PL 2338/2023: Marco Legal da IA no Brasil — O Que Muda Para Advogados em 2026

O Brasil está prestes a ter sua primeira lei específica sobre Inteligência Artificial. Depois de tramitação de mais de 5 anos, o texto consolidado do PL 2338/2023 foi aprovado no Senado em dezembro/2024 por unanimidade. Agora está na Câmara dos Deputados, ainda sem parecer do relator: a situação atualizada está no rastreador abaixo. Este guia explica tudo o que advogados precisam saber.

PL 2338 hoje: situação atual

Quem procura "PL 2338 hoje" quer saber duas coisas: se já virou lei e em que fase está. A resposta não fica num parágrafo escrito à mão, que envelhece: fica no rastreador logo abaixo, montado a partir dos dados abertos da Câmara dos Deputados e do Senado Federal — fase da tramitação, relator, dias na Câmara, última movimentação e a data em que os dados foram consultados. A caixa seguinte resume o que a situação significa para o escritório; o rastreador vem logo depois.

De onde veio: uma trajetória de cinco anos

O marco regulatório da IA brasileira levou cinco anos para tomar forma. Começou como o PL 21/2020 na Câmara, evoluiu para o PL 2338/2023 — apresentado pelo senador Rodrigo Pacheco em maio de 2023 — e foi aprovado por unanimidade no plenário do Senado em 10 de dezembro de 2024, sob relatoria do senador Eduardo Gomes (MDB-TO). Hoje, tramita na Câmara dos Deputados. Veja a trajetória completa:

Quem é o relator

No Senado, o relator foi o senador Eduardo Gomes (MDB-TO), desde a CTIA: consolidou contribuições de mais de 300 especialistas, empresas, academia e sociedade civil em audiências públicas entre 2023-2024, equilibrando inovação e proteção de direitos fundamentais. O texto aprovado em dez/2024 é dele.

Na Câmara, onde o projeto está agora, o relator é o deputado Aguinaldo Ribeiro (PP-PB), designado em maio/2025 na Comissão Especial de IA. Até agora ele não apresentou o parecer — e é justamente esse parecer que destrava (ou trava) a votação. É o gargalo atual da tramitação.

A arquitetura da lei: classificação por risco

O PL 2338/2023 adota um modelo baseado em risco (risk-based approach), inspirado no AI Act europeu: a intensidade da regulação varia conforme o potencial de dano. A lei divide os sistemas de IA em três níveis — risco excessivo (proibidos, como armas autônomas e social scoring), alto risco (permitidos com obrigações severas, como análise de crédito e triagem de RH) e risco baixo (apenas obrigações mínimas de transparência).

Nível 1: risco excessivo (proibidos)

Sistemas banidos no Brasil. Não podem ser desenvolvidos nem comercializados:

• Armas autônomas que tomam decisão letal sem supervisão humana
• Social scoring governamental — classificação de cidadãos pelo Estado
• Técnicas subliminares que explorem vulnerabilidades
• Reconhecimento de emoções em ambiente de trabalho e educacional
• Scraping indiscriminado de imagens faciais em ambientes públicos

Nível 2: alto risco (fortemente regulados)

Sistemas permitidos, mas com obrigações severas:

• Triagem curricular e recrutamento (RH automatizado)
• Análise de crédito e risco financeiro
• Saúde — diagnóstico, triagem, priorização
• Educação — avaliação e classificação de alunos
• Justiça criminal — análise de reincidência, vigilância biométrica
• Serviços públicos essenciais, imigração, veículos autônomos, infraestrutura crítica

Obrigações para sistemas de alto risco:

1. Avaliação de impacto algorítmico (AIA) prévia
2. Governança robusta — logs, auditorias, testes
3. Supervisão humana efetiva sobre decisões
4. Transparência — explicar o funcionamento
5. Documentação técnica completa disponível para autoridade
6. Registro em banco público de sistemas de alto risco

Nível 3: risco baixo ou moderado (obrigações mínimas)

Maior parte das IAs comerciais (chatbots genéricos, recomendação de produtos, assistentes virtuais):

• Transparência básica — usuário deve saber que está interagindo com IA
• Identificação de conteúdo gerado por IA (deepfakes, imagens sintéticas)
• Regras de uso acessíveis

Os direitos dos afetados

O PL 2338/2023 cria um catálogo de direitos para qualquer pessoa afetada por decisão de IA. Esses direitos não existem hoje de forma unificada — são a principal conquista cidadã da lei.

1. Direito à informação prévia

Antes de qualquer interação, a pessoa deve saber: que está interagindo com IA, qual a finalidade, quais dados são coletados, quem é o operador e desenvolvedor.

2. Direito à explicação

Quando uma decisão automatizada afeta a pessoa, ela pode exigir explicação técnica e compreensível sobre critérios usados, dados relevantes e lógica geral do sistema.

3. Direito à revisão humana

Decisões totalmente automatizadas que impactem direitos ou produzam efeitos jurídicos podem ser contestadas perante ser humano qualificado.

4. Direito à não discriminação algorítmica

Proibição de discriminação direta, indireta ou por viés algorítmico com base em raça, gênero, orientação sexual, religião, convicção política, condição socioeconômica ou deficiência.

5. Direito à privacidade e à proteção de dados

Reforço da LGPD: sistemas de IA devem respeitar princípios de finalidade, necessidade, transparência e segurança.

6. Direito à contestação administrativa

Reclamação pode ser feita diretamente à autoridade competente (provavelmente ANPD) — sem necessidade de ação judicial prévia.

Governança: o SIA e o papel da ANPD

O PL 2338/2023 cria o Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), uma estrutura distribuída de fiscalização coordenada pela ANPD, com apoio de reguladores setoriais (Banco Central, ANVISA, ANATEL) e do CNRIA. As sanções vão de advertência a multa de até 2% do faturamento (limite de R$ 50 milhões) e suspensão da atividade — com o valor dobrado em caso de reincidência.

Quem fiscaliza

• ANPD — coordenação central
• Reguladores setoriais — Banco Central (finanças), ANVISA (saúde), ANATEL (telecom)
• Órgão colegiado — CNRIA (Conselho Nacional de Regulação de IA)
• Comitê científico e multissetorial — consulta técnica

Sanções previstas

Reincidência dobra o valor da multa.

O que muda para advogados

O PL 2338/2023 abre cinco frentes de trabalho para a advocacia brasileira: (1) compliance de IA como novo mercado, (2) contencioso sobre discriminação algorítmica e decisões automatizadas, (3) contratos de desenvolvimento e uso de IA, (4) marketing jurídico responsável e (5) o uso interno seguro no escritório. Na prática, escritórios e cartórios já adotam a indexação dos documentos na própria máquina (Edge RAG) — o arquivo não sai — para endereçar de uma vez a nova lei, a LGPD e o Provimento CNJ 213/2026.

1. Compliance de IA como novo mercado

Escritórios precisarão implementar:

• Política interna de uso de IA
• Avaliação de impacto algorítmico (AIA) em projetos críticos
• DPO estendido — muitos DPOs passarão a acumular função de AI Officer
• Treinamento de equipe sobre a nova lei

A adequação ao PL 2338 não é teórica. Cartórios e tabelionatos brasileiros já estão implementando sistemas que indexam os documentos na própria máquina (Edge RAG), mantendo o arquivo dentro do cartório, para endereçar ao mesmo tempo o Marco Legal da IA, a LGPD e o Provimento CNJ 213/2026 — que regula especificamente o uso de IA em serviços notariais. Veja, por exemplo, como foi a implementação prática e o treinamento da Locus.IA no 2º Tabelionato de Notas de Foz do Iguaçu: análise de matrículas com IA local, segurança de dados em cartórios e três vídeos guiados sobre o software em operação real.

2. Contencioso de IA emergente

Litígios esperados:

• Ações de discriminação algorítmica — crédito negado, emprego, saúde
• Contestações de decisões automatizadas
• Danos morais e materiais por uso indevido
• Direito autoral vs IA generativa — zona cinza em consolidação

3. Contratos de desenvolvimento e uso de IA

Novos modelos contratuais exigirão:

• Cláusulas de classificação de risco
• Alocação de responsabilidade civil
• Obrigações de transparência entre partes
• SLAs de performance algorítmica
• Direitos sobre output e treinamento

4. Marketing jurídico responsável

Anúncios de "IA jurídica" precisarão indicar que há IA envolvida, informar supervisão humana e cumprir transparência básica.

5. Uso interno no escritório

Advogados que usam IA (77% do mercado, segundo pesquisa Exame) precisarão:

• Anonimizar dados antes de enviar a IA de nuvem
• Validar outputs (alucinações continuam ilegais como prova)
• Documentar uso para auditoria
• Manter supervisão humana em decisões críticas

Conexão com outras normas

O PL 2338/2023 não atua sozinho: integra um ecossistema regulatório que já inclui a LGPD (Lei 13.709/2018), a Resolução CNJ 615/2025 (uso de IA no Judiciário), o Marco Civil da Internet e o Código de Defesa do Consumidor — além de decisões recentes do STJ e do STF sobre inteligência artificial. Juntas, essas normas definem hoje como a IA pode ser usada com dados pessoais no Brasil:

• LGPD (Lei 13.709/2018) — proteção de dados
• Resolução CNJ 615/2025 — uso de IA no Judiciário
• Marco Civil da Internet — princípios de rede, liberdade, privacidade
• Código de Defesa do Consumidor — responsabilidade por vícios e defeitos
• Decisões STJ/STF — como a recente HC 1.059.475/SP

Cronograma esperado de 2026-2027

1º Semestre 2026 — o que de fato aconteceu

• Comissão Especial ainda sem parecer do relator (Aguinaldo Ribeiro) — a votação sequer começou
• Câmara apensou outros PLs de IA ao 2338 (o mais recente consta no rastreador acima), ampliando o escopo do debate
• A votação esperada para 2025/início de 2026 seguiu adiada por falta de consenso

2º Semestre 2026 em diante — sem data confirmada

• Parecer do relator na Comissão (pré-requisito de tudo — ainda pendente)
• Votação em plenário da Câmara — sem data definida, depende do parecer
• Como o texto deve sofrer ajustes, tende a voltar ao Senado antes da sanção presidencial e da publicação no DOU

2027

• Vacatio legis de 12-24 meses esperada
• Regulamentação pela ANPD e órgãos setoriais
• Adequação das empresas

O que fazer hoje, sem esperar o PL virar lei

A ANPD já fiscaliza com base na LGPD. Não precisa esperar PL 2338 ser sancionado pra estar exposto. Aqui está o playbook em 3 frentes:

1. Auditoria imediata do seu uso atual de IA

1. Liste todas as IAs que sua equipe usa hoje (ChatGPT, Gemini, Claude, Copilot, qualquer outra)
2. Identifique se tem DPA assinado em português (termos de uso padrão não contam)
3. Verifique se dados de clientes já foram enviados a servidores fora do Brasil
4. Documente quem usa, quando, com que tipo de dado

2. Escolha uma IA jurídica adequada à LGPD

Não basta ter DPA — o ideal é arquitetura on-premise (dados nem saem do escritório). Veja os 10 critérios para contratar IA jurídica e compare opções em "Quanto custa uma IA jurídica em 2026?".

3. Crie uma política interna escrita

1. Política de uso responsável (~2 páginas)
2. Treinamento da equipe (~2h)
3. Logs de auditoria de quem usa cada ferramenta
4. Revisão trimestral conforme PL 2338 avança

Perguntas frequentes

Recursos oficiais

Conclusão: o Brasil entra na era da IA regulada

O PL 2338/2023 não é apenas uma lei técnica. É um marco civilizatório. Ao classificar sistemas de IA por risco, garantir direitos aos afetados e criar governança estruturada, o Brasil se alinha aos países mais avançados em regulação tecnológica.

Para a advocacia, é oportunidade histórica. Nenhuma geração de advogados teve em suas mãos a construção jurídica de uma tecnologia tão transformadora. Os profissionais que se especializarem agora — compliance de IA, litígio algorítmico, direitos dos afetados, contratos de desenvolvimento — vão liderar a próxima década.

Para o mercado de LegalTech, é maturidade. Com marco legal claro, investidores ganham confiança, empresas crescem, concorrência se estabelece em bases éticas.

A lei ainda precisa passar pela Câmara. Pode sofrer emendas. Pode demorar mais um ano. Mas a direção está dada: IA será regulada no Brasil.

O advogado inteligente não espera a lei entrar em vigor para se preparar. Começa agora.