A consolidação da inteligência artificial (IA) como base da economia digital marca o início de uma nova fase de regulação tecnológica. No Brasil e no mundo, cresce o debate sobre como empresas e líderes devem se adaptar à governança da IA e aos novos padrões de compliance digital. Em poucos anos, algoritmos passaram a definir preços, conceder crédito, direcionar políticas públicas, avaliar desempenho e moldar decisões estratégicas. 

O avanço, embora irreversível, trouxe à superfície dilemas éticos, jurídicos e de governança que desafiam a capacidade institucional de equilibrar inovação, transparência e responsabilidade.

A regulação da inteligência artificial no cenário internacional

O movimento global de regulação da IA reflete essa tensão. Europa, Estados Unidos e organismos multilaterais vêm delineando marcos normativos que tratam a inteligência artificial como infraestrutura crítica, sujeita a padrões de segurança, rastreabilidade e supervisão. 

O AI Act europeu, as diretrizes da OCDE e o Executive Order norte-americano sobre Safe, Secure and Trustworthy AI formam o tripé que orienta a construção de legislações nacionais em diferentes jurisdições. No Brasil, o Projeto de Lei nº 2.338/2023 sinaliza um alinhamento progressivo a essas referências, ancorado na abordagem de risco e na integração com a Autoridade Nacional de Proteção de Dados (ANPD).

A regulação da IA amplia o escopo da governança corporativa e reposiciona o papel da liderança executiva. Conselhos, diretores e compliance officers passam a lidar com a inteligência artificial como domínio regulado, sujeito a métricas de integridade tecnológica e responsabilidade social.

A construção de uma cultura de transparência algorítmica, rastreabilidade e ética digital torna-se elemento central da competitividade e do valor institucional das organizações.

No cenário internacional, a régua já está posta

O debate regulatório sobre inteligência artificial alcançou escala global e passou a definir o novo parâmetro de governança tecnológica. 

A União Europeia inaugurou esse movimento com o AI Act, primeiro arcabouço normativo abrangente do mundo, estruturado na lógica de risco proporcional. O modelo europeu parte da premissa de que quanto maior o impacto potencial de um sistema de IA sobre direitos fundamentais, segurança ou integridade de dados, mais rigorosos devem ser os requisitos de transparência, rastreabilidade e supervisão.

O AI Act estabelece quatro níveis de classificação – risco mínimo, limitado, alto e inaceitável – e, para as aplicações de alto risco, impõe obrigações formais de documentação, testes de conformidade, registro público e mecanismos permanentes de auditoria.

O enquadramento institui o princípio da accountability algorítmica, segundo o qual as organizações devem comprovar a segurança e a governabilidade de seus sistemas em todas as etapas de desenvolvimento e operação.

Nos Estados Unidos, o Executive Order on Safe, Secure and Trustworthy Artificial Intelligence orienta a criação de padrões técnicos e de segurança voltados à responsabilização do desenvolvedor e à transparência nos ciclos de treinamento de modelos. 

O modelo norte-americano é menos prescritivo que o europeu e privilegia a gestão de riscos pós-implementação, reforçando a responsabilização em caso de dano e a necessidade de supervisão contínua, sem comprometer a agilidade da inovação privada.

A Organização para a Cooperação e Desenvolvimento Econômico (OCDE) desempenha papel complementar, difundindo princípios universais de governança de IA – transparência, explicabilidade, segurança e respeito aos direitos humanos -, que se tornaram referência para políticas públicas e códigos de conduta corporativos. 

Paralelamente, países como Canadá, Japão e Cingapura avançam com guias nacionais inspirados nessas diretrizes, reforçando a convergência internacional em torno da integridade tecnológica como critério de confiança e competitividade.

O marco brasileiro: PL 2.338/2023 e o papel da ANPD

O Projeto de Lei nº 2.338/2023 constitui a iniciativa mais abrangente já concebida para disciplinar a inteligência artificial no país. O texto, atualmente em exame no Senado Federal, procura conciliar três vetores de natureza distinta: a tutela de direitos fundamentais, o fomento à inovação e a previsibilidade jurídica indispensável à confiança dos agentes econômicos. 

Parte-se do reconhecimento de que a IA já permeia cadeias produtivas, serviços públicos e relações privadas, sem que existam parâmetros normativos capazes de assegurar integridade técnica e accountability institucional.

A proposta adota a abordagem baseada em risco, inspirada no modelo europeu, mas ajustada à realidade regulatória brasileira. A finalidade é graduar obrigações conforme o potencial de impacto sobre a vida, a segurança, a privacidade e a igualdade. Tal lógica pretende afastar tanto o excesso normativo, que inibe a inovação, quanto a omissão regulatória, que amplia zonas de incerteza jurídica.

O substitutivo, atualmente em debate, prevê quatro níveis de risco – mínimo, moderado, alto e crítico – e impõe, às aplicações situadas nos dois patamares superiores, deveres reforçados de transparência, documentação técnica, ensaios de segurança e mecanismos formais de governança. A gradação busca conferir racionalidade e proporcionalidade às exigências, vinculando a intensidade do controle à magnitude do risco.

Outro aspecto relevante reside na tentativa de diferenciar responsabilidades entre desenvolvedores, fornecedores e usuários corporativos. O texto estabelece a cada agente o dever de diligência na concepção, implementação e supervisão das soluções de IA, exigindo rastreabilidade das decisões automatizadas e controles preventivos aptos a mitigar falhas. Esta repartição procura enfrentar um dos principais hiatos da legislação contemporânea: a definição objetiva de culpa e nexo causal em eventos decorrentes de sistemas autônomos.

O projeto também introduz o princípio da transparência algorítmica, impondo a identificação de interações automatizadas e a rotulagem inequívoca de conteúdos sintéticos, como deepfakes. 

A disposição guarda coerência com o artigo 20 da Lei Geral de Proteção de Dados, que já assegura o direito à revisão de decisões automatizadas, mas amplia seu alcance ao exigir documentação técnica e rastreabilidade das bases de dados utilizadas, permitindo a verificação independente de modelos e resultados.

No plano legislativo, o PL encontra-se em estágio adiantado de tramitação. Após aprovação pela Comissão Temporária Interna sobre Inteligência Artificial, foi encaminhado para deliberação no plenário do Senado. 

O relator, senador Eduardo Gomes, incorporou emendas oriundas de consultas públicas, audiências e contribuições de entidades empresariais e acadêmicas, resultando em um substitutivo mais maduro. A expectativa é de votação ainda em 2025, seguida de remessa à Câmara dos Deputados. 

Não obstante o consenso sobre a pertinência de um marco legal, permanecem controvérsias acerca da extensão da responsabilidade civil e da distribuição de competências entre autoridades regulatórias, temas que podem postergar a promulgação definitiva.

O texto é conceitualmente consistente, mas revela fragilidades operacionais. Carece de critérios objetivos para mensurar risco e avaliar impacto, o que pode gerar assimetria interpretativa entre setores. 

Também não delineia de forma nítida a articulação entre a futura lei de IA e diplomas já vigentes – a exemplo da LGPD, do Marco Civil da Internet e do Decreto nº 11.129/2022, que regulamenta a Lei Anticorrupção. Essa ausência de integração normativa pode produzir sobreposições e disputas de competência administrativa.

Ademais, a proposta ainda delegará a regulamentações futuras a definição de padrões de explicabilidade, auditoria e segurança, conferindo maleabilidade, mas perpetuando, no curto prazo, incertezas sobre a implementação. 

A menção genérica à “autoridade competente” é positiva por reconhecer a necessidade de especialização técnica, porém insuficiente para resolver a coordenação entre órgãos como o Banco Central, a Anatel e a ANEEL, cuja atuação transversal será determinante para a efetividade do sistema.

Em síntese, o PL 2.338/2023 sinaliza um avanço institucional de relevo, ainda que sujeito a ajustes. Reúne princípios de proporcionalidade, transparência e responsabilidade, mas sua eficácia dependerá da capacidade de o Estado e o setor privado transformarem tais premissas em práticas verificáveis e mecanismos reais de supervisão.

O papel da ANPD e a arquitetura regulatória em formação

O Projeto de Lei nº 2.338/2023 atribui à Autoridade Nacional de Proteção de Dados (ANPD) papel central na regulação da inteligência artificial no Brasil, ao designá-la como órgão coordenador do futuro Sistema Brasileiro de Inteligência Artificial (SIA). A opção reflete o entendimento de que a autoridade, embora criada com foco na proteção de dados pessoais, acumulou experiência técnica e capacidade institucional próximas do que se espera de um ente responsável por conduzir políticas nacionais de governança algorítmica.

O SIA é concebido como mecanismo de articulação entre Estado, iniciativa privada e sociedade civil. Segundo o texto do projeto, caberá à ANPD supervisionar a elaboração de normas complementares, editar guias de boas práticas, manter registros públicos de sistemas de alto risco e coordenar ambientes de experimentação regulatória (sandboxes). A proposta busca combinar flexibilidade normativa com previsibilidade jurídica, de modo a permitir que o país acompanhe a evolução tecnológica sem recorrer a instrumentos rígidos e rapidamente obsoletos.

O desenho institucional, porém, expõe desafios que transcendem o plano técnico. Criada em 2018 como órgão vinculado à Presidência da República, a ANPD possuía autonomia meramente formal. 

Apenas em 2022, com a conversão em autarquia especial, passou a dispor de independência administrativa e orçamentária, ainda que restrita. O percurso revela um processo de autonomização gradual, vulnerável a contingenciamentos e a disputas políticas por espaço no aparato estatal.

A ampliação de atribuições para abranger todo o ecossistema de IA acentua o risco de sobrecarga institucional. A autoridade já administra uma pauta complexa no âmbito da LGPD – incidentes de segurança, fluxos internacionais de dados, sanções administrativas e programas de conformidade – com quadro funcional limitado e orçamento modesto. Incorporar a regulação de IA sem reforço técnico e financeiro pode comprometer sua capacidade fiscalizatória e produzir um ambiente de inércia regulatória, em que princípios sofisticados convivem com baixa efetividade prática.

Outra questão sensível reside na coordenação interinstitucional. A ANPD precisará dialogar com agências consolidadas (Banco Central, CVM, Anatel e ANEEL) que regulam setores fortemente dependentes de algoritmos. 

A inexistência de instrumentos formais de cooperação pode gerar sobreposição de competências e interpretações divergentes, enfraquecendo a coerência do marco normativo. O êxito do SIA exigirá instâncias permanentes de deliberação conjunta, com regras claras de hierarquia e de resolução de conflitos.

A natureza jurídica dos instrumentos a serem editados pela autoridade também suscita debate. O projeto menciona guias, códigos de conduta e regulamentos, mas não define o grau de obrigatoriedade desses atos. 

A indefinição quanto à força vinculante das normas secundárias tende a ampliar incertezas e a elevar o custo de conformidade para empresas e órgãos públicos, sobretudo em matérias como auditoria algorítmica, certificação de modelos e governança de dados.

A experiência da ANPD na aplicação da LGPD indica uma inclinação para a regulação responsiva, baseada no diálogo com o setor regulado, na co-construção de parâmetros e na dosimetria das sanções. O modelo pode favorecer o amadurecimento do ecossistema e reduzir custos de adaptação, desde que ancorado em transparência, critérios técnicos objetivos e indicadores de desempenho verificáveis. Sem esses elementos, corre-se o risco de reproduzir o padrão recorrente de alta produção normativa e baixa capacidade de execução.

A dimensão política acrescenta uma camada de complexidade. A autoridade continua sujeita a nomeações presidenciais para cargos de direção e mantém vínculos históricos com a Casa Civil, o que a torna suscetível a interferências conjunturais. A consolidação de mecanismos internos de governança – mandatos fixos, decisões colegiadas e publicidade de agendas – é condição indispensável para preservar a imparcialidade técnica diante de pressões externas.

Em que pese as limitações, a ANPD construiu credibilidade técnica e interlocução estável com organismos internacionais, além de confiança junto ao setor privado. Se conseguir ampliar recursos, garantir autonomia decisória e definir fronteiras nítidas de competência, poderá transformar-se em referência regional de governança digital e integridade algorítmica. Caso contrário, o SIA corre o risco de se converter em estrutura burocrática de eficácia restrita.

A afirmação de uma política nacional de IA dependerá, em última instância, da maturidade institucional da autoridade encarregada de executá-la: uma ANPD fortalecida, capaz de equilibrar rigor técnico, independência e diálogo público, poderá conferir legitimidade à regulação e projetar o Brasil no cenário global de governança tecnológica; uma autoridade fragilizada, por outro lado, reduzirá o marco legal a um exercício retórico, incapaz de acompanhar a velocidade e a complexidade da inteligência artificial contemporânea.

Impactos da regulação de IA para o setor corporativo: de compliance a estratégia

A entrada da inteligência artificial na esfera regulatória transforma a supervisão de tecnologia em obrigação direta de administradores e conselheiros. Decisões geradas por modelos algorítmicos que afetam direitos, preços ou reputação exigem prova documental e critérios de verificação equivalentes aos aplicados a controles financeiros: relatórios que demonstrem processo de treino, métricas de performance e registros de revisão passam a integrar o corpo probatório de decisões de governança. 

Nesse novo patamar, a alta direção deve estabelecer ritos de verificação regulares, requisitar pareceres técnicos independentes para aplicações sensíveis e exigir aprovações documentadas antes da colocação em produção.

A supervisão eficaz exige mudança nas competências da liderança. Não é necessário transformar administradores em especialistas de engenharia; exige-se, contudo, leitura crítica de artefatos técnicos, capacidade de formular perguntas que exponham hipóteses de modelagem, e habilidade para avaliar limiares de risco. 

Julgamento analítico, familiaridade com conceitos de vieses e robustez estatística, e criteriosidade ética compõem o repertório mínimo. A alta gestão precisa também traduzir exigências regulatórias em parâmetros mensuráveis (critérios de aceitação de risco, regras para autorização de operação e condições objetivas para descontinuação), de modo que decisões excepcionais deixem trilha documental e justificativa técnica.

A operacionalização da governança demanda funções e fluxos claros. Cada projeto de IA requer um responsável executivo identificado, critérios de aprovação pré-estabelecidos e revisões independentes periodicamente renovadas. 

O conjunto de artefatos essenciais inclui logs de treinamento, versões de modelos, métricas de equidade e laudos externos de auditoria. Esses elementos devem estar disponíveis para verificação por auditoria interna e por órgãos de controle, e integrados ao mapa de riscos da empresa. 

Protocolos de escalonamento precisam determinar prazos, alçadas e medidas corretivas, garantindo que incidentes, desde desvios de desempenho até impactos discriminatórios, sejam tratados com a mesma urgência atribuída a crises financeiras.

A relação com fornecedores e parceiros merece atenção contratual rigorosa. Due diligence técnica sobre proveniência de dados, garantias sobre ausência de vieses sistemáticos, obrigação de fornecimento de artefatos para auditoria e cláusulas de indenização por danos algorítmicos passam a ser cláusulas padrão. 

Em operações de fusões e aquisições, a diligência deve mapear modelos em produção, histórico de incidentes e qualidade da documentação, porque o passivo técnico integra o risco reputacional e patrimonial transferido na transação.

A avaliação de conformidade ganha caráter dinâmico: controle interno e auditoria passam a incluir testes adversariais, validação de generalização e monitoramento de deriva de modelos. Auditorias externas complementares reduzem assimetria informacional entre equipe técnica e governança e fortalecem a posição defensiva da empresa diante de autoridades ou litígios. Para responder com credibilidade a questionamentos regulatórios, a organização precisa demonstrar rotinas de validação independentes e registros de remediação.

O plano de resposta a incidentes deve equiparar um vazamento de dados ou um viés sistêmico a uma crise corporativa. É indispensável playbook que defina responsabilidades imediatas, comunicação a stakeholders, notificações a autoridades competentes e critérios técnicos para rollback de modelos. Simulações periódicas aferem tempos de resposta e capacidade de recuperação, revelando lacunas operacionais antes que ocorram danos reais.

Do ponto de vista jurídico, a supervisão negligente pode configurar violação do dever de diligência, com exposição a responsabilização civil e administrativa dos gestores. 

Recomenda-se revisão dos programas de seguros para contemplar perdas decorrentes de falhas algorítmicas, condicionada à transparência sobre controles internos. Em contrapartida, a demonstração pública de governança tecnológica -políticas publicadas, catálogos de modelos auditados e relatórios de impacto – converte-se em vantagem competitiva: evidencia confiabilidade perante clientes, investidores e autoridades, e reduz barreiras em cadeias internacionais de fornecimento.

A implementação eficaz exige combinação de capital humano e governança: cientistas de dados com formação em ética aplicada, engenheiros de confiabilidade, auditores de modelos e especialistas jurídicos coordenados por um responsável por risco de IA. 

A alta administração deve institucionalizar ciclos de reporte, integrar indicadores de confiabilidade e impacto ao painel executivo e vincular metas de remediação a incentivos gerenciais. Só assim a empresa transformará obrigações regulatórias em rotina verificável e em diferencial sustentável de governança.

A aplicação como prova de legitimidade

A efetividade de qualquer regulação depende menos da letra da lei e mais da capacidade das instituições, públicas e privadas, de transformá-la em conduta verificável. O marco da inteligência artificial não foge a essa lógica. Sua complexidade técnica e transversalidade setorial exigem uma engrenagem de aplicação que una competência jurídica, rigor operacional e disciplina de governança.

A distância entre norma e prática tende a manifestar-se no ponto mais sensível: a interpretação dos deveres de supervisão e o modo como serão aferidos por autoridades, auditorias e tribunais. 

A ausência de precedentes obriga empresas e gestores a atuar sob o princípio da precaução. Cada decisão sobre dados, treinamento de modelos ou delegação de processos automatizados precisa ser acompanhada de registro que demonstre boa-fé regulatória e razoabilidade técnica. Na ausência de jurisprudência consolidada, o comportamento diligente será, em si, o primeiro critério de julgamento.

O direito positivo fornece apenas o contorno. A aplicação dependerá da articulação entre a Autoridade Nacional de Proteção de Dados, as agências reguladoras setoriais e os órgãos de controle. Essa interação definirá o grau de uniformidade das interpretações e o alcance das sanções. 

Para as empresas, isso significa a necessidade de construir interfaces de governança aptas a dialogar com múltiplos reguladores, manter documentação acessível e responder a consultas e fiscalizações em linguagem técnica e jurídica simultaneamente precisa.

O desafio também é cultural. A IA expõe zonas de sombra que o compliance tradicional não cobre: decisões probabilísticas, efeitos não intencionais e riscos de discriminação algorítmica.

Nenhum programa de integridade é completo sem mecanismos de aplicabilidade e revisão. A governança da IA, portanto, deixa de ser um subsistema e passa a constituir a nova fronteira de legitimidade corporativa – a forma pela qual a sociedade medirá a confiabilidade das organizações e a seriedade do Estado na tutela de direitos.

A regulação da inteligência artificial põe à prova a solidez das práticas públicas e privadas. O Estado será julgado pela clareza de seus critérios e pela constância na aplicação das sanções; as empresas, pela qualidade técnica de suas decisões e pela capacidade de documentar cada escolha relevante. 

A legitimidade desse novo ambiente virá da transparência dos processos, da coerência entre discurso e conduta e da prova concreta de que a tecnologia está submetida ao controle humano, e não o contrário.

Conclusão: a regulação como instrumento de humanização da IA

A inteligência artificial levou o direito e a gestão a um mesmo ponto de revisão: a necessidade de conter o automatismo do poder. O marco brasileiro tenta enfrentar esse desafio com instrumentos que unam técnica, prudência e responsabilidade, recolocando a criação tecnológica sob critérios de accountability e prova.

A efetividade desse movimento depende menos das normas editadas e mais da consistência com que forem observadas. O modo como cada instituição documentar decisões, sustentar critérios e responder por seus resultados indicará o grau de seriedade do país diante do próprio futuro. 

A regulação não é obstáculo à inovação; é a gramática que permite que ela permaneça humana.