Marco legal da IA no Brasil: o que está em discussão e o que já vale hoje

A ementa do projeto: “Dispõe sobre o desenvolvimento, o fomento e o uso ético e responsável da inteligência artificial com base na centralidade da pessoa humana.”

A tramitação, conferida nas fontes oficiais:

• 10 de dezembro de 2024 — aprovado pelo Plenário do Senado.
• 17 de março de 2025 — remetido à Câmara dos Deputados para revisão.
• Na Câmara, foi criada Comissão Especial, com plano de trabalho do relator apresentado em maio de 2025.
• 2 de setembro de 2026 — situação oficial: “Aguardando Parecer”, em regime de prioridade e sujeito à apreciação do Plenário.

Ou seja: passaram-se mais de dezoito meses desde a chegada à Câmara sem parecer de comissão aprovado.

Uma observação sobre datas de votação. Circulam com frequência previsões de quando o projeto será votado. Procuramos e não encontramos nenhuma data oficial — as datas que aparecem vêm de imprensa e de análise de terceiros, não do sistema de tramitação. Não publicamos previsão porque não temos como sustentá-la.

Este é o ponto que muda o cálculo de quem está esperando o marco legal para se organizar.

Em julho de 2024, a ANPD impôs medida preventiva suspendendo no Brasil o uso de dados pessoais para treinamento de sistemas de IA generativa por uma grande plataforma, sob multa diária. Em janeiro de 2026, produziu nota técnica propondo fiscalização sobre um sistema de IA integrado a uma rede social. Nenhuma dessas ações dependeu de lei nova: as duas se apoiaram na LGPD.

A autoridade também vem construindo repertório: promoveu tomada de subsídios sobre IA e revisão de decisões automatizadas, com 124 participantes, e publicou em agosto de 2026 a metodologia de um sandbox regulatório em IA e proteção de dados.

A leitura prática: o marco legal da IA, quando vier, vai encontrar um regulador que já está atuando. Empresa que se preparar só depois da aprovação vai chegar atrasada em relação a uma fiscalização que já começou.

Esperar não é uma estratégia, e correr atrás de um texto que ainda pode mudar também não. O que sobrevive a qualquer versão do marco legal são práticas que a LGPD já exige e que qualquer regulação de IA vai pedir:

1. Saber onde o dado está. Qual dado alimenta qual sistema, e se ele atravessa a fronteira.
2. Ter base legal declarada para cada tratamento, e conferir se é dado sensível, que segue lista fechada.
3. Manter registro do que o sistema decidiu, com possibilidade de reconstruir quando, por quê e com base em quê.
4. Manter pessoa no circuito nas decisões que afetam direitos. Não é obrigação da LGPD, como explicamos em outro texto, mas é o que torna a decisão explicável.
5. Reduzir o que sai. Cada categoria de dado que não atravessa o perímetro é uma obrigação a menos a administrar, em qualquer regime.

Nenhum desses cinco itens depende da aprovação do PL. Todos eles ficam mais baratos de implantar antes do que depois.