Resposta rápida: O PL 2338 é o projeto que estrutura o marco legal da inteligência artificial no Brasil, na linha do que a Europa fez com o AI Act: abordagem baseada em risco, deveres de transparência, documentação e governança para quem desenvolve e para quem emprega sistemas de IA. Para a empresa que convive com shadow AI, a mensagem é direta: as futuras obrigações pressupõem que a companhia saiba quais sistemas usa, para quê e com quais dados, exatamente o que o uso informal torna impossível responder. Com 63% das empresas ainda sem política específica de IA, segundo cobertura do Computer Weekly Brasil, quem construir inventário, política e trilha de auditoria agora vai tratar a lei como formalidade; quem esperar o texto final vai correr atrás sob prazo e fiscalização.
Em toda palestra sobre regulação de IA, alguém da plateia me faz a mesma pergunta, com a esperança de quem pede adiamento de prova: Bruno, a lei ainda está em tramitação, muda toda hora, vale a pena fazer algo agora? A minha resposta encurta a conversa: a sua empresa já está sujeita, hoje, à LGPD, ao Código de Defesa do Consumidor, à CLT e à responsabilidade civil, e a shadow AI já viola alguns deles nesta tarde. O PL 2338 é o próximo andar de um prédio cujo alicerce já cobra aluguel.
O que é o PL 2338, sem juridiquês
O PL 2338 tramita como a espinha dorsal do marco legal da IA no Brasil, e a arquitetura dele segue a tendência internacional consolidada pelo AI Act europeu, tema que eu tratei no artigo sobre o que a Europa aprendeu com IA: classificar sistemas por nível de risco e calibrar as obrigações conforme a classificação. Sistemas de risco excessivo ficam vedados; sistemas de alto risco, como os que decidem sobre crédito, emprego, saúde e benefícios, carregam deveres pesados de documentação, supervisão humana, avaliação de impacto e transparência; sistemas de risco menor carregam deveres proporcionais.
Dois traços do desenho importam especialmente para o leitor executivo. Primeiro, a lei alcança quem emprega IA, além de quem a desenvolve: usar sistema de terceiro cria obrigações próprias, de diligência, supervisão e prestação de contas. Segundo, a governança prevista conversa diretamente com a estrutura da LGPD, com direitos dos afetados, autoridade fiscalizadora e sanções na mesma família das que eu descrevi no artigo sobre shadow AI e LGPD. A empresa enxerga um ensaio geral do que vem: quem já respeita a LGPD de verdade tem meio caminho andado; quem finge tem o dobro.
Framework de marco legal da IA: O que é o PL 2338, sem juridiquês e O encontro marcado entre a lei e a shadow AI.
O encontro marcado entre a lei e a shadow AI
Agora o cruzamento que dá título a este artigo. Toda obrigação da futura lei pressupõe uma capacidade básica: a empresa saber responder quais sistemas de IA usa, para quais finalidades, com quais dados, sob supervisão de quem. Releia a frase e compare com o retrato da shadow AI que abriu esta série: 47,4% dos profissionais usando IA por conta própria, ferramentas espalhadas por contas pessoais, agentes rodando fora do radar da TI. A empresa com sombra densa é estruturalmente incapaz de cumprir o dever mais elementar do marco legal: o de saber de si mesma.
A cobertura do Computer Weekly Brasil sobre o PL 2338 traz o número que mede o tamanho do encontro marcado: 63% das empresas seguem sem política específica para IA, e podem se tornar alvo direto das futuras exigências de trilha de auditoria e governança. O padrão histórico da LGPD deve se repetir: anos de aviso prévio, uma corrida cara de última hora, consultorias cobrando prêmio de urgência, e as empresas que se anteciparam assistindo de camarote. A diferença é que, desta vez, o aviso prévio está publicado com antecedência recorde.
O PL 2338 cria a base do marco legal da IA no Brasil: classificação de risco, transparência e governança.
Leia também
Alto risco: a categoria que vai surpreender o RH e o crédito
Vale um foco especial na categoria de alto risco, porque é nela que empresas comuns, longe do setor de tecnologia, vão se descobrir reguladas. Sistema que apoia decisão sobre contratação, promoção ou demissão: alto risco. Sistema que pontua crédito ou risco de cliente: alto risco. E aqui a shadow AI cria a armadilha perfeita: o recrutador que usa a conta pessoal de IA para triar currículos, prática comuníssima, está operando informalmente um sistema que a futura lei trata como alto risco, sem avaliação de impacto, sem supervisão desenhada, sem documentação, sem registro.
Quando eu apresento esse exemplo em comitês, a ficha cai com barulho. A empresa jura que ainda decide sobre IA em RH, e a decisão já foi tomada na ponta, meses atrás, por alguém com boa intenção e uma assinatura gratuita, o padrão que eu descrevi no artigo sobre demissões guiadas por IA. O marco legal vai perguntar pela documentação desse uso, e a resposta honesta de muita empresa será: a diretoria desconhecia. Perante o regulador, como perante a LGPD, desconhecer o próprio uso agrava em vez de absolver.
Leia também
O que fazer agora, sem esperar o texto final
A objeção do "muda toda hora" merece resposta prática: as obrigações que dependem de detalhe do texto final são a minoria; a fundação é estável e já se conhece. Inventário de sistemas de IA em uso, oficial e informal: exigido em qualquer versão. Classificação interna por sensibilidade e impacto: idem. Política de uso viva, na linha da política de uma página: idem. Trilha de auditoria de quem usou o quê, quando, com quais dados: idem. Supervisão humana nos usos que tocam pessoas: idem. Nenhum parágrafo dessa lista será revogado por emenda; toda ela já serve à LGPD hoje e ao PL 2338 amanhã.
Há ainda o argumento de sequência: essas fundações levam trimestres para virar hábito, como esta série vem mostrando peça a peça, do mapeamento ao pacto entre jurídico, DPO e TI. Começar quando a lei for sancionada significa construir cultura sob prazo regulatório, o modo mais caro e pior de construir qualquer coisa. Começar agora significa que, na sanção, a empresa fará ajuste fino em vez de fundação, e ajuste fino se contrata; fundação se vive.
Aos que gostam de precedente, a própria LGPD serve de estudo de caso sobre o custo de cada estratégia. As empresas que começaram a adequação em 2018, na sanção da lei, distribuíram o investimento em dois anos confortáveis, formaram cultura e chegaram à vigência operando. As que esperaram 2020 pagaram consultoria com ágio de urgência, compraram ferramentas às pressas, produziram documentação de fachada e passaram os anos seguintes refazendo o trabalho, agora sob fiscalização e com incidentes acumulados. O mercado de adequação viveu dois preços para o mesmo produto, e a diferença foi paga por quem apostou no adiamento. O marco da IA oferece a mesma bifurcação, com um agravante: desta vez a tecnologia regulada já está dentro de casa, operando na sombra, o que torna a espera duplamente cara.
Checklist executivo de marco legal da IA: Alto risco: a categoria que vai surpreender o RH e.
A leitura estratégica: regulação como peneira
Fecho com a leitura que os conselhos mais gostam de ouvir, porque transforma custo em posição competitiva. Todo marco regulatório funciona como peneira de mercado: encarece a bagunça e valoriza a organização. Depois da LGPD, a maturidade em privacidade virou critério de due diligence, cláusula de contrato e argumento comercial. O mesmo vai acontecer com governança de IA: clientes corporativos vão exigir evidência de conformidade dos fornecedores, seguradoras vão precificá-la, editais vão pontuá-la.
Nessa peneira, a empresa que domou a própria shadow AI carrega uma vantagem dupla. Ela passa pelos crivos com documentação real, e ela aprendeu, no processo, a usar IA de verdade, com os ganhos de produtividade de 15% a 40% que a McKinsey mede em adoções estruturadas. O concorrente que apenas correu para o papel na última hora exibe certificado sem músculo. Regulação, no fim, premia quem já fazia certo por convicção, e o PL 2338 dará a essa convicção um valor de mercado explícito.
Leia também
Conclusão
O PL 2338 vai erguer sobre o alicerce da LGPD o andar específico da inteligência artificial: classificação por risco, deveres de transparência e documentação, obrigações para quem emprega sistemas, atenção redobrada aos usos de alto risco em RH, crédito e saúde. Para a empresa que convive com uso informal, o recado é desconfortável e útil: a lei pressupõe autoconhecimento, e shadow AI é, por definição, a parte da empresa que ela desconhece. Com 63% do mercado ainda sem política, a fila da última hora já está garantida; a escolha inteligente é ficar fora dela. As fundações estáveis, inventário, política, trilha de auditoria, supervisão humana, pacto entre as áreas, independem do texto final e já pagam dividendos hoje, em risco e em produtividade. Eu devolvo à plateia a pergunta do adiamento de prova com a métrica que uso nos conselhos: quando o marco legal for sancionado, a sua empresa quer estar entre as que perguntam "o que precisamos mudar?" ou entre as que respondem "já operamos assim"? A distância entre as duas frases mede-se em trimestres de trabalho, e o cronômetro do Congresso corre por conta própria, indiferente ao planejamento anual de quem ainda aposta que dá tempo. A história da LGPD já contou como termina essa aposta, e contou com juros.