Como este tema funciona na sua empresa
Foco em regulação brasileira (LGPD principalmente). Se usa IA, assume risco de mudança regulatória mas não precisa se preparar para EU AI Act em profundidade. Monitoramento passivo.
Monitora a regulação brasileira e o EU AI Act se coloca sistema de IA no mercado da UE ou se o resultado gerado pelo sistema é usado na União. Começa estruturar governance antecipando regulação brasileira. Risk officer acompanha evolução.
Conformidade ativa com EU AI Act se aplicável. Preparação para regulação brasileira. Monitoramento global. Equipe dedicada a regulatory affairs. Pode contribuir a processos regulatórios.
Panorama regulatório de IA é mapa de regulações aplicáveis (Brasil, UE, EUA) que empresas devem conhecer conforme sua localização, mercados atendidos e tipo de iniciativa de IA. Regulação está em movimento acelerado[1].
Estado da regulação no Brasil: LGPD como base, Lei de IA em discussão
LGPD (Lei Geral de Proteção de Dados) está em vigor, aplicável a qualquer uso de dados pessoais incluindo IA. ANPD (Autoridade Nacional de Proteção de Dados) publica orientações sobre IA. O principal projeto sobre IA, o PL 2338/2023, foi aprovado no Plenário do Senado em 10 de dezembro de 2024 e remetido à Câmara dos Deputados em 17 de março de 2025. Na Câmara tramita em Comissão Especial, sob relatoria do deputado Aguinaldo Ribeiro (PP-PB), designado em maio de 2025; a situação registrada na ficha de tramitação é "Aguardando Parecer do(a) Relator(a) na Comissão Especial", e os últimos andamentos registrados são requerimentos de audiências públicas. Não há data de votação definida, e o projeto não é lei.
Para empresa brasileira: LGPD é obrigatório agora. Lei de IA específica não existe ainda, mas prudente estruturar governance antecipando. Monitorar: ANPD (publicações), Congresso Nacional (votações de projetos), associações profissionais (ABDE, BRASSCOM)[2].
Foco principal é LGPD — se usa IA que processa dados pessoais, precisa de base legal e transparência. Regulação específica de IA ainda está em formação, mas compliance com LGPD já cobre o essencial.
Monitorar regulação de IA no Brasil e, se atende clientes internacionais, na UE e EUA. Designar responsável por acompanhar evolução regulatória. Compliance preventivo é mais barato que reativo.
Equipe dedicada de compliance regulatório de IA. Monitorar múltiplas jurisdições, participar de consultas públicas, manter documentação de conformidade atualizada. Regulação é risco estratégico, não apenas jurídico.
EU AI Act: regulação mais rigorosa do mundo, com impacto global
EU AI Act entrou em fase de fiscalização: as proibições já valem e, segundo a Cooley, as obrigações de transparência (rótulo de conteúdo, áudio e vídeo gerados por IA, deepfakes e aviso em reconhecimento emocional/biometria) passaram a valer em agosto de 2026, junto com a capacidade de execução da Comissão Europeia sobre modelos de propósito geral (GPAI) — supervisão, investigação e multas a provedores de GPAI; as obrigações substantivas de GPAI, essas, já valiam desde agosto de 2025[3]. Já as obrigações de alto risco foram adiadas pelo pacote "Digital Omnibus" para dezembro de 2027 (sistemas do Anexo III) e agosto de 2028 (Anexo I, IA embarcada em produtos regulados), segundo a Gibson Dunn[4]. O alcance está no art. 2(1): colocar sistema de IA no mercado da UE ou colocá-lo em serviço lá, esteja o fornecedor estabelecido na União ou em país terceiro; e também provedores e implantadores de fora da UE quando o resultado (output) produzido pelo sistema é usado na União. Ter cliente europeu, sozinho, não é o gatilho. Classificação de risco: proibido (mass surveillance), alto risco (decisão sobre pessoa), transparência (chatbots), baixo risco (resto). Requisitos por nível: documentação, testes de viés, auditoria, explicabilidade.
Impacto: a empresa brasileira cujo sistema de IA entra no mercado da UE, ou cujo resultado é usado na União, precisa conhecer o AI Act — e, na maior parte dos casos, será alcançada como implantadora (deployer), não como provedora, o que muda a lista de deveres. Custo de conformidade pode ser significativo (testes, documentação, possível redesign). Os tetos de multa dependem da obrigação descumprida: práticas proibidas do art. 5, até €35 milhões ou 7% do faturamento anual mundial, o que for maior; obrigações de transparência do art. 50, até €15 milhões ou 3%, o que for maior. Para PME e startup o art. 99(6) inverte a regra e aplica o valor menor dos dois.
EUA: regulação fragmentada, pressão crescente do FTC
EUA não tem lei federal única. Regulação setorial (finança tem seus requisitos, saúde tem outros). Estado a estado pode ter requisitos locais. FTC (Federal Trade Commission) tem aumentado pressão em viés, transparência, segurança. Tendência: aumento de controle em cenários com alto risco (saúde, justiça, trabalho).
Para empresa brasileira com cliente nos EUA: conhecer regulação setorial aplicável, monitorar FTC. Menos rigorosa que EU AI Act, mas tendência é aumentar.
Aplicabilidade por contexto: qual regulação se aplica à sua empresa
Matriz de decisão: Se empresa opera só Brasil, foque em LGPD + preparação para Lei de IA. Se coloca sistema de IA no mercado da UE, ou se o resultado do seu sistema é usado na União, foque no EU AI Act. Se tem cliente nos EUA, foque em regulação setorial + FTC. Se global, foque em mais rigorosa (EU AI Act) como baseline, adapte para local.
Regra prática: conformidade com EU AI Act > conformidade com Lei de IA brasileira esperada > conformidade LGPD. Se você atende EU AI Act, provavelmente atende as outras.
Impacto esperado e timeline de preparação
Lei de IA brasileira: se aprovada, entra em vigor após período de vacância. Impacto esperado: similar a EU AI Act mas menos rigorosa. Custo de conformidade: para média empresa, investimento moderado (coordenador de IA, testes, documentação). Para grande: investimento significativo (equipe dedicada, reimplementação de sistemas de alto risco).
Recomendação: começar a estruturar governance de IA agora, não esperar lei entrar em vigor. Benefício: reduz risco, facilita eventual conformidade, demonstra responsabilidade corporativa.
Sinais de que sua empresa não está preparada para regulação de IA
- Não tem AI Officer ou responsável por governance de IA.
- Sem inventário centralizado de iniciativas de IA.
- Sem documentação de decisões, testes de viés, auditoria.
- Contrato com vendor não cobre responsabilidade por conformidade.
- Sem plano de resposta a mudança regulatória.
- Equipe não entende implicações de LGPD/EU AI Act para iniciativa de IA que desenvolve.
Caminhos para se preparar para regulação de IA
Estruturar governance internamente, monitorar regulação.
- Ações: definir AI Officer, estruturar comitê, documentar políticas, começar testes de conformidade
- Tempo: 3–6 meses para baseline
Consultoria de regulatory affairs, conformidade especializada em IA.
- Fornecedor: consultoria jurídica especializada, consultoria de compliance
- Resultado: assessment de conformidade, plano de remediação, treinamento de equipe
Precisa de apoio para se preparar para regulação de IA?
Se preparação regulatória é prioridade, oHub conecta você gratuitamente a consultores especializados. Em menos de 3 minutos, descreva sua necessidade e receba propostas, sem compromisso.
Solicitar orçamento de Gestão de TI Solicitar orçamento de Segurança da Informação
Confira no oHub as empresas da nossa rede nas categorias: Gestão de TI e Segurança da Informação
Sem custo, sem compromisso. Você recebe propostas e decide se e com quem avançar.
Perguntas frequentes
Pequena empresa realmente precisa se preparar para Lei de IA ainda não aprovada?
Sim. Preparação early reduz risco. Se lei aprovar de forma similar ao EU AI Act, empresa que já tem governance está melhor posicionada. Custo de preparação agora << custo de correria depois.
Qual é multa por não conformidade regulatória em IA?
No EU AI Act o teto depende da obrigação: práticas proibidas do art. 5 chegam a €35 milhões ou 7% do faturamento anual mundial, o que for maior; obrigações de transparência do art. 50, a €15 milhões ou 3%, o que for maior. Para PME e startup aplica-se o menor dos dois (art. 99(6)). No Brasil não há lei específica de IA em vigor — o parâmetro sancionatório atual é a LGPD. Além disso: bloqueio de operação, dano reputacional, ações civis.
Quem monitora regulação de IA no Brasil?
ANPD (publicações), Congresso (votações), mídia especializada, associações (ABDE, BRASSCOM). Recomendado: inscrever-se em newsletter de ANPD, acompanhar votações, participar de consultas públicas se aplicável.
EU AI Act se aplica a empresa brasileira que só tem clientes no Brasil?
Em regra, não. Pelo art. 2(1), o AI Act alcança quem coloca sistema de IA no mercado da UE ou o coloca em serviço lá, e quem, estabelecido em país terceiro, produz com o sistema um resultado (output) que é usado na União. Operação restrita ao Brasil não aciona esses gatilhos, e o foco fica na LGPD.
Qual é diferença esperada entre Lei de IA brasileira e EU AI Act?
A comparação ainda é hipótese: o PL 2338/2023 foi aprovado no Senado e segue em Comissão Especial na Câmara, aguardando parecer do relator — não é lei, e o texto pode mudar até lá. O AI Act já está em aplicação escalonada e é o parâmetro mais exigente disponível; usá-lo como baseline de governança tende a cobrir os princípios que o projeto brasileiro discute (transparência, viés, direitos).