A discussão sobre regulamentação de Inteligência Artificial no Brasil já faz parte da agenda de quem trabalha com compliance, privacidade, Segurança da Informação, riscos, jurídico e tecnologia. Mesmo antes de uma lei geral específica entrar em vigor, sistemas de IA podem envolver dados pessoais, contratos, segurança, direitos de pessoas afetadas e decisões que precisam ser compreendidas e acompanhadas.
Para o profissional, o desafio é separar o que está em debate, o que já é exigível e o que pode mudar. Essa distinção evita tanto a antecipação de obrigações ainda inexistentes quanto a ideia de que não há nada a estudar enquanto uma proposta legislativa tramita. A atualização profissional começa por fontes oficiais e por uma leitura multidisciplinar do uso da tecnologia.
Por que acompanhar a regulamentação de IA?
O tema não pertence apenas ao jurídico. Uma regra sobre transparência pode exigir diálogo com produto e atendimento; uma avaliação de risco depende de tecnologia, segurança, privacidade e gestão; uma medida de supervisão humana precisa funcionar em processos concretos. Profissionais dessas áreas devem entender a linguagem comum para participar de análises e reconhecer quando uma decisão precisa de validação especializada.
Acompanhar a evolução regulatória também ajuda a preparar perguntas melhores. Em vez de memorizar manchetes, vale observar o objeto de cada proposta, os papéis atribuídos a desenvolvedores e usuários, os tipos de sistema abrangidos, eventuais critérios de risco e como a redação se modifica durante a tramitação.
O cenário brasileiro: projeto não é lei vigente
O Brasil debate uma estrutura específica para Inteligência Artificial. O Projeto de Lei nº 2.338/2023, aprovado pelo Senado e em análise na Câmara dos Deputados na data de publicação deste artigo, é uma referência desse debate. Propostas podem receber emendas, substitutivos e novas etapas de deliberação. Por isso, o texto em tramitação não deve ser apresentado como obrigação legal definitiva.
Para verificar o estágio e a redação mais recente, consulte a ficha oficial de tramitação do PL 2.338/2023 na Câmara. A aprovação de uma proposta em uma Casa legislativa não equivale, por si só, à promulgação de uma lei. Também é necessário distinguir regras gerais em debate de normas setoriais e leis que já estão em vigor.
Distinção essencial: a LGPD já disciplina o tratamento de dados pessoais, inclusive quando realizado com apoio de IA. A existência de um projeto de marco regulatório de IA não suspende essas obrigações atuais e não torna automaticamente exigíveis as obrigações propostas em seu texto.
O que observar em cada especialidade?
Compliance e governança
Profissionais de compliance devem acompanhar como as propostas definem responsabilidades, papéis, governança, transparência e prestação de contas. O estudo precisa conectar possíveis exigências a políticas, decisões, controles e formas de demonstrar sua aplicação. É importante registrar a fonte consultada, a versão do texto e o motivo de uma análise, sem confundir recomendação de boa prática com obrigação legal.
Privacidade e atuação do DPO
Quando sistemas de IA tratam dados pessoais, entram em cena finalidades, minimização, hipóteses legais, compartilhamentos, direitos dos titulares e governança de dados. Decisões automatizadas e avaliações de impacto podem pedir atenção especial conforme o caso. O profissional de privacidade deve saber identificar perguntas relevantes e interagir com tecnologia, jurídico e áreas responsáveis, considerando as regras vigentes da LGPD e a eventual incidência de outras legislações.
Segurança da Informação
O uso de IA pode envolver credenciais, integrações, serviços de terceiros, informações inseridas em prompts e resultados que circulam entre sistemas. Segurança precisa acompanhar proteção de ativos, controle de acesso, registros, gestão de fornecedores, incidentes e mudanças de configuração. A evolução legislativa deve ser lida junto dos riscos tecnológicos reais, sem esperar uma norma futura para aplicar medidas básicas já pertinentes ao ambiente.
Gestão de riscos
Uma visão baseada em risco identifica contexto de uso, pessoas afetadas, impacto possível e medidas de tratamento. O trabalho não termina na classificação inicial: mudanças de dados, finalidade, fornecedor ou modelo podem exigir revisão. Profissionais de riscos precisam compreender como avaliar, tratar, monitorar e comunicar incertezas, distinguindo risco técnico, legal, operacional e impacto sobre direitos.
Ética, vieses, transparência e supervisão humana
O debate regulatório costuma relacionar IA a equidade, não discriminação, transparência, explicabilidade e responsabilidade. Para estudar esses temas, pergunte quem pode ser afetado por um resultado, quais dados ou critérios podem introduzir vieses, o que é possível explicar a usuários e gestores e quando uma pessoa deve poder revisar uma decisão.
Supervisão humana não se resolve apenas com a frase “haverá revisão”. É necessário entender se o responsável tem informação, tempo e autoridade para intervir. Esses são pontos de análise profissional e de desenho de processos, mesmo quando a forma de uma futura obrigação legal ainda está em discussão.
Por que documentação e evidências ganham importância?
Registros permitem reconstruir o raciocínio por trás de uma decisão: qual sistema foi avaliado, para qual finalidade, por quem, com quais dados, riscos, controles e critérios de revisão. Inventários, avaliações, testes, aprovações, incidentes, alterações e evidências de auditoria ajudam a dar rastreabilidade à governança.
Isso não significa produzir formulários por precaução sem compreender o uso da IA. O profissional deve aprender a documentar o necessário, com qualidade e versão identificada. A boa documentação apoia o diálogo entre especialidades e facilita a atualização da análise quando uma regra muda ou a aplicação evolui.
Como usar referências internacionais com critério?
O AI Act da União Europeia, a ISO/IEC 42001, a ISO/IEC 23894 e o NIST AI Risk Management Framework oferecem perspectivas de estudo sobre governança, sistemas de gestão e riscos de IA. Segurança da Informação e proteção de dados completam esse repertório. Essas referências ajudam a estruturar perguntas, comparar abordagens e desenvolver linguagem profissional.
Não se deve, porém, importar uma obrigação estrangeira e afirmá-la como regra brasileira universal. A aplicação de uma lei depende da jurisdição e do contexto; normas técnicas e frameworks têm natureza própria. Estudar as diferenças entre lei, projeto de lei, norma, orientação e política interna é uma competência central em AI Compliance.
Que competências profissionais passam a ser mais relevantes?
Uma formação consistente reúne fundamentos de IA, Governança, Gestão de Riscos, Privacidade, Segurança da Informação, ética, documentação e interpretação regulatória. Também exige comunicação: explicar incertezas a gestores, conversar com equipes técnicas e jurídicas e saber quando uma análise deve ser revista por especialistas.
- Leitura normativa: localizar a fonte oficial, identificar sua vigência e separar texto em discussão de obrigação aplicável;
- Análise de contexto: compreender o sistema, sua finalidade, os dados utilizados e as pessoas afetadas;
- Riscos e controles: formular perguntas verificáveis e relacionar medidas a evidências;
- Colaboração: reunir produto, tecnologia, privacidade, jurídico, segurança, compliance e negócio em torno de decisões claras.
Uma base que combine Segurança da Informação, Privacidade e Proteção de Dados e Artificial Intelligence Compliance pode ajudar nessa trajetória. Para aprofundar o tema das competências, veja Governança de IA: quais competências profissionais são necessárias. Para refletir sobre formação e certificações, leia também Carreira em AI Compliance.
Uma rotina de atualização profissional
1. Comece pela fonte oficial
Consulte a tramitação no Congresso, textos publicados em diários oficiais e materiais dos órgãos competentes. Confira data, autoria, estágio e versão.
2. Separe proposta, regra vigente e orientação
Mantenha uma nota breve para cada mudança: o que está sendo proposto, o que já vale, quem pode ser afetado e quais pontos exigem análise adicional.
3. Compare com situações concretas
Use casos de estudo para relacionar requisitos e boas práticas a finalidade, dados, riscos, controles e evidências, sem presumir aplicabilidade universal.
4. Revise seu repertório periodicamente
Volte às fontes quando houver pareceres, substitutivos, deliberações ou regulamentações. Notícias e redes sociais podem alertar, mas não substituem a leitura do texto oficial.
Cursos, materiais oficiais, estudos de caso e certificações podem organizar o aprendizado, mas nenhum deles garante cargo, emprego ou reconhecimento automático. O valor está em desenvolver capacidade de interpretar mudanças e aplicá-las com método e responsabilidade.
Conclusão
A regulamentação de IA no Brasil está em evolução, enquanto regras já vigentes, como a LGPD, continuam relevantes para usos que envolvem dados pessoais. Para profissionais de compliance, privacidade, riscos, segurança e tecnologia, acompanhar o tema é uma prática de atualização contínua: distinguir estágios normativos, compreender impactos possíveis e fortalecer competências multidisciplinares. Isso permite contribuir para decisões mais bem fundamentadas sem antecipar como lei aquilo que ainda está em debate.