O Brasil ainda não tem uma lei geral de inteligência artificial, mas isso não deixa o uso da tecnologia pelas empresas livre de regras. Na avaliação da RZ3, a depender da aplicação, normas de proteção de dados, relações de consumo, relações trabalhistas, responsabilidade civil, propriedade intelectual, segurança da informação e regras setoriais continuam plenamente aplicáveis.
Marco legal ainda na Câmara
O PL 2338/2023, que institui o marco legal da inteligência artificial, foi aprovado pelo Senado em dezembro de 2024. Desde abril de 2025, o texto aguarda parecer em comissão especial da Câmara dos Deputados, sem votação concluída até outubro de 2026.
O que a LGPD já exige
A LGPD (Lei Geral de Proteção de Dados) estabelece direitos relacionados às decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem os interesses dos titulares. A lei também impõe princípios e obrigações aos agentes de tratamento. Quando sistemas de IA processam dados pessoais sem definição adequada de finalidade, hipótese legal, transparência, segurança e controles de acesso, a exposição regulatória da organização cresce.
O tema é especialmente sensível em recursos humanos. Modelos usados para triar currículos, avaliar desempenho ou recomendar candidatos podem reproduzir vieses presentes nos dados, muitas vezes difíceis de identificar e explicar depois. Quando a organização não consegue compreender, documentar ou auditar um sistema que influencia decisões sobre pessoas, surge, na avaliação da RZ3, um problema ao mesmo tempo ético, jurídico e de governança.
A ANPD (Agência Nacional de Proteção de Dados) trabalha na regulamentação do direito à revisão de decisões automatizadas, previsto no artigo 20 da LGPD. O tema integra a Agenda Regulatória 2025-2026 da agência.
Fiscalização com foco em IA
Em dezembro de 2025, a ANPD aprovou, pela Resolução CD/ANPD nº 30/2025, o Mapa de Temas Prioritários para o biênio 2026-2027. O documento prevê 75 ações de fiscalização e traz, pela primeira vez, um eixo dedicado à inteligência artificial e às tecnologias emergentes no tratamento de dados pessoais.
A atuação não é apenas prospectiva. Entre julho de 2023 e junho de 2025, a agência fiscalizou o uso de dados pessoais no treinamento de modelos de IA generativa e determinou, por medida preventiva, a interrupção do uso de dados de crianças e adolescentes nesse treinamento. No mesmo ciclo, registrou 723 comunicações de incidentes de segurança e recebeu 9.629 denúncias e petições de titulares, alta de 1.840,9% em relação ao ciclo anterior. Pela Resolução CD/ANPD nº 15/2024, incidentes com risco ou dano relevante aos titulares devem ser comunicados em até três dias úteis.
O avanço regulatório acompanha a adoção. Segundo a PINTEC Semestral, do IBGE (Instituto Brasileiro de Geografia e Estatística), 41,9% das indústrias com 100 ou mais empregados usavam IA em 2024, ante 16,9% em 2022. Entre empresas de todos os portes, a TIC Empresas 2025, do Cetic.br (Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação), registrou uso de aplicações de IA por 17% das companhias.
Governança como resposta
Para a RZ3, esperar o marco legal ficar pronto para começar a agir pode ser um erro. A resposta passa por estruturar a governança operacional da IA: identificar onde a tecnologia já é usada, classificar os riscos de cada aplicação, definir ferramentas autorizadas e responsáveis, controlar o tratamento de dados pessoais, manter registros e evidências e determinar em quais situações a decisão humana deve permanecer obrigatória. Em síntese, a LGPD já cobra das empresas que usam IA em decisões automatizadas finalidade clara, base legal, transparência e respeito aos direitos dos titulares, com ou sem lei específica.