PL 2338 e o desafio de regular a inteligência artificial no Brasil

A decisão em pauta: O debate sobre o Projeto de Lei 2338 projeta um marco regulatório para inteligência artificial que prioriza transparência, explicabilidade, classificação de risco e responsabilização dos agentes; a adoção desses princípios tem efeito imediato sobre contratos, compras públicas, políticas de compliance e práticas de auditoria tecnológica.

Contexto

A disseminação da inteligência artificial generativa alterou profundamente o modo como informação e decisões são produzidas e consumidas. Interfaces em linguagem natural maquiam complexidade técnica e dão a impressão de neutralidade, o que dificulta a percepção das escolhas algorítmicas embutidas. No Brasil, a proposta central de regulação atualmente em debate é o PL 2338, que pretende transformar em obrigações legais princípios que já vêm sendo discutidos em academia, órgãos reguladores e empresas.

A controvérsia não é inédita: há tensão entre promover inovação tecnológica e impor salvaguardas democráticas. Jurisdições estrangeiras — União Europeia, Reino Unido e Estados Unidos em certos estados — vêm adotando regimes distintos, ora focados em riscos sistêmicos, ora em transparência e direitos individuais. A importação acrítica desses modelos pode deixar inexploradas especificidades brasileiras, como desigualdades regionais, raciais e educacionais que afetam tanto os dados disponíveis quanto os impactos da automação.

O que foi decidido

Embora ainda não se trate de uma decisão judicial, o PL 2338, em sua configuração pública de debate, explicitou quatro vetores normativos que redefinem requisitos de conformidade para uso de IA no país: (i) obrigação de identificação do uso de sistemas automatizados; (ii) exigência de explicabilidade em linguagem acessível para decisões de maior impacto; (iii) classificação de risco das aplicações segundo o potencial de dano; e (iv) responsabilização clara de agentes que adotam e operam sistemas.

Esses vetores deslocam a regulação do campo puramente técnico para o campo institucional e legal. Em particular, a proposição impede que organizações se escudem atrás da expressão "foi o algoritmo" para eximir responsabilidades, impondo deveres de diligência, documentação e mecanismos de remediação. Na prática, fornecedores e usuários de IA devem demonstrar finalidades, bases de dados, critérios de avaliação de risco e planos de mitigação quando a tecnologia impactar direitos fundamentais ou direitos socioeconômicos.

Base normativa e precedentes

• Art. 5º, CF/88 — tutela de direitos fundamentais que podem ser afetados por decisões automáticas (dignidade, igualdade, liberdade, privacidade).
• Art. 37, CF/88 — princípios da administração pública (legalidade, impessoalidade, moralidade, publicidade e eficiência) aplicáveis a decisões públicas automatizadas.
• Lei 13.709/2018 (LGPD) — tratamento de dados pessoais, princípios de finalidade, adequação e responsabilização; direitos dos titulares relacionados à tomada de decisões automatizadas.
• Lei 12.965/2014 (Marco Civil da Internet) — princípios para uso da internet, liberdade de expressão e garantias de proteção de dados e neutralidade.
• Lei 8.078/1990 (CDC) — dever de informação e proteção do consumidor na prestação de serviços por meios automatizados.
• Lei 12.527/2011 (LAI) — obrigação de transparência e acesso à informação na administração pública, relevante para sistemas públicos de IA.
• Jurisprudência consolidada do tribunal — entendimento jurisprudencial crescente sobre responsabilidade por decisões automatizadas e a impossibilidade de alegar completa opacidade tecnológica como defesa.

Impacto prático

• Advogados: necessidade de revisar contratos de tecnologia, cláusulas de responsabilidade, SLAs, garantias de auditoria e direitos de acesso a modelos e logs para fins probatórios.
• Empresas de tecnologia: exigência de implementar governança de dados, auditorias internas e externas, documentação de treinamento de modelos e regimes de compliance específicos para IA.
• Setor público: obrigação de justificar uso de IA em políticas públicas, instituir impacto-assessments e mecanismos de revisão administrativa para decisões assistidas ou automatizadas.
• Consumidores e cidadãos: maior acesso a informações sobre quando e como sistemas automatizados influenciam decisões de crédito, saúde, segurança e educação; possibilidade de solicitar explicações e reparações.
• Processos em curso: demandas civis e administrativas deverão considerar novos padrões de prova técnica e perícias especializadas sobre viés, representatividade dos dados e causalidade de danos.

O que observar

• Modulação e regulamentação: o texto final do PL deverá tratar da modulação temporal dos efeitos e delegação regulatória (quem normatizará critérios técnicos de risco: agências, ministérios, ou órgão de proteção de dados?).
• Recursos e compliance: espera-se aumento de litígios estratégicos e pedidos de medidas cautelares contra implantação de sistemas sem avaliação de impacto.
• Limites de explicabilidade: tensão entre proteção de segredos industriais e exigência de explicações compreensíveis; será preciso definir padrões mínimos de transparência e níveis distintos conforme o risco.
• Capacitação institucional: além da norma, é necessário investir em capacidade técnica do Estado para auditar e contestar sistemas; sem estrutura, a lei pode ficar inócua.
• Risco de adoção de modelos estrangeiros sem adaptação: uma regulação eficaz exigirá normas sensíveis à realidade brasileira, evitando a simples cópia de regimes externos que não considerem desigualdades locais.

Conclusão: o PL 2338 redefine o jogo institucional sobre quem organiza decisões mediadas por IA no Brasil. A proposta desloca o foco do mero estímulo à inovação para a necessária combinação entre inovação e responsabilidade democrática — sem isso, a adoção tecnológica pode aprofundar desigualdades e transferir riscos a quem tem menos capacidade de contestar. A implementação, fiscalização e interpretação futuras serão decisivas para transformar princípios em proteção efetiva.