Antes de qualquer empresa brasileira tomar decisão de compliance sobre IA, vale entender como o PL 2338 chegou onde está, o que isso significa em termos práticos, e que decisão de governança precisa ser tomada nos próximos 12 meses. Essa é uma análise sequencial — pra leitura linear, não pra extração de FAQ.
A cronologia do Marco Legal da IA brasileiro
O que cada decisão significa pra sua operação
Pra C-level, a pergunta útil não é "o que diz o artigo X do PL 2338". É o que muda na minha operação prática. Aqui mapeio cada bloco do PL às 5 mudanças que aparecem no chão de empresa em 2026.
1. Classificação obrigatória de sistemas por risco
Cada sistema de IA precisa ser categorizado em risco excessivo (proibido), alto risco (regulado), ou baixo risco (regras gerais de transparência). Pra empresa típica, isso significa criar e manter um inventário de sistemas de IA com classificação. A maioria das empresas brasileiras tem 3-5x mais sistemas de IA em uso do que reconhece formalmente. Inventário primeiro, classificação depois.
2. Os 4 papéis obrigatórios
Fornecedor (quem desenvolve), operador (quem aplica), responsável técnico (humano supervisor), encarregado (interlocutor com Autoridade). Empresa pode acumular fornecedor + operador. Esses papéis precisam estar nomeados, com mandato. Detalhamento em como estruturar comitê de governança.
3. Supervisão humana significativa em alto risco
Não é "humano olhando dashboard". É humano com poder real de revisão e revogação. Isso afeta diretamente o desenho de sistemas que tomam decisão automatizada — agentes que processam crédito, RH automatizado, classificação para serviços essenciais. Pra muitas empresas, vai exigir redesenho técnico, não só processual.
4. Direito de explicação e contestação
Pessoa afetada por decisão automatizada pode pedir explicação e contestar. Pra empresa, isso significa: (a) canal operacional pra receber esses pedidos, (b) prazo de resposta, (c) capacidade técnica de gerar explicação inteligível pra leigo, (d) processo de revisão por humano. Sistemas projetados como caixa-preta não vão passar.
5. Monitoramento contínuo e relatório periódico
Auditoria interna, registro de incidentes, comunicação à Autoridade em casos relevantes. Logging completo de prompt + resposta + ação executada é o padrão técnico mínimo. Sem isso, não há trilha defensável.
Como o PL 2338 se compara ao AI Act europeu
Estrutura é similar; rigor é diferente. O AI Act é mais detalhista em obrigações técnicas (documentação técnica, registro de sistemas de alto risco em base pública, requisitos específicos por categoria de risco). O PL 2338 deixa mais discricionariedade à autoridade reguladora.
Pra empresa multinacional brasileira: adequar primeiro ao AI Act tipicamente cumpre PL 2338 com folga. Pra empresa só-Brasil: focar em PL 2338 + LGPD é suficiente.
O que fazer nos próximos 12 meses
Empresas brasileiras que já começaram a se mover estão executando aproximadamente esta sequência:
- Meses 1-2: inventário completo de sistemas de IA em uso (frequentemente subestimado em 3-5x — shadow AI inclusive).
- Meses 2-3: classificação preliminar por risco; identificação dos sistemas críticos.
- Meses 3-6: estruturação de comitê de governança e nomeação dos 4 papéis.
- Meses 6-9: documentação técnica dos sistemas de alto risco.
- Meses 9-12: implementação de logging, supervisão humana, canal de contestação.
- Meses 12-18: primeira auditoria interna, ajustes, recertificação.
Quem começar só após sanção presidencial vai comprimir essa sequência em 12 meses — geralmente com qualidade comprometida e exposição residual.