Para dizer sim, o jurídico precisa saber o que vale hoje e ver o que a empresa decidiu fazer. Não achamos pesquisa que meça o jurídico como gargalo da IA, então o mínimo abaixo é proposta nossa, sem estudo que o valide. A situação legal é a de 04/11/2026.
O que é lei hoje
Não existe lei geral de IA no Brasil. A LGPD já vale quando a IA trata dados pessoais. O art. 20 dá ao titular o direito de pedir revisão de decisão tomada só com tratamento automatizado. O art. 7º, IX, e o art. 10 tratam do legítimo interesse como base legal e dos seus limites. O art. 11 cuida de dado sensível, e o art. 12, de dado anonimizado. O art. 38 permite à autoridade exigir relatório de impacto.
A ANPD, hoje agência, não tem resolução específica de IA. Na lista oficial de regulamentações, nenhuma trata de IA ou de decisão automatizada. Os parâmetros do art. 20 estão na agenda regulatória, e a ANPD registra divergência sobre exigir revisão humana. Mesmo assim, ela já age: prevê atividades de fiscalização em sistemas de IA e expediu medida preventiva no caso do Grok.
O que ainda é projeto
O PL 2338/2023 não é lei. Passou no Senado e, na Câmara, aguarda parecer do relator na comissão especial. A ficha não registra parecer nem data de votação, lista cerca de 40 projetos apensados, e o último ato, em 27/10/2026, foi só uma apensação. O texto ainda pode mudar, e esperar por ele não suspende a LGPD. Quem disser que o marco legal foi sancionado, ou tratar uma multa do projeto como regra atual, está errado.
Política de uso
Numa pesquisa da Gartner, 71% esperam usar agentes de IA em 12 meses, e 21% dizem ter capacidade de governá-los. A primeira cifra é expectativa, e a Gartner vende assessoria. Uma política curta responde a quatro perguntas:
- Quais ferramentas estão aprovadas, e quem aprova as novas?
- Quais dados não podem entrar, com atenção a dado pessoal e sensível?
- Quem revisa o que a IA produz antes de virar decisão?
- Quem responde por exceções e incidentes?
Matriz de risco
A matriz lista cada uso e responde, para cada um: há dado pessoal ou sensível? A decisão é só automatizada, o que aciona o art. 20? Quem é afetado? Qual controle se aplica, e quem é o dono? Nos usos de maior risco, mantenha o registro das operações (art. 37) e um relatório de impacto pronto (art. 38). Deixe espaço para reclassificar cada uso se a lei mudar.
Cláusulas de fornecedor
Boa parte disso se resolve em contrato. Entre empresas brasileiras que usam IA, 80% compraram solução pronta e 54% contrataram fornecedor para desenvolver ou modificar. Nas de 250 pessoas ou mais, 81% e 60%. É autodeclarado, por telefone, com taxa de resposta de 8%. O contrato precisa cobrir:
- Papéis: quando é operador, o fornecedor segue as instruções do controlador (art. 39).
- Treinamento: se pode usar seus dados para treinar modelos, e com qual base legal.
- Transferência: onde o dado é tratado, e sob qual regra (art. 33).
- Incidente: como avisa, para que você possa comunicar à autoridade e ao titular (art. 48).
- Saída: de quem são os entregáveis, e como os dados voltam ou são apagados.
Este texto não cobre reguladores setoriais, como Banco Central, CVM e ANS, nem leis estaduais. Nenhum número aqui é resultado da Nebuloz.
Situação em 04/11/2026. Este texto é informação geral, não aconselhamento jurídico.