Se a lei de IA entrasse em vigor hoje, sua empresa estaria pronta?

Enquanto o debate regulatório avança, a inteligência artificial já opera dentro das empresas, muitas vezes sem controle, sem rastreabilidade e sem supervisão. É nesse descompasso entre o uso real da tecnologia e a capacidade das empresas de governá-la que está o principal risco do momento. A tramitação do PL 2338/2023 não cria esse cenário, mas escancara algo que já vinha acontecendo e que, em breve, será regulado.

Da construção regulatória à realidade operacional

A evolução do PL 2338/2023 muda de forma definitiva a maneira como o Brasil passa a tratar a inteligência artificial. O país deixa de discutir se deve regular e passa a lidar com um desafio mais real, e mais difícil: como governar uma tecnologia que já está em operação dentro das empresas.

Inspirado em modelos como o AI Act, o projeto adota um modelo baseado em risco, classificando sistemas conforme seu potencial de impacto, com exigências mais rigorosas para os considerados de alto risco.

O que, na prática, a lei passa a exigir

A estrutura do PL 2338/2023 não é extensa por acaso. Ela consolida exigências que, na prática, demandam mudanças estruturais nas empresas.

Mais do que o número de artigos, o que importa é o tipo de obrigação que passa a existir: identificar e classificar sistemas de IA por nível de risco, realizar avaliações de impacto para usos críticos, garantir transparência e explicabilidade das decisões automatizadas, definir responsabilidades ao longo da cadeia e estruturar práticas contínuas de governança.

Na prática, isso significa que o uso de IA deixa de ser isolado e passa a exigir coordenação, controle e prestação de contas.

O que o mercado ainda está subestimando

O ponto que o mercado mais erra hoje é tratar esse avanço como algo distante.

A inteligência artificial já está espalhada pelas empresas, muitas vezes sem inventário, sem governança e sem supervisão estruturada. É o fenômeno que começa a ganhar nome: shadow AI.

Nesse contexto, a lei não cria o problema, ela revela um problema que já existe. O risco deixa de ser tecnológico e passa a ser decisório, reputacional e fiduciário.

Esse cenário não é hipotético. Ele já pode ser observado em áreas como atendimento ao cliente, marketing, análise de crédito e decisões operacionais, onde ferramentas de IA vêm sendo adotadas sem qualquer estrutura formal de governança.

E se a lei entrasse em vigor amanhã?

O impacto não estaria na tecnologia, e sim no quanto as empresas ainda não estão preparadas para governá-la. Grande parte das empresas descobriria que não possui estrutura mínima para responder às exigências básicas de governança. Os efeitos seriam imediatos.

A exposição invisível se tornaria risco formal. Sistemas de IA em uso não estariam mapeados, decisões automatizadas não seriam rastreáveis e não haveria clareza sobre responsabilidades internas. Ao mesmo tempo, surgiria uma ruptura operacional. Áreas distintas utilizariam IA sem alinhamento, sem políticas comuns e sem qualquer padronização de controles.

Além disso, as empresas passariam a lidar com diferentes pressões regulatórias ao mesmo tempo, conectando o uso de IA a regimes já existentes, como proteção de dados e relações de consumo.

O Brasil no contexto global

Diferentemente da Europa, com modelo mais prescritivo, e dos Estados Unidos, com abordagem fragmentada, o Brasil caminha para um modelo híbrido, baseado em princípios e execução descentralizada.

Na prática, isso transfere maior responsabilidade para as empresas e posiciona a regulação como um mecanismo de indução de governança corporativa.

O verdadeiro ponto de ruptura

Durante anos, a inteligência artificial foi tratada como uma alavanca de eficiência. Agora, passa a se tornar uma nova fonte relevante de risco. O ponto de ruptura não está na tecnologia, mas na capacidade das organizações de compreender, mapear e governar o uso que já fazem dela.

Conclusão

A discussão sobre IA no Brasil já não é teórica, é prática e inevitável. Empresas não serão cobradas por usar inteligência artificial, mas por não saberem como usam. A verdade é que o problema nunca foi a tecnologia. O problema é que as empresas avançaram mais rápido no uso do que na capacidade de governar.

E é exatamente aí que a atenção das empresas precisa começar.