PL 2338/2023 — Marco Legal da IA
Ainda não é lei. E isso muda o que sua empresa deveria estar fazendo.
Muito material sobre o Marco Legal da Inteligência Artificial circula desatualizado, e parte dele dá a entender que o texto já vigora. Não vigora. Esta página existe para dizer, com data e fonte conferível, exatamente onde o projeto está — e para separar o que depende da votação do que já é exigível hoje.
Aprovado no Senado em 10/12/2024. Na Câmara dos Deputados desde 17/03/2025, em comissão especial, com situação “Aguardando Parecer”. Nenhum artigo em vigor.
A tramitação
O caminho do projeto, com data em cada passo
O PL 2338/2023 foi apresentado pelo senador Rodrigo Pacheco e aprovado no Senado na forma do substitutivo do relator, senador Eduardo Gomes (PL-TO). Na Câmara, é analisado por uma comissão especial criada especificamente para dar parecer ao texto.
| Etapa | Situação |
|---|---|
| Aprovação no Plenário do Senado | 10/12/2024 substitutivo do relator Eduardo Gomes (PL-TO); seguiu para a Câmara |
| Chegada à Câmara dos Deputados | 17/03/2025 autuada como proposição em regime de prioridade |
| Comissão especial e relatoria | Comissão especial destinada a proferir parecer ao PL 2338/2023, com relatoria do deputado Aguinaldo Ribeiro (PP-PB) |
| Situação registrada hoje | Aguardando Parecer apreciação final pelo Plenário da Câmara |
| Movimentação mais recente | 17/06/2026 apensação de outros projetos de lei sobre IA ao texto principal |
| Data de votação | Sem data definida. A votação chegou a ser prevista para o fim de 2025 e foi adiada |
Confira você mesmo As duas fontes primárias
-
Ficha de tramitação na Câmara dos Deputados
É a fonte que diz onde o projeto está agora, com o histórico completo de despachos. camara.leg.br — PL 2338/2023
-
Matéria no Senado Federal
Traz a tramitação da casa de origem e o texto aprovado em dezembro de 2024. senado.leg.br — matéria 157233
O texto do Senado
O que está no projeto aprovado — e que a Câmara ainda pode mudar
Tudo o que segue descreve o substitutivo aprovado pelo Senado em dezembro de 2024. Nenhum ponto é definitivo: a Câmara pode alterar, retirar ou acrescentar, e o texto ainda voltaria ao Senado se for modificado.
Classificação por nível de risco
A mesma lógica do AI Act europeu: a obrigação de cada sistema depende do risco que ele representa, não da tecnologia que usa.
Usos de risco excessivo vedados
Uma faixa de aplicações fica proibida, independentemente de consentimento, avaliação ou justificativa de negócio.
Obrigações para alto risco
Governança documentada, avaliação de impacto, supervisão humana e registro do funcionamento para os sistemas na faixa mais crítica.
Direitos de quem é afetado
Informação prévia sobre a interação com IA, explicação da decisão automatizada, contestação e não discriminação.
Estrutura nacional de regulação
Coordenação entre os reguladores setoriais existentes, em vez de uma autoridade única criada do zero para tudo.
Sanções
Multa que chega a R$ 50 milhões por infração ou 2% do faturamento, além da suspensão do sistema. É a faixa que costuma mudar a conversa no conselho.
O erro caro
“Quando a lei sair, a gente se organiza” já está errado hoje
O raciocínio parece prudente: não gastar antes de saber a regra final. Só que ele confunde duas coisas diferentes — o texto que ainda vai mudar e as obrigações que já existem. As quatro abaixo não dependem de uma linha sequer do PL 2338.
A LGPD já vale, e alcança IA
Em vigor desde 2020. Prompt com dado pessoal é tratamento de dado pessoal, com base legal, contrato de operador e direitos do titular exigíveis agora — inclusive o direito à revisão de decisão automatizada.
O cliente já pergunta antes do regulador
Cláusula de IA em contrato e questionário de segurança em RFP chegaram antes da lei. Quem não tem inventário nem política responde “não sei” por escrito, para um comprador.
Quem tem operação na Europa já responde ao AI Act
O regulamento europeu está em vigor desde agosto de 2024, com obrigações escalonadas. Empresa brasileira com cliente ou subsidiária na União Europeia já é alcançada, sem esperar Brasília.
O prazo de adequação não começa na sanção
Inventariar, classificar por risco e instrumentar auditoria leva meses. Quem começa no dia da publicação da lei começa com meses de atraso, não com o prazo legal inteiro pela frente.
Enquanto não vota
Seis frentes que nenhuma versão do texto vai dispensar
Cada uma vale por si, mesmo que a Câmara reescreva o projeto inteiro — e cada uma é pré-requisito de qualquer redação possível. É por isso que dá para trabalhar sem saber o texto final.
Inventário dos sistemas de IA em uso
Inclusive o que ninguém documentou. Sem a lista não há classificação de risco possível, e classificação de risco é o requisito de partida de todas as versões do texto e da ISO/IEC 42001. O checklist de mapeamento de shadow AI é o caminho mais curto para montar essa lista.
Classificação por risco, com critério escrito
Qual sistema decide sobre pessoa, qual recomenda, qual só redige texto interno. O critério importa mais que o rótulo: é ele que sobrevive a uma mudança de redação da lei.
Base legal e registro de tratamento sob a LGPD
Para cada fluxo de IA que toca dado pessoal. Isso é exigível hoje, não depois — e é a parte que mais frequentemente falta quando o jurídico é chamado tarde.
Dono nomeado e trilha de auditoria por sistema
Uma pessoa responsável por sistema, e o registro do que ele leu, decidiu e executou. É o que transforma “explicar a decisão” de promessa em algo que a empresa consegue de fato entregar quando alguém pedir.
Sem trilha, o direito à explicação vira uma resposta que a empresa não tem como darGuardrail em execução e escalonamento humano
Supervisão humana escrita em política não é supervisão. O que conta é o limite aplicado na execução e o ponto definido em que o agente para e chama uma pessoa.
ISO/IEC 42001 como estrutura pronta
A norma organiza exatamente esses elementos em um sistema de gestão certificável — disponível agora, sem depender do calendário do Congresso, e reaproveitável quando a lei sair. Ver o caminho até a certificação.
Perguntas frequentes
Marco Legal da IA, em resposta direta
O PL 2338 já é lei?
Não. Em 17 de agosto de 2026, o PL 2338/2023 não é lei e nenhum de seus artigos está em vigor. O texto foi aprovado pelo Plenário do Senado em 10 de dezembro de 2024 e seguiu para a Câmara dos Deputados, onde ainda tramita. Enquanto não houver aprovação nas duas casas e sanção presidencial, nada do que o projeto prevê é exigível de nenhuma empresa.
Onde o PL 2338 está hoje na tramitação?
Na Câmara dos Deputados, em comissão especial criada para dar parecer ao projeto, sob relatoria do deputado Aguinaldo Ribeiro (PP-PB). A ficha oficial de tramitação registra a situação como “Aguardando Parecer”, em regime de prioridade, com apreciação final pelo Plenário da Câmara. A proposição chegou à Câmara em 17 de março de 2025, e a movimentação mais recente registrada até 17 de agosto de 2026 é de 17 de junho de 2026, referente a apensação de outros projetos.
Quando o Marco Legal da IA deve ser votado?
Não há data definida. A votação chegou a ser prevista para o fim de 2025 e foi adiada, e o projeto segue sem parecer aprovado na comissão especial da Câmara. Qualquer previsão de calendário legislativo é estimativa: o dado verificável é a situação registrada na ficha de tramitação da Câmara, que qualquer pessoa pode consultar pelo número da proposição.
O que o texto aprovado no Senado prevê?
O substitutivo aprovado no Senado em dezembro de 2024 classifica sistemas de Inteligência Artificial por nível de risco, veda usos de risco excessivo, impõe obrigações de governança, documentação e avaliação de impacto aos sistemas de alto risco, assegura direitos a pessoas afetadas por decisões automatizadas, como informação, explicação e contestação, cria uma estrutura nacional de regulação e coordenação, e prevê sanções que chegam a R$ 50 milhões por infração ou 2% do faturamento, além de suspensão do sistema. É o texto que saiu do Senado: a Câmara pode alterar qualquer parte dele.
O que uma empresa deve fazer enquanto o PL 2338 não é votado?
Trabalhar no que já é exigível e no que nenhuma versão do texto vai dispensar: inventário dos sistemas de IA em uso, incluindo shadow AI, classificação por risco, base legal e registro de tratamento sob a LGPD, que já está em vigor desde 2020, dono nomeado por sistema, trilha de auditoria do que o sistema leu, decidiu e executou, guardrail aplicado em execução e escalonamento humano definido. A ISO/IEC 42001 organiza esses mesmos elementos em uma estrutura certificável hoje, sem depender do calendário do Congresso.
Próximo passo
Sua empresa está pronta para o texto que vier?
O diagnóstico de maturidade responde em três minutos, com dez perguntas e as lacunas nomeadas uma a uma. Sem formulário e sem cadastro.