1. O que é o PL 2338 e como ele classifica os sistemas de IA por risco
2. Três exposições jurídicas que já existem hoje, antes da lei ser sancionada
3. O que o PL 2338 exige especificamente do jurídico e compliance para sistemas de alto risco
4. Avaliação de Impacto Algorítmico e responsabilidade solidária com fornecedores
5. IA trabalhista: monitoramento, recrutamento e decisão automatizada
6. Cinco ações prioritárias para o jurídico estruturar agora
7. Conclusão
Para quem trabalha no jurídico ou em compliance, o PL 2338 costuma ser tratado como um problema de amanhã. Essa leitura ignora um detalhe decisivo: parte das obrigações que o PL 2338 promete criar já existe hoje, embutida em normas que já estão em vigor há anos. A LGPD, a CLT e o Código Civil já impõem deveres concretos sobre decisões automatizadas, monitoramento por IA e responsabilidade por sistemas de terceiros, e a violação desses deveres gera exposição imediata, não futura.
Esse é o ponto de partida deste guia: separar o que já é exigível hoje do que o PL 2338 vai formalizar quando for sancionado, e traduzir as duas camadas em ações que o jurídico e o compliance podem tomar agora. Empresas que utilizam inteligência artificial em recrutamento, concessão de crédito, atendimento ou decisões automatizadas em qualquer área do negócio já operam dentro desse perímetro de risco, com ou sem o PL 2338 em vigor.
Antes de entrar nas exposições específicas de IA jurídico e compliance, vale recapitular o que o PL 2338 é e como ele estrutura a discussão de risco: a base sobre a qual o restante deste guia se apoia.
O PL 2338/2023 é o projeto de lei que institui o Marco Legal da Inteligência Artificial no Brasil. Apresentado pelo senador Rodrigo Pacheco em 3 de maio de 2023, o texto nasceu do trabalho de uma comissão de juristas criada em 2022 para propor um marco regulatório de IA para o país, e regula o desenvolvimento, a comercialização e o uso de sistemas de IA a partir de uma abordagem baseada em risco.
Em vez de aplicar as mesmas regras a toda tecnologia de IA, o projeto diferencia as obrigações conforme o potencial de dano de cada sistema, e por isso é frequentemente chamado de "AI Act brasileiro", pela proximidade com a regulação europeia. Ele impõe obrigações a três agentes da cadeia de IA: quem desenvolve, quem fornece e quem usa o sistema, o que inclui a maior parte das empresas que já adotam IA generativa, automação de processos ou decisões automatizadas em algum ponto do negócio.
O PL 2338/2023 foi aprovado pelo Senado por unanimidade em dezembro de 2024 e tramita na Câmara dos Deputados desde março de 2025, com votação da Comissão Especial esperada para o segundo semestre de 2026. Em paralelo, o Executivo enviou ao Congresso a Mensagem Presidencial 1.845/2025, que cria o Sistema Nacional de Regulação e Governança de IA (SIA) e designa a Autoridade Nacional de Proteção de Dados (ANPD) como autoridade central para setores sem regulador próprio (a mesma autarquia que já fiscaliza a LGPD). Acompanhe a tramitação completa no site do Senado Federal.
Para o jurídico e o compliance, essa arquitetura institucional importa mais do que parece à primeira vista: o mesmo órgão que já aplica sanções por descumprimento da LGPD vai concentrar boa parte da fiscalização de IA, o que aproxima os dois regimes na prática.
O PL 2338 classifica cada sistema de IA em um de quatro níveis de risco, e cada nível determina um conjunto distinto de obrigações. Sistemas de risco excessivo são proibidos: técnicas subliminares, reconhecimento de emoções em ambiente de trabalho e educacional, scoring social governamental e scraping facial indiscriminado. Sistemas de alto risco, que incluem triagem curricular, concessão de crédito, monitoramento de funcionários e decisões automatizadas em saúde, são permitidos, mas com obrigações severas, entre elas a Avaliação de Impacto Algorítmico. Sistemas de risco baixo ou moderado, como chatbots, exigem apenas transparência básica: o usuário precisa saber que está interagindo com IA, não com uma pessoa.
Essa classificação é o eixo que organiza todo o restante deste guia: quase todas as obrigações que o jurídico e o compliance vão precisar operacionalizar dependem de saber, primeiro, em qual categoria cada sistema de IA da empresa se encaixa.
Ausência de lei específica de IA não significa ausência de obrigações. As três exposições abaixo já geram risco jurídico hoje, independente do que aconteça com o PL 2338 na Câmara.
A LGPD, em vigor desde 2020 com sanções aplicáveis desde agosto de 2021, estabelece no art. 20 que toda decisão tomada exclusivamente com base em tratamento automatizado de dados pessoais confere ao titular o direito à revisão por pessoa natural e à informação sobre os critérios utilizados. Isso vale para decisões de perfil profissional, de consumo e de crédito. Empresas que usam IA para reprovar candidatos, negar promoções ou conceder crédito sem um processo formal de revisão humana documentado estão em descumprimento atual da LGPD, não de uma lei futura. A ANPD pode aplicar multa simples de até 2% do faturamento no Brasil no último exercício, com teto de R$ 50 milhões por infração.
Usar IA para monitoramento e avaliação de desempenho é exercício legítimo do poder diretivo do empregador, mas com limites da CLT. Advertências, suspensões e demissões por justa causa fundamentadas exclusivamente em output de IA, sem revisão humana documentada, têm alto potencial de contestação judicial por ausência de transparência e contraditório. Essa exposição deriva diretamente dos arts. 482 e 483 da CLT e da Lei 9.029/1995, que veda discriminação no emprego, não do PL 2338.
O Código Civil já cria exposição para empresas que usam IA de fornecedores externos. O art. 186 estabelece que o uso negligente de tecnologia, sem avaliação de riscos ou supervisão humana, pode configurar ato ilícito e obrigar à reparação. O art. 927, parágrafo único, abre debate doutrinário sobre se o uso empresarial de IA em decisões que afetam trabalhadores e consumidores configura "atividade de risco", o que implicaria responsabilidade objetiva. Contratos com fornecedores de IA sem cláusulas de indenização e responsabilidade compartilhada deixam a empresa exposta a ser acionada diretamente por danos de sistemas que não desenvolveu.
Para sistemas de alto risco (triagem curricular, crédito, monitoramento de funcionários, decisões em saúde), o PL 2338 impõe quatro obrigações centrais que o jurídico e o compliance vão precisar operacionalizar: avaliação de impacto algorítmico obrigatória antes da implantação e ao longo do ciclo de vida do sistema; supervisão humana efetiva, com vedação à confiança automática e excessiva no output; canal formal de contestação e revisão humana de decisões; e responsabilidade solidária entre desenvolvedor, fornecedor e aplicador por danos causados.
Sistemas de risco baixo ou moderado, por sua vez, exigem apenas transparência básica. O SAC automatizado já tem obrigação equivalente pelo Decreto 11.034/2022. Mas para as áreas de RH, jurídico e compliance, a categoria que concentra praticamente todo o trabalho de adequação é a de alto risco: é ali que vivem os sistemas de recrutamento, crédito e monitoramento que essas áreas já operam hoje.
A Avaliação de Impacto Algorítmico (AIA) é o documento que descreve o funcionamento do sistema de IA, os dados utilizados, os riscos identificados e as medidas de mitigação adotadas (o equivalente ao RIPD da LGPD, mas focado em IA). Ela é obrigatória para todo sistema de alto risco, antes da implantação e ao longo do seu ciclo de vida, e é o principal artefato que jurídico e compliance vão precisar produzir e manter atualizado quando o PL 2338 entrar em vigor.
O Código Civil já permite discutir responsabilidade por uso negligente de IA de terceiros, como visto na seção anterior. O PL 2338 vai além: o art. 28 do projeto cria responsabilidade solidária explícita entre desenvolvedor, fornecedor e aplicador do sistema de IA. Na prática, isso significa que o prejudicado pode acionar diretamente a empresa que usa o sistema, mesmo que o defeito esteja no sistema desenvolvido por um terceiro. Para sistemas de risco excessivo usados em desacordo com as proibições, a responsabilidade passa a ser objetiva, dispensando a discussão sobre culpa que hoje ocupa boa parte do debate doutrinário em torno do Código Civil.
Na classificação de risco do PL 2338, boa parte dos sistemas de IA no RH, triagem curricular, avaliação de desempenho e promoção, monitoramento de produtividade, é tratada como alto risco, sujeita a AIA e supervisão humana obrigatória. Isso formaliza uma exposição que já existe na prática: levantamento sobre o uso de ferramentas no ambiente corporativo brasileiro mostra que 47,4% dos profissionais relatam usar IA sem aprovação oficial, prática conhecida como Shadow AI, o que revela que o risco regulatório já existe mesmo antes da lei entrar em vigor.
Veja como o Distrito estruturou o próprio sistema de gestão de RH com IA e quais critérios de governança foram aplicados internamente. Para jurídico e compliance, o ponto de atenção é duplo: garantir que sistemas de triagem e monitoramento tenham processo de contestação formal, e comunicar por escrito aos empregados quais sistemas os avaliam e com que finalidade, condição de licitude do monitoramento algorítmico pela CLT.
As ações abaixo derivam diretamente das obrigações já vigentes e das que o PL 2338 vai impor, ordenadas por urgência regulatória.
Segundo os princípios de IA da OCDE, revisados em 2024, a estrutura de governança interna é o que sustenta a confiança na adoção de IA, não o inverso. É esse princípio que dá coerência às cinco ações acima: nenhuma delas funciona isolada de uma política de governança que as amarre.
O PL 2338 não cria uma obrigação nova para o jurídico e o compliance: ele formaliza e amplia deveres que a LGPD, a CLT e o Código Civil já impõem hoje. A diferença é de grau, não de natureza, com mais documentação, mais canais de contestação, e uma responsabilidade solidária mais explícita ao longo da cadeia de fornecimento de IA.
Para quem já lida com adequação regulatória, a tarefa não é esperar a sanção da lei, e sim usar a janela atual para transformar exposições que já existem em processos estruturados, antes que a fiscalização da ANPD e do SIA se intensifique. Dados do AI Index Report 2026 da Stanford University mostram que os incidentes documentados de IA cresceram de 233 para 362 entre 2024 e 2025: um lembrete de que o custo de não agir cresce mais rápido do que a tramitação da lei.
Para um panorama completo do cenário regulatório, das exposições jurídicas já vigentes e das ações prioritárias detalhadas por área, baixe o relatório do Distrito, Governança de IA para Jurídico e Compliance, com o material completo para estruturar a conformidade da sua empresa.
