Quase toda empresa de marketing e e-commerce já usa IA: chatbot de atendimento, texto, imagem, score de clientes, recomendação. A regra, porém, ainda está sendo escrita, e as manchetes misturam o que é lei com o que é projeto.
A pergunta útil para o gestor é prática: o que já vale, o que ainda é projeto e o que vale a pena preparar agora sem esperar a sanção. Este guia separa as três coisas, com base nas fontes oficiais do Congresso e da ANPD, e termina com um plano de adequação e uma lista de erros comuns.
Isto é um guia informativo, não aconselhamento jurídico. Revise as decisões com o jurídico da empresa.
O mapa: o que está em vigor e o que é projeto
O Brasil ainda não tem uma lei específica de IA em vigor. O que existe hoje é a LGPD, aplicável sempre que houver tratamento de dados pessoais, o Código de Defesa do Consumidor e iniciativas da ANPD. O projeto de marco legal da IA está em tramitação.
| Norma ou iniciativa | Situação | O que muda para a empresa |
|---|---|---|
| LGPD (Lei 13.709/2018) | Em vigor | Bases legais, direitos do titular e revisão de decisões automatizadas já valem hoje |
| PL 2338/2023 (marco da IA) | Aprovado no Senado; em análise na Câmara, com comissão especial e sem parecer do relator registrado | Ainda não é lei: nenhuma obrigação nova existe antes da sanção |
| Agenda da ANPD sobre IA e decisões automatizadas | Em construção: tomada de subsídios feita, norma ainda não publicada | Indica o que a autoridade deve cobrar |
| Sandbox regulatório de IA da ANPD | Iniciativa em andamento, com foco em transparência e explicabilidade | Referência de boas práticas, sem efeito de norma |
| Lei de IA da União Europeia | Em vigor na UE, em etapas | Afeta quem vende ou usa IA no mercado europeu; serve de comparação |
O PL 2338/2023, passo a passo
O projeto nasceu no Senado, de autoria do senador Rodrigo Pacheco, e dispõe sobre o uso da inteligência artificial, conforme a página da matéria no Senado. O Plenário do Senado aprovou o texto em dezembro de 2024 e o enviou à Câmara dos Deputados em 2025.
Na Câmara, a ficha de tramitação mostra regime de prioridade e comissão especial própria, com relatoria do deputado Aguinaldo Ribeiro. No momento da checagem para este texto, a ficha registrava “aguardando parecer do relator”, com dezenas de projetos apensados. O cronograma de votação foi adiado mais de uma vez: reportagens do setor registram a previsão de fevereiro, depois de junho, e por fim a sinalização do relator de que o texto ficaria para depois das eleições, com votação possível no fim do ano. Veja a cobertura do MobileTime e da Convergência Digital.
Se a Câmara alterar o texto, o projeto volta ao Senado. Ou seja, mesmo uma votação na Câmara não encerra o processo. Por isso, a redação segura é “o projeto prevê”, nunca “a lei exige”.
O que o texto aprovado no Senado traz
Segundo o resumo da Rádio Senado, o texto aprovado inclui:
- Sistemas de alto risco, com exemplos como diagnóstico médico, controle de trânsito e análise policial de perfis.
- Vedações, como indução de comportamentos específicos, exploração de vulnerabilidades e armas autônomas.
- Direitos: privacidade e proteção de dados, informação precisa, não discriminação, e identificação de criações feitas por IA.
- Multa de até R$ 50 milhões ou 2% do faturamento, além de suspensão.
- Direitos autorais: vedação ao uso de obras protegidas sem autorização e remuneração.
Esse resumo é uma fonte secundária. Confirme cada ponto no texto integral antes de decidir algo com base nele. Ponto em disputa: o desenho do órgão coordenador do sistema de governança, em que a ANPD tem papel central em algumas versões e residual em outras, e os direitos autorais, que seguem em negociação.
O que já vale: LGPD e ANPD
A LGPD incide sobre qualquer uso de IA que trate dados pessoais. Três pontos pesam no marketing:
- Base legal e finalidade. Treinar ou alimentar uma ferramenta com dados de clientes precisa de base legal e de finalidade compatível com a coleta.
- Direitos do titular. Inclui acesso, correção e informação sobre o uso dos dados.
- Decisões automatizadas. O art. 20 prevê o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular, incluindo as de definição de perfil. Revise o texto exato com o jurídico.
Sobre o art. 20, a ANPD realizou uma tomada de subsídios, cujos resultados foram apresentados com 124 contribuições, segundo a Convergência Digital. Houve consenso em transparência, explicabilidade, salvaguardas técnicas e revisão humana em decisões de alto risco, e divergência sobre a base legal para treinamento e sobre a revisão humana obrigatória para todas as decisões. É regulamentação em construção, não norma publicada.
A ANPD também tem o sandbox regulatório de IA, voltado a transparência, explicabilidade e decisões automatizadas, e publicou o Radar Tecnológico sobre IA generativa, material educativo sem força de norma. Para a rotina de dados de cliente, veja LGPD no CRM.
Comparação com a União Europeia
A Lei de IA da UE já está em vigor, em etapas, e serve de comparação: classifica sistemas por risco e vale também para quem atua no mercado europeu. A cobertura está em Lei de IA da UE: o que passou a valer em agosto de 2026. Brasil e UE têm estruturas parecidas, mas textos diferentes, e não é correto presumir que as obrigações sejam iguais.
Onde a IA do marketing encosta na regulação
A tabela cruza usos comuns com os pontos de atenção. A prioridade é recomendação da Analytikos, não classificação legal.
| Uso de IA no marketing | Pontos de atenção | Prioridade de revisão (recomendação Analytikos) |
|---|---|---|
| Chatbot de atendimento | Aviso de que é IA, caminho para humano, dados pessoais na conversa | Alta |
| Score de lead ou de cliente (RFM, propensão) | Perfilamento; decisão automatizada com efeito relevante; viés | Alta |
| Preço e oferta personalizados | Explorar vulnerabilidade, discriminação, transparência | Alta |
| Geração de texto e de imagem | Direitos autorais, conteúdo sintético sem aviso, revisão humana | Média |
| Recomendação de produtos | Uso de dados pessoais e finalidade | Média |
| Resumo e análise de relatórios internos | Dados pessoais enviados a fornecedor de IA | Média |
| Geração de ideias sem dado pessoal | Baixo risco, com política de uso | Baixa |
Exemplo de uso do quadro: uma loja tem 12 usos de IA mapeados, 4 de prioridade alta, 5 média e 3 baixa. Começar pelos 4 de prioridade alta cobre um terço dos usos e concentra o maior risco. Comece a revisão por eles.
Plano de adequação em 7 passos
1. Inventário. Liste cada ferramenta de IA, quem a usa, quais dados recebe e para quê. O guia de política de uso de IA na empresa traz um modelo.
2. Classificação por exposição. Marque o que trata dado pessoal e o que influencia decisões sobre pessoas (preço, oferta, atendimento).
3. Base legal e finalidade. Para cada uso, defina a base legal e registre.
4. Transparência. Avise quando houver interação com IA e identifique conteúdo sintético relevante.
5. Canal de explicação e revisão. Crie o fluxo para o cliente pedir explicação ou revisão de uma decisão automatizada.
6. Contratos. Peça documentação, cláusulas sobre dados de treinamento, logs, incidentes e auditoria.
7. Monitoramento. Acompanhe a ficha do PL 2338/2023 e as publicações da ANPD.
Para uso de agentes, a leitura complementar é agentes de IA: o que são.
Erros comuns na adequação à regulação de IA
Erros de leitura da norma
O mais frequente é tratar o projeto como lei. A manchete diz “marco legal da IA” e a equipe passa a se adequar a um texto que ainda pode mudar na Câmara e voltar ao Senado. O efeito é gasto com adaptações que talvez precisem ser refeitas. O erro oposto é esperar a lei para começar: a LGPD já cobre IA que trata dado pessoal, então o passivo existe hoje.
Erros de governança
Sem inventário, cada área adota ferramentas por conta própria, e ninguém sabe quais dados clientes foram para fornecedores. Aparecem então dois problemas: o jurídico não consegue avaliar o risco, e o time não consegue responder a um pedido do titular. Transferir a responsabilidade ao fornecedor também não funciona, porque a empresa segue como responsável perante o cliente.
Erros de operação
Usar chatbot sem aviso de que é IA, sem caminho para atendente, gera reclamação e perda de confiança. Gerar texto e imagem sem trilha de origem deixa a empresa sem como provar o processo em uma disputa de direitos autorais. E assinar contratos de adesão sem cláusulas de dados pode permitir uso de dados de clientes para treinar modelos sem controle.
| Erro | Por que acontece | Efeito no resultado | Correção |
|---|---|---|---|
| Tratar o PL como lei | Manchetes falam em “lei de IA” antes da sanção | Gasto com adequação a texto que pode mudar | Escrever “o projeto prevê” e monitorar a tramitação |
| Esperar a lei para começar | Achar que a LGPD não cobre IA | Passivo de proteção de dados já hoje | Aplicar a LGPD vigente aos usos de IA |
| Não ter inventário de IA | Cada área adota ferramentas por conta própria | Ninguém sabe quais dados vão para fornecedores | Listar ferramentas, dados e finalidades |
| Ignorar a revisão de decisões automatizadas | Pensar que só crédito e emprego importam | Score e oferta sem canal de contestação | Criar canal de explicação e revisão |
| Chatbot sem aviso | Querer “parecer humano” | Risco de reclamação e de perda de confiança | Informar que é IA e oferecer atendente |
| Copiar texto e imagem gerados sem trilha | Foco na velocidade | Sem como provar a origem em disputa de direitos autorais | Registrar ferramenta, prompt e revisão |
| Contrato de fornecedor sem cláusulas de IA | Usar termos de adesão padrão | Dados do cliente usados para treino sem controle | Pedir cláusulas de dados, logs e incidentes |
| Transferir a responsabilidade ao fornecedor | “A ferramenta é do fornecedor” | A empresa segue responsável perante o titular | Definir responsável interno e revisão humana |
Checklist
- Existe inventário de ferramentas de IA, com dados e finalidade?
- Cada uso tem base legal registrada?
- O chatbot informa que é IA e oferece atendente?
- Há canal para pedir explicação ou revisão de decisão automatizada?
- Os contratos com fornecedores tratam de treinamento, logs e incidentes?
- Conteúdo gerado por IA passa por revisão humana?
- Alguém acompanha a ficha de tramitação do PL e as publicações da ANPD?
- O jurídico revisou os textos de privacidade?
Perguntas frequentes
Já existe uma lei de IA no Brasil?
Não há uma lei específica de IA em vigor. O PL 2338/2023 foi aprovado no Senado e tramita na Câmara. Enquanto isso, valem a LGPD, o Código de Defesa do Consumidor e as orientações da ANPD.
A LGPD se aplica ao uso de IA?
Sim, sempre que houver tratamento de dados pessoais. Isso inclui alimentar ferramentas com dados de clientes, gerar perfis e automatizar decisões.
O PL da IA prevê multa?
Segundo o resumo do texto aprovado no Senado, a multa chega a R$ 50 milhões ou 2% do faturamento, além de suspensão. Como o texto ainda pode mudar na Câmara, confirme no projeto vigente.
Minha empresa precisa avisar o cliente que o atendimento é feito por IA?
O texto aprovado no Senado prevê identificação de criações de IA, mas ainda não é lei. Como boa prática, informar que é IA e oferecer atendente humano reduz risco e melhora a confiança.
A ANPD vai regular a IA?
Esse papel está em discussão. A ANPD já atua pela LGPD, tem o sandbox de IA e conduziu tomada de subsídios sobre decisões automatizadas, mas o desenho do órgão coordenador depende do texto final do projeto.
Por onde uma pequena loja começa?
Pelo inventário das ferramentas de IA que usa, os dados que elas recebem e a base legal de cada uso. Depois, aviso nos chatbots, revisão humana do conteúdo e contratos revisados.
