na LGPD — mas transparência, documentação e revisão humana continuam sendo sua responsabilidade.

Posso treinar meu modelo com dados de clientes?

Não sem base legal. A LGPD exige finalidade definida e base legal (como consentimento) para tratar dados pessoais, e treinar um modelo costuma ser uma finalidade nova. Informe, obtenha a base adequada e documente antes.

Conclusão

A regulamentação de IA no Brasil está em construção, mas isso não é desculpa para esperar. O Marco Legal da IA aponta a direção — foco em risco, transparência e responsabilização — e a LGPD já obriga boa parte disso quando há dados pessoais no meio. A empresa que se organiza agora não só evita susto lá na frente, como constrói confiança com clientes hoje.

Comece pelo simples: saiba qual IA você usa, para quê e sobre quais dados; classifique o risco; seja transparente; e garanta revisão humana no que afeta pessoas. Para acompanhar a fonte oficial, a ANPD publica orientações sobre a LGPD, e vale conhecer o AI Act europeu, que inspira o modelo brasileiro. Para o quadro maior, veja o guia de IA para empresas.