Brasil já regula algoritmos, mas ainda não tem um marco legal da IA

Um algoritmo pode decidir o conteúdo que uma criança vê, ajudar a selecionar um candidato a emprego, influenciar a concessão de crédito ou definir quais informações chegam a determinado usuário. No Brasil, algumas dessas aplicações já estão submetidas a obrigações legais específicas. O que o país ainda não possui é uma lei geral capaz de estabelecer, de forma uniforme, quem deve avaliar esses riscos, quais controles devem existir e como se distribuem as responsabilidades quando a inteligência artificial (IA) falha.

Regulação de duas velocidades

O contraste tornou-se evidente em 2026, quando o Estatuto Digital da Criança e do Adolescente (ECA Digital), instituído pela Lei nº 15.211/2025 e em vigor desde 17 de março de 2026, já impõe deveres expressivos a plataformas e fornecedores de produtos e serviços digitais. Em paralelo, o Projeto de Lei nº 2.338/2023, destinado a estabelecer o Marco Geral da Inteligência Artificial no país, permanece em discussão na Câmara dos Deputados. O resultado é um paradoxo: o Brasil já disciplina usos específicos de tecnologias automatizadas, como aferição etária, recomendação de conteúdo, publicidade comportamental e perfis de menores, antes de concluir a lei geral que deverá estabelecer critérios comuns de risco, transparência, supervisão humana, auditoria e responsabilização.

O PL 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e remetido à Câmara em março de 2025. O texto organiza o uso da inteligência artificial a partir da centralidade da pessoa humana e de uma abordagem baseada em riscos, tratando da classificação de sistemas de alto risco, dos deveres dos agentes da cadeia de IA, da avaliação de impacto algorítmico e das regras de responsabilidade. Na Câmara, a proposição segue em comissão especial, aguardando parecer do relator, com novos projetos apensados ao texto principal. A demora tem consequências concretas: empresas, órgãos públicos, trabalhadores e consumidores convivem com sistemas que influenciam seleções profissionais, crédito e decisões administrativas sem um regime jurídico uniforme para os danos algorítmicos.

O ECA Digital teve trajetória diferente. O projeto que lhe deu origem permaneceu por longo período sem avanço, mas ganhou impulso em 2025, em meio à intensificação do debate público sobre a exposição, a exploração e a chamada “adultização” de crianças e adolescentes nas redes sociais. O resultado foi uma rápida sucessão de atos: aprovação do texto, sanção da Lei nº 15.211/2025, entrada em vigor em 17 de março de 2026 e regulamentação pelo Decreto nº 12.880/2026.

A Agência Nacional de Proteção de Dados (ANPD) foi designada a autoridade competente para regulamentar e fiscalizar o estatuto. A lei estabeleceu obrigações como proteção por desenho, controle parental, aferição de idade, restrições à publicidade baseada em perfilamento de menores e remoção de conteúdos lesivos, com sanções que podem alcançar 10% do faturamento do grupo no Brasil, limitadas a R$ 50 milhões por infração.

Não se trata de comparar a relevância das duas matérias, pois a proteção infantojuvenil se justifica pelo princípio da proteção integral. A comparação serve para demonstrar que o Estado brasileiro tem instrumentos para deliberar sobre tecnologia, direitos fundamentais e sanções em prazo relativamente curto, quando há convergência institucional suficiente.

Risco de regular a IA em partes

O paradoxo mais evidente está no próprio conteúdo do ECA Digital: diversas obrigações da lei dependem de sistemas automatizados sofisticados. A aferição de idade pode envolver inferências probabilísticas; a recomendação de conteúdo utiliza modelos de perfilamento; a moderação em larga escala recorre à IA. Essas ferramentas podem produzir falsos positivos, discriminações e decisões opacas, exigindo governança apoiada em documentação técnica, avaliação de impacto, testes, rastreabilidade e supervisão humana. Surge, assim, uma situação peculiar: a legislação já exige controles sobre sistemas automatizados sem que exista um regime geral capaz de disciplinar essa mesma governança.

Quando o ordenamento regula setores específicos, antes de estabelecer esse núcleo comum, surgem assimetrias: cada nova lei cria conceitos, autoridades e sanções próprios, resultando em um mosaico de regras parcialmente sobrepostas, de aplicação complexa, sobretudo para empresas de menor porte. A própria ANPD, ao revisar seu regulamento sancionatório para acomodar, sob uma mesma lógica, infrações da LGPD, do ECA Digital e do Marco Civil, ilustra o problema: a coordenação regulatória está sendo construída por camadas, enquanto falta um eixo legislativo geral para a governança da IA. O Marco Legal não eliminaria toda a complexidade, mas ofereceria uma linguagem regulatória comum. Sem ela, a proteção de direitos depende de uma combinação fragmentada de Constituição, Código Civil, CDC, LGPD, normas setoriais e jurisprudência.

Ausência de lei não significa ausência de responsabilidade

É importante afastar uma conclusão equivocada: a falta de aprovação do PL 2.338/2023 não cria uma zona livre de responsabilidade. Danos causados por sistemas de IA já podem ser examinados à luz das normas civis, consumeristas, trabalhistas e de proteção de dados. A LGPD, por exemplo, assegura direitos relacionados a decisões automatizadas e impõe princípios de transparência, necessidade, segurança e não discriminação. O problema é a falta de previsibilidade específica: as normas existentes não foram concebidas para resolver, de modo uniforme, a divisão de deveres entre desenvolvedor, fornecedor, integrador e operador, o padrão de diligência exigível de modelos de propósito geral ou o tratamento de sistemas que mudam de comportamento após sua disponibilização.

Essa incerteza afeta a proteção dos indivíduos e a inovação: empresas precisam antecipar padrões ainda não consolidados, investidores avaliam riscos regulatórios sem referência definitiva, e órgãos públicos adotam soluções de IA sem parâmetros nacionais para contratação e auditoria. Enquanto isso, novas ferramentas são continuamente incorporadas às atividades empresariais e à administração pública sem parâmetros uniformes, pois quanto mais essas práticas se consolidam, maior o esforço posterior de correção, e mais empresas recorrem a referências regulatórias estrangeiras, que não substituem uma política nacional atenta ao mercado brasileiro.

Entre as normas hoje disponíveis, o Código de Defesa do Consumidor ocupa posição de destaque, pois é exatamente o campo em que muitos danos algorítmicos se manifestam: crédito, precificação, publicidade dirigida e moderação de conteúdo. O CDC oferece arquitetura protetiva testada, construída sobre a vulnerabilidade do consumidor e a responsabilidade objetiva do fornecedor: o artigo 43 disciplina os cadastros de consumo, aplicável ao scoring de crédito por IA; o artigo 39 veda práticas abusivas, alcançando a discriminação de preços por perfilamento; o artigo 6º, IV, protege contra publicidade enganosa e os artigos 14 e 20 estabelecem responsabilidade objetiva por vício e fato do serviço, independentemente de culpa. Há ainda conexão com o ECA Digital, pois a doutrina consumerista já reconhece crianças e adolescentes como hipervulneráveis, isso, com o mesmo fundamento da proteção integral. O Marco Legal da IA, quando aprovado, precisará dialogar com essa estrutura consumerista já consolidada.

Governança não pode esperar pela lei

A ausência de lei geral não afasta a incidência das normas existentes, tampouco justifica que organizações adiem mecanismos internos de controle. É necessário consolidar uma governança de IA capaz de definir responsabilidades, critérios de uso, níveis de risco e procedimentos de resposta a resultados lesivos. Riscos algorítmicos costumam ser difusos e pouco visíveis: uma pessoa pode não saber que perdeu uma vaga por causa de uma ferramenta automatizada, ou que foi classificada desfavoravelmente por dados incompletos. Por isso, a governança precisa vir acompanhada de instrumentos efetivos: inventários de sistemas de IA, classificação de risco, avaliação de impacto, testes antes da implantação e revisão humana. A questão não é impedir o uso da IA, mas assegurar que sua adoção seja proporcional ao risco.

Regular rápido ou regular bem? Brasil não precisa optar

A complexidade da IA recomenda cautela: conceitos rígidos ou obrigações vinculadas a tecnologias específicas podem gerar regras rapidamente obsoletas. O desafio do legislador está em compatibilizar proteção de direitos, segurança jurídica e competitividade. Essa cautela, porém, não deve se converter em indefinição, o próprio modelo baseado em riscos permite estabelecer obrigações proporcionais, combinando uma lei geral com regulamentação técnica posterior e revisão periódica. O Brasil não precisa escolher entre regular rapidamente ou regular bem; o desafio é estruturar um processo que concilie participação técnica, transparência e previsibilidade.

A aprovação do Marco Legal da IA não encerrará o debate regulatório, será apenas o início de uma etapa de implementação e aprendizado institucional, indispensável para reduzir a fragmentação e oferecer respostas previsíveis aos riscos já presentes na vida econômica e social. O ECA Digital mostrou que a legislação tecnológica pode avançar quando há definição clara do problema regulatório, das obrigações e da autoridade competente. O Marco Legal da IA exige esforço semelhante, com uma arquitetura de governança capaz de orientar sistemas que afetam crédito, trabalho, educação e acesso a oportunidades. A transformação algorítmica não aguardará a conclusão do processo legislativo: o desafio já não é decidir se a IA será regulada, mas evitar que sua regulação continue sendo construída de forma fragmentada, depois que seus efeitos já tiverem se consolidado.

Referências

1. BRASIL. Câmara dos Deputados. PL 2.338/2023 – ficha de tramitação.
2. BRASIL. Senado Federal. Projeto de Lei nº 2.338/2023.
3. BRASIL. Lei nº 15.211, de 17 de setembro de 2025 – Estatuto Digital da Criança e do Adolescente.
4. BRASIL. Lei nº 15.352, de 25 de fevereiro de 2026 – fixação da vigência do ECA Digital em 17 de março de 2026.
5. BRASIL. Decreto nº 12.880, de 18 de março de 2026 – regulamentação do ECA Digital.
6. BRASIL. Agência Nacional de Proteção de Dados. Resolução CD/ANPD nº 4/2023 – Regulamento de Dosimetria e Aplicação de Sanções Administrativas.
7. BRASIL. Agência Nacional de Proteção de Dados. Parecer nº 00045/2026/GAB/PFE/ANPD/PGF/AGU – análise jurídica da proposta de revisão do regulamento sancionatório.
8. BRASIL. Lei nº 8.078, de 11 de setembro de 1990 – Código de Defesa do Consumidor.

O post Brasil já regula algoritmos, mas ainda não tem um marco legal da IA apareceu primeiro em Consultor Jurídico.