Em 2026, duas notícias sobre regulação de IA soaram como alívio para quem administra empresa. No Brasil, o relator do marco legal da inteligência artificial na Câmara disse que a votação fica para depois das eleições de outubro. Na Europa, o prazo das regras mais pesadas do AI Act foi empurrado de agosto de 2026 para dezembro de 2027.
Parece tempo ganho. Não é. O que foi adiado é a parte da lei que diz como provar que você usa IA com cuidado. A responsabilidade por uma decisão automatizada que prejudica alguém já existe hoje. E a lição de casa que essas leis vão cobrar leva meses para fazer, porque depende de uma coisa que quase nenhuma empresa tem: saber onde, exatamente, ela usa IA.
O que de fato foi adiado
O PL 2338/2023, o marco legal da IA, foi aprovado pelo Senado em 10 de dezembro de 2024 e desde 2025 está numa comissão especial da Câmara. A expectativa era votar no primeiro semestre de 2026. Em 24 de agosto, o relator, deputado Aguinaldo Ribeiro, disse que a votação fica para depois das eleições (Bairo Gonzalez). Se a Câmara mudar o texto, ele ainda volta ao Senado. Ou seja: não há data, e o texto final ainda pode mudar.
Na União Europeia, o pacote conhecido como Digital Omnibus entrou em vigor em 27 de julho de 2026 e adiou as obrigações dos sistemas de alto risco: de 2 de agosto de 2026 para 2 de dezembro de 2027 nos usos listados no Anexo III do AI Act, como recrutamento, crédito e educação, e para 2 de agosto de 2028 na IA embarcada em produtos regulados (Usercentrics). Isso interessa a empresas brasileiras que vendem para a Europa: o AI Act vale para quem oferece IA no mercado europeu, esteja onde estiver.
O que não foi adiado
A lista do que continua valendo é maior do que a manchete sugere:
- LGPD, desde 2020. O artigo 20 dá a qualquer pessoa o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, incluindo as que definem perfil profissional, de consumo e de crédito, e obriga a empresa a informar os critérios usados. Isso cobre boa parte do que hoje se chama de “IA que decide”. As sanções chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração.
- No AI Act, as proibições valem desde fevereiro de 2025 e as regras dos modelos de uso geral, desde agosto de 2025. As obrigações de transparência do artigo 50, como avisar que a pessoa está falando com uma IA, não foram adiadas.
- Responsabilidade comum. Código de Defesa do Consumidor, legislação trabalhista e contratos não esperam lei específica de IA. Se o chatbot promete um prazo que a empresa não cumpre, quem responde é a empresa, não o modelo.
Por que esperar a lei é o erro
O motivo é o próprio desenho dessas leis. Tanto o PL 2338 quanto o AI Act classificam risco pelo uso, não pela ferramenta. O mesmo modelo de linguagem é risco baixo quando resume a ata de uma reunião e risco alto quando faz a triagem de currículos — recrutamento aparece entre os usos de alto risco no texto aprovado pelo Senado e no Anexo III europeu. A ferramenta é a mesma. O que muda é quem é afetado pela resposta.
Isso tem uma consequência prática: nenhuma empresa sabe qual é a sua exposição sem antes saber onde usa IA. E esse mapa raramente existe. Vamos imaginar uma distribuidora de 80 funcionários. O financeiro usa um assistente para priorizar cobranças. O RH cola currículos num chatbot para fazer a primeira seleção. O comercial tem um assistente que sugere desconto por cliente. Ninguém decidiu nada disso numa reunião. Cada área resolveu um problema seu, com a ferramenta que tinha à mão — o mesmo padrão que descrevemos ao falar de shadow AI.
Dos três usos, dois decidem algo sobre uma pessoa com dado pessoal: quem passa para a entrevista e quem paga mais caro. Os dois já estão sob o artigo 20 da LGPD hoje. E, se um candidato pedir a revisão da decisão, a empresa precisa conseguir explicar o critério. Com um prompt que ninguém guardou, num chatbot que alguém usa na conta pessoal, isso é impossível.
Como argumenta João Paulo Batistella, executivo de inovação, decidir como a IA entra no negócio é pauta de CEO e conselho, não de TI. Regulação é o caso mais claro dessa tese: a pergunta “onde nossa IA decide algo sobre alguém?” atravessa RH, comercial, financeiro e atendimento, e nenhuma dessas áreas responde por todas. A síntese dele vale também para o jurídico: a IA executa, o humano responde.
Por onde começar: três passos antes da lei
1. Faça o inventário dos usos. Uma planilha basta. Para cada uso de IA na empresa: qual área, qual ferramenta, que dado entra, o que sai e quem age a partir disso. Pergunte às equipes. Não pergunte só ao TI, porque boa parte do uso real não passa por ele.
2. Classifique por efeito sobre pessoas, não por tecnologia. Duas perguntas separam os usos em quatro grupos:
- Usa dado pessoal e decide algo sobre alguém (seleção, crédito, preço individual, cobrança): prioridade máxima. É aqui que mora o risco alto de qualquer lei, e onde a LGPD já cobra hoje.
- Usa dado pessoal, mas não decide (resumo de atendimento, rascunho de e-mail a cliente): cuide da base legal, de onde o dado vai parar e de quem tem acesso.
- Decide, mas sem dado pessoal (previsão de estoque, roteirização): risco de negócio, não de direito de terceiros. Teste de qualidade antes de dar autonomia.
- Nem uma coisa nem outra (brainstorm, revisão de texto interno): basta uma política de uso clara.
3. No primeiro grupo, desenhe a revisão humana e o registro. Quem pode reverter a decisão da IA? Onde ficam guardados o critério e a versão do prompt ou do modelo usados? Quanto tempo leva para responder a um pedido de revisão? Esse é o mesmo raciocínio do botão de pânico: o momento em que um humano assume tem que existir antes do primeiro caso, não depois.
O limite deste conselho
Nada disso significa parar de usar IA ou montar uma área de compliance que a empresa não comporta. Para a maioria das pequenas e médias empresas, o inventário cabe numa tarde e mostra que só dois ou três usos estão no grupo crítico. O texto do PL 2338 ainda pode mudar na Câmara, e o detalhe das obrigações vai depender da regulamentação. Por isso, não faz sentido gastar agora com adequação a artigos que talvez não sobrevivam à votação. Faz sentido conhecer o próprio uso, porque essa parte vale para qualquer versão da lei, e para a LGPD que já está aí.
O adiamento não mudou o risco. Mudou só a data em que alguém vai pedir para você mostrar que cuidou dele.
Para mais análises sobre IA, gestão e o que muda nas regras do jogo, siga @ElevaTechno no X, @elevatechnologies no Instagram ou a Eleva Technologies no LinkedIn, ou conheça o grupo em elevatec.net/sobre.
