Regulamentação de IA no Brasil: guia prático de conformidade para 2026

A regulamentação de IA no Brasil ganhou forma concreta com a aprovação do PL 2338/2023 pelo Senado em 10 de dezembro de 2024. O texto adota classificação por risco, atribui papel central à ANPD e cria obrigações diretas para sistemas que afetam direitos fundamentais. Propostas do Executivo e novos projetos em 2025 refinaram a governança setorial, enquanto a Resolução 615 do CNJ já impõe obrigações práticas para sistemas usados no Judiciário.

Este guia transforma esse panorama em roteiro operacional para equipes de produto, engenharia e conformidade — com workflows de classificação de risco, métricas de auditoria e modelo de governança acionável.

Panorama atual: o que mudou com o PL 2338/2023

O PL 2338/2023, aprovado pelo Senado em dezembro de 2024, estrutura a regulação brasileira de IA em torno de três pilares: classificação por nível de risco, responsabilização de desenvolvedores e operadores, e supervisão centralizada pela ANPD. O texto está em tramitação na Câmara sob o número PL 2688/2025.

Projetos subsequentes e a proposta do Executivo de dezembro de 2025 reforçam o papel da ANPD no sistema SIA, preveem comitês técnicos com participação civil e delegação setorial para agências como ANS e ANVISA. Mecanismos de certificação também integram a proposta executiva.

Para equipes internas, o primeiro passo operacional é mapear todos os produtos com IA e catalogar sistemas por função, exposição e tipo de dado tratado.

Fluxo de monitoramento legislativo

Implemente uma rotina mensal para revisar mudanças legais e atualizar requisitos de produto:

• Mapear todas as aplicações com IA e atribuir um responsável técnico por produto
• Classificar cada sistema por impacto e exposição conforme critérios de risco vigentes
• Atualizar o inventário com evidências técnicas, notas de compliance e versão do modelo
• Programar ações corretivas com prazos quando novas obrigações forem publicadas

A rotina deve ficar sob responsabilidade do time de compliance e do proprietário do produto, integrada ao roadmap de engenharia.

Como classificar algoritmos e modelos sob a nova regulação

A exigência central da regulamentação é tratar algoritmos e modelos como ativos regulados quando influenciam direitos, acesso a serviços ou segurança. Sistemas de decisão automatizada que afetem crédito, emprego, saúde ou liberdade são prioritários para regras de auditoria e transparência.

Classifique modelos em três níveis:

Se um algoritmo decide acesso a benefícios ou afeta direitos fundamentais, classifique-o como alto risco. A comparação com o EU AI Act ajuda a interpretar proibições e obrigações aplicáveis — o arcabouço brasileiro segue estrutura similar à regulação europeia.

O que documentar no pipeline de treinamento e inferência

Documente os artefatos essenciais em cada etapa:

Treinamento: versão do dataset, script de treinamento, hiperparâmetros, seed, métricas de validação e hash do artefato treinado.

Inferência em produção: logs com versão do modelo, contexto de decisão e identificador da requisição.

Regra prática de qualidade: queda de desempenho superior a 5% na métrica principal deve disparar investigação e possível retraining. Ferramentas como MLflow e repositórios de dados versionados mantêm rastreabilidade auditável.

Governança prática: estruturar o SIA interno

Governança exige papéis claros e processos curtos de decisão. Estruture um SIA interno com:

• Responsável técnico por produto de IA
• Representante de proteção de dados (DPO)
• Jurídico e representante de produto
• Comitê multidisciplinar com reuniões mensais para revisar riscos, incidentes e liberações de modelos

Defina regras de escalonamento: incidentes que envolvam dados pessoais sensíveis ou causem dano material devem ser escalados à ANPD, com registro de todas as ações tomadas. A Resolução 615 do CNJ serve de referência para padrões de transparência e auditoria aplicáveis à governança corporativa.

Entregáveis mínimos de governança:

• Políticas internas de classificação de risco
• Playbooks de resposta a incidentes
• Canal de reporte para casos que exijam comunicação regulatória
• Matriz RACI para tarefas operacionais e de auditoria

Checklist técnico de compliance para modelos de IA

Inventário e documentação

• Model cards com descrição, finalidade, dados de treinamento, métricas e limites de uso
• Changelog e hash de versão para cada modelo em produção

Governança de dados

• Registro de proveniência, consentimento, tratamento e retenção
• Amostragem periódica para auditoria de qualidade dos dados

Testes de equidade

• Métricas de disparidade: FPR, FNR, diferença de paridade demográfica
• Testes por subgrupos sensíveis antes de cada lançamento

Monitoramento em produção

• Detecção de drift de dados e estabilidade de distribuição
• Gatilhos de ação: queda de AUC acima de 5% ou aumento de FPR relativo superior a 10%

Transparência e explicabilidade

• Relatórios técnicos simplificados para usuários impactados
• Documentação estruturada para auditores externos

Segurança e robustez

• Testes adversariais básicos antes de lançamentos de alto risco
• Controle de acesso a modelos e dados de treinamento

Certificação e auditoria

• Logs de inferência e provas de correção prontos para auditorias externas
• Evidências organizadas para processos de certificação setorial

Sandboxes regulatórios: como testar modelos de alto risco

Sandboxes regulatórios permitem testar modelos de alto potencial sob controles reforçados antes de lançamentos amplos. A experiência europeia e recomendações técnicas indicam sandboxes como ferramenta para validar mitigadores e construir evidências para certificações.

Fluxo operacional de um sandbox:

1. Definir hipóteses, KPIs e critérios de saída
2. Implementar isolamento técnico e logs completos de inferência
3. Executar monitoramento contínuo com canais de reclamação acessíveis
4. Avaliar impacto social e documentar resultados para reguladores

Sistemas com exposição média a alta devem entrar em sandbox antes do lançamento geral. Use feature flags e canary releases para controlar exposição em produção, combinando testes automatizados com revisões manuais. Desenvolva playbooks de desativação rápida caso indicadores críticos se degradem.

Sandboxes também funcionam como argumento comercial: demonstram compromisso com compliance para investidores e clientes.

Roadmap de implantação: 12 meses para estar compliance-ready

A regulamentação exige investimentos operacionais e técnicos, mas gera vantagem competitiva para quem estiver compliance-ready antes da vigência plena. Categorize custos em quatro frentes: inventário e catalogação, monitoramento e observabilidade, auditoria externa e governança.

Mês 0–1: inventário completo de modelos e classificação preliminar por risco

Mês 2–3: implementar registro de artefatos de treinamento e logs de inferência

Mês 4–6: implantar monitoramento, testes de fairness e playbooks de incidente

Mês 7–9: realizar auditoria externa e ajustar controles conforme resultados

Mês 10–12: submeter evidências a certificações setoriais e iniciar sandboxes para casos críticos

Métricas de negócio para acompanhar: tempo médio para detecção de drift, taxa de incidentes por modelo e custo médio por incidente. Comunicar progresso ao conselho e investidores reduz o risco regulatório percebido e aumenta a confiança do cliente.

Próximos passos operacionais

Quatro ações prioritárias para começar agora:

1. Inventário em quatro semanas: classifique todos os sistemas em uso e documente modelos, dados, decisões automatizadas e infraestrutura crítica.

2. Monitoramento em dois meses: implemente detecção de drift, registros de inferência e alertas automáticos de performance, com auditoria independente por auditor externo.

3. Comitê multidisciplinar: reúna legal, produto, engenharia e DPO mensalmente para análise de risco e decisões — com poder de pausar lançamentos e acionar respostas a incidentes.

4. Documentação de conformidade: registre incidentes, escale relatórios à ANPD quando houver dados pessoais críticos e mantenha timeline das ações e resultados das correções como prova de conformidade.