Em outubro de 2026, a situação é esta: a União Europeia já aplica boa parte do seu regulamento de IA, o AI Act, e adiou as regras mais pesadas para 2027 e 2028. O Brasil ainda não tem uma lei específica: o PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e segue parado na Câmara, aguardando o parecer do relator.
Enquanto isso, quem usa IA no Brasil já responde pela LGPD, pelo Código de Defesa do Consumidor e por normas setoriais. Abaixo estão as datas, o que cada texto exige e como se organizar. Este conteúdo é informativo e não substitui orientação jurídica.
União Europeia: o cronograma do AI Act
O AI Act é o Regulamento (UE) 2024/1689. Ele classifica os usos de IA por nível de risco e entra em aplicação por etapas. Em julho de 2026, a UE alterou parte do calendário com o chamado Digital Omnibus sobre IA (Regulamento (UE) 2026/1744), proposto pela Comissão em 19 de novembro de 2025, com acordo político em 7 de maio de 2026 e em vigor desde 27 de julho de 2026.
O calendário abaixo segue a página oficial da Comissão Europeia, consultada em outubro de 2026.
| Data | O que passa a valer |
|---|---|
| 1º/8/2024 | Entrada em vigor do regulamento |
| 2/2/2025 | Proibições de práticas de risco inaceitável e obrigação de letramento em IA |
| 2/8/2025 | Regras de governança e obrigações para modelos de IA de propósito geral (GPAI) |
| 2/8/2026 | Aplicação geral, incluindo as regras de transparência; autoridades nacionais e o AI Office passam a fiscalizar |
| Dezembro de 2026 | Nova proibição incluída pelo Omnibus: sistemas que geram conteúdo sexual não consentido ou material de abuso infantil (os apps de "nudificação") |
| 2/12/2027 | Sistemas de alto risco do Anexo III: biometria, infraestrutura crítica, educação, emprego, crédito, migração |
| 2/8/2028 | Sistemas de alto risco embutidos em produtos regulados (Anexo I), como máquinas, brinquedos e elevadores |
Antes do Omnibus, as regras de alto risco do Anexo III valeriam a partir de agosto de 2026. O adiamento não apagou nenhuma obrigação: só mudou a data em que elas passam a ser exigidas.
Os quatro níveis de risco, com exemplos
- Risco inaceitável (proibido): pontuação social de pessoas, manipulação que explora vulnerabilidades, reconhecimento de emoções no trabalho e na escola, entre outras práticas listadas no artigo 5.
- Alto risco: sistemas que decidem sobre emprego, crédito, acesso à educação ou a serviços públicos. Exigem gestão de riscos, documentação técnica, qualidade de dados, registros e supervisão humana.
- Risco limitado (transparência): chatbots precisam avisar que a pessoa conversa com uma máquina, e conteúdo sintético, como deepfakes, precisa ser identificável.
- Risco mínimo: a maioria dos usos, como filtros de spam ou recomendação em jogos, sem obrigações específicas.
Modelos de propósito geral
Desde agosto de 2025, quem fornece grandes modelos, como os que estão por trás de assistentes de conversa, precisa publicar documentação técnica, respeitar regras de direitos autorais e, nos modelos com risco sistêmico, avaliar e mitigar esses riscos. Em julho de 2025, a Comissão publicou um Código de Boas Práticas voluntário para ajudar no cumprimento. Para entender o que são esses modelos, veja como funcionam os LLMs.
Multas e alcance
O regulamento prevê multas de até 35 milhões de euros ou 7% do faturamento global anual, o que for maior, para as práticas proibidas. Ele também alcança empresas de fora da Europa quando o sistema é colocado no mercado europeu ou quando seus resultados são usados lá.
Brasil: onde está o PL 2338/2023
O caminho até aqui
- 10/12/2024: o Plenário do Senado aprova, em votação simbólica, o substitutivo do senador Eduardo Gomes ao projeto do senador Rodrigo Pacheco.
- 17/3/2025: o Senado envia o texto à Câmara dos Deputados.
- 20/5/2025: a Câmara instala uma Comissão Especial sobre IA, presidida pela deputada Luisa Canziani, e designa o deputado Aguinaldo Ribeiro (PP-PB) como relator.
- Outubro de 2026: a ficha de tramitação da Câmara mostra a situação "Aguardando Parecer do(a) Relator(a)". Os últimos andamentos, de setembro de 2026, são apensações de outros projetos sobre IA.
Ou seja, ainda não há lei. Se a Câmara alterar o texto, ele volta ao Senado antes de seguir para sanção. Um dos temas que mais travam o debate é o direito autoral no treino de modelos, discutido, por exemplo, em audiência do Conselho de Comunicação Social do Congresso em agosto de 2026.
O que o texto aprovado no Senado prevê
O resumo abaixo vem da Agência Senado e se refere ao texto de dezembro de 2024. A Câmara pode mudá-lo.
| Tema | Como está no texto do Senado |
|---|---|
| Risco excessivo (proibido) | Armas autônomas, manipulação subliminar, pontuação social, previsão de crimes por traços de personalidade, material de abuso infantil |
| Reconhecimento facial em tempo real | Só em casos listados, como busca de desaparecidos e cumprimento de mandados |
| Alto risco (lista exemplificativa) | Recrutamento e demissão, seleção de estudantes, diagnóstico médico, veículos autônomos, controle de fronteiras |
| Direitos das pessoas | Saber que interage com IA, não sofrer discriminação ilícita; em alto risco, explicação, contestação e revisão humana |
| Fiscalização | Sistema Nacional de Regulação e Governança de IA (SIA), coordenado pela ANPD |
| Multas | Até R$ 50 milhões ou 2% do faturamento bruto do grupo, por infração |
| Direitos autorais | Uso comercial de obras no treino dá direito a remuneração; o titular pode proibir o uso em outros casos |
| IA generativa | Avaliação preliminar obrigatória e identificação de conteúdo sintético, a ser regulamentada |
Um ponto que gerou debate: os algoritmos de redes sociais foram retirados da lista de alto risco durante a votação no Senado.
Brasil x União Europeia, lado a lado
| AI Act (UE) | PL 2338/2023 (Brasil) | |
|---|---|---|
| Situação em outubro de 2026 | Em vigor, aplicação por etapas | Em análise na Câmara |
| Lógica | Níveis de risco | Níveis de risco |
| Quem fiscaliza | AI Office e autoridades nacionais | ANPD, à frente do SIA (se aprovado assim) |
| Multa máxima | 35 milhões de euros ou 7% do faturamento global | R$ 50 milhões ou 2% do faturamento bruto |
| Direito autoral | Transparência sobre dados de treino de GPAI | Remuneração por uso comercial de obras |
O que já vale no Brasil sem a lei de IA
A falta de uma lei específica não significa ausência de regras. Três delas já alcançam quem desenvolve ou usa IA:
- LGPD (Lei 13.709/2018): qualquer sistema que trate dados pessoais precisa de base legal, finalidade e segurança. O artigo 20 garante ao titular o direito de pedir revisão de decisões tomadas só com base em tratamento automatizado que afetem seus interesses, como perfil de crédito ou de consumo. Detalhes em o que é a LGPD.
- Código de Defesa do Consumidor: o fornecedor responde por falhas do serviço, inclusive quando a falha vem de um sistema automatizado, e deve informar o consumidor de forma clara.
- Normas setoriais: bancos, planos de saúde e telecomunicações seguem regras de seus reguladores, que valem também quando a decisão passa por um modelo.
Checklist para empresas que usam IA
Este roteiro antecipa o que as duas regulações cobram e já ajuda a cumprir a LGPD:
- Liste os sistemas de IA em uso, inclusive os embutidos em softwares contratados, como triagem de currículos ou análise de crédito.
- Classifique cada uso pelo impacto em pessoas. Decisões sobre emprego, crédito, saúde e educação ficam no topo.
- Registre dados, finalidade e limitações de cada sistema e quem é o responsável interno.
- Garanta revisão humana nas decisões que afetam direitos, como prevê o artigo 20 da LGPD.
- Avise quando a pessoa conversa com IA ou recebe conteúdo gerado por máquina.
- Cobre dos fornecedores informações sobre treino, retenção de dados e segurança.
- Se vende para a Europa, confira se o sistema cai no Anexo III e prepare a documentação para dezembro de 2027.
- Acompanhe a tramitação do PL 2338/2023 na página da Câmara; o texto ainda pode mudar.
Riscos específicos de agentes, que agem em sistemas em nome do usuário, estão em agentes de IA. Para o uso diário com segurança, veja como usar inteligência artificial no trabalho.
Perguntas frequentes
Uma empresa brasileira precisa cumprir o AI Act?
Pode precisar, se colocar um sistema de IA no mercado europeu ou se o resultado do sistema for usado na União Europeia, como um software de RH vendido a uma filial em Portugal. O enquadramento depende do caso concreto.
O PL 2338/2023 tem data para ser votado na Câmara?
Não. Em outubro de 2026, a ficha oficial indica que a Comissão Especial aguarda o parecer do relator, sem data de votação marcada. Datas anunciadas em 2025 e 2026 não se confirmaram.
O adiamento europeu vale para chatbots e deepfakes?
Não. O Digital Omnibus adiou as regras de alto risco. As obrigações de transparência, como avisar que o usuário fala com uma IA e identificar conteúdo sintético, passaram a valer em agosto de 2026, segundo a Comissão Europeia.
A ANPD já fiscaliza IA?
A ANPD fiscaliza o tratamento de dados pessoais, o que inclui sistemas de IA que usam esses dados. O papel de coordenadora do SIA só existirá se o PL for aprovado com esse desenho.
Fontes
- Comissão Europeia. AI Act: Shaping Europe's digital future (consultado em outubro de 2026).
- Comissão Europeia. AI Omnibus enters into force (27/7/2026).
- União Europeia. Regulamento (UE) 2024/1689, texto consolidado.
- Câmara dos Deputados. PL 2338/2023: ficha de tramitação.
- Senado Federal. PL 2338/2023: tramitação no Senado.
- Agência Senado. Senado aprova regulamentação da inteligência artificial; texto vai à Câmara (10/12/2024).
- Agência Senado. Marco legal da IA deve proteger jornalismo e direitos autorais, aponta debate (3/8/2026).
- Presidência da República. Lei nº 13.709/2018 (LGPD).
