Entre a velocidade do avanço tecnológico e o tempo (quase sempre lento) das decisões parlamentares, o Brasil voltou a viver um choque de calendários: o Congresso Nacional decidiu adiar a votação do Projeto de Lei nº 2.338/2023, que estabelece o Marco Legal da Inteligência Artificial. Segundo o portal Startupi.com.br, a Deputada Adriana Ventura confirmou o adiamento em evento realizado em São Paulo, levando a discussão para depois das eleições de outubro de 2026.
O problema, porém, não é apenas “mais um atraso”. Quando a regulação nacional fica no limbo, quem assume protagonismo prático acaba sendo outro ator: o TSE. E, neste ano eleitoral, o tribunal estabeleceu regras mais rígidas para conter abusos envolvendo algoritmos e ferramentas generativas. Para empresas de tecnologia, marketing digital e para investidores, isso cria uma realidade desconfortável: um país com governança fragmentada, onde a mesma tecnologia precisa “se adequar” a camadas diferentes de regra.
Neste guia, vamos transformar o fato noticiado em um mapa de ação: o que muda na prática, como as empresas podem estruturar conformidade mesmo sem um Marco Legal completo, quais riscos persistem e como isso tende a evoluir — especialmente em um cenário em que o debate global já roda com estruturas como o EU AI Act (União Europeia).
O que está em jogo: previsibilidade regulatória e sobrevivência de modelos de negócios
Regulação não é só um tema jurídico. Ela afeta diretamente produto, dados, tecnologia, contratos, marketing e investimento. Em IA, a previsibilidade é ainda mais importante por três motivos:
- Custo de conformidade cresce com incerteza (auditoria, documentação, governança de risco, revisão de modelos).
- Tempo de ciclo para lançar recursos vira “refém” de decisões futuras (o que muda entre rascunho, piloto e produção).
- Risco regulatório afeta o orçamento de tecnologia e o valuation de startups e empresas em escala.
Ao adiar o Marco Legal, o Congresso desloca o “centro de gravidade” para regras setoriais e decisões judiciais. Segundo o portal Startupi.com.br, o adiamento empurra planejamentos de conformidade para 2027, justamente quando o ecossistema de inovação precisa de direção para tomar decisões de engenharia e de negócio agora.
Marco Legal adiado: por que isso é pior do que uma regulação restritiva (em termos de investimento)
Uma regulação restritiva pode ser dolorosa, mas costuma ser mais administrável: você sabe as regras, consegue estimar custo e planeja. A “névoa da incerteza”, citada por especialistas no noticiário, costuma ser pior porque:
- impede o desenho estável de controles (o que hoje é “bom o bastante” pode não ser amanhã);
- desalinha jurídico e produto (legal define política, engenharia tenta cumprir, mas o padrão final muda);
- cria insegurança contratual (por exemplo, cláusulas de responsabilidade por danos e uso indevido).
Na prática, o investidor pergunta: “Se eu aportar agora, meu portfólio terá liberdade para escalar?” Sem um marco nacional claro, a resposta tende a ser: depende. E “depende” é combustível para desconto de risco.
O papel do TSE: quando a regra eleitoral vira régua para tecnologia
Enquanto o Congresso adia, o TSE passa a atuar como regulador prático. No pleito deste ano, o tribunal aprovou regras para conter usos abusivos de algoritmos e ferramentas generativas, formando um cenário de exigências fragmentadas que empresas precisam decifrar rapidamente.
Por que isso afeta empresas fora do período eleitoral?
Porque conformidade eleitoral não fica “congelada” no tempo. Ela tende a gerar:
- rotinas internas (compliance específico para campanhas e para fornecedores);
- evidências técnicas (logs, rastreabilidade de conteúdo e de segmentação);
- padrões de governança (políticas de uso de IA e de moderação).
Em outras palavras: mesmo que a regra nasça no contexto eleitoral, ela cria precedentes e expectativas. E isso “vaza” para setores comerciais, especialmente quando empresas usam os mesmos pipelines de dados, modelos e automação.
O gap entre Brasil e mundo: EU AI Act como referência (e como pressão competitiva)
O atraso regulatório pode isolar o Brasil do debate global liderado pela União Europeia, que já construiu uma estrutura robusta com o EU AI Act. Sem um marco nacional, o risco é duplo:
- importar regras por obrigação: empresas passam a construir conformidade “para fora” (UE) e acabam gastando para lidar com diferentes exigências;
- perder competitividade: desenvolvedores locais podem ter mais dificuldade para vender para mercados altamente regulados se o Brasil não oferecer um padrão reconhecível.
Além disso, clientes internacionais costumam exigir demonstrações de controle e governança. Sem uma lei local, o fornecedor brasileiro pode até se organizar tecnicamente, mas enfrenta um obstáculo adicional: provar equivalência regulatória.
Como se preparar agora: um roteiro de conformidade pragmático (mesmo sem o Marco Legal final)
Se você é responsável por produto, jurídico, segurança, dados ou marketing, o melhor caminho é tratar o cenário como gestão de risco em camadas. A ideia não é esperar a lei cair do céu; é construir uma base que sobreviva a mudanças.
1) Faça um inventário de uso de IA e ferramentas generativas
O que você vê na prática: em geral, você abre uma planilha ou um dashboard interno. Há colunas para “Sistema/Feature”, “Objetivo”, “Tipo de modelo”, “Dados usados”, “Quem aprova”, “Onde roda” (nuvem/servidor), “A quem impacta” (usuários finais), “Risco associado” e “Evidências disponíveis”.
Passo a passo (recomendação):
- Liste todas as funcionalidades com IA (recomendação, detecção de fraude, chatbots, geração de texto/imagem, classificação, automações de marketing).
- Identifique se o modelo é treinado internamente, ajustado por terceiros ou usado como serviço (API).
- Registre quais dados alimentam o sistema (origem, finalidade e retenção).
- Mapeie o contexto de uso (eleitoral, comercial, atendimento, moderação, RH etc.).
Por que isso resolve: sem inventário, compliance vira “adivinhação”. Em nossos testes de processos internos (em empresas que precisavam responder a auditorias), o inventário foi o primeiro gargalo a ser atacado porque, quando ele existe, todo o resto fica mensurável.
2) Classifique riscos por categoria de impacto e potencial de abuso
O que você vê na tela: um quadro com níveis (por exemplo, Baixo, Médio, Alto) e critérios como “impacto em indivíduos”, “probabilidade de uso malicioso”, “opacidade do modelo”, “exposição a segmentação” e “possibilidade de violação de regras eleitorais/consumo”.
Neste ponto, crie critérios internos alinhados ao que tribunais e padrões internacionais exigem: rastreabilidade, mitigação de vieses, limites de uso e controles de segurança.
Na prática: modelos usados para moderação e filtragem tendem a ser menos sensíveis do que modelos que influenciam decisão (ex.: recomendação com potencial de manipulação). Porém, qualquer sistema que gere ou recombine conteúdo em massa (especialmente com IA generativa) pode ter risco operacional alto.
3) Construa controles de “rastreabilidade” (logs e evidências)
Mesmo sem a lei final, a tendência é clara: regulações e decisões exigem prova. Isso significa:
- logs de chamadas de modelos;
- versão do modelo e do prompt (quando aplicável);
- registro do fornecedor (se API) e dos parâmetros relevantes;
- documentação de políticas de uso;
- evidência de revisão humana em casos críticos.
Como isso funciona na prática: o time de engenharia normalmente implementa um “carimbo” de auditoria. Em vez de apenas guardar texto final, guarda-se um pacote mínimo de metadados (timestamp, usuário/tenant, finalidade, modelo/versão, controles aplicados e decisão do sistema).
Limitação: isso não substitui governança — se os logs não estiverem completos ou não forem consultáveis, viram papel inútil. Recomendamos desenhar a evidência desde o início da funcionalidade, e não como tarefa posterior.
4) Crie uma política de uso para ferramentas generativas (e aplique na jornada)
O que você vê na tela: um documento interno com seções e, no produto, uma tela de configuração ou formulário de onboarding. Por exemplo: “Você está usando IA generativa para… (marcar opções)”. Há também campos de validação (“Este conteúdo será usado em campanhas políticas?”) e um botão de confirmação com sinalização.
Na prática, estabeleça:
- proibições claras (conteúdo enganoso, criação de conteúdo que imite pessoas sem autorização, uso para manipular segmentação indevida);
- requisitos de revisão (quando há impacto alto, revisão humana obrigatória);
- limites técnicos (watermarking quando aplicável, bloqueios por categoria, filtros de segurança);
- procedimentos de resposta (como remover conteúdo, como registrar incidente e como comunicar internamente).
Comparação de alternativas reais:
- Opção A: Política escrita + treinamento
Prós: rápida para implementar, reduz ambiguidades. Contras: depende de adesão humana e não garante conformidade técnica. - Opção B: Guardrails no produto (pré e pós-processamento)
Prós: automatiza conformidade e reduz chance de erro. Contras: exige engenharia contínua e testes de segurança. - Opção C: Auditoria manual por amostragem
Prós: útil para começar e calibrar critérios. Contras: escalabilidade limitada; pode falhar se o volume crescer.
Recomendação (aplicação prática): em nossos cenários de implementação, a combinação política escrita + guardrails tende a ser mais rápida e segura: a política guia pessoas, e os guardrails evitam que erros viram incidentes.
5) Alinhe jurídico, marketing e produto com um “fluxo de aprovação”
O que você vê na tela: um workflow em uma ferramenta (como um gerenciador interno) com status: “Rascunho”, “Em validação”, “Aprovado”, “Reprovado”, “Requer ajuste”. Ao abrir um item, aparece um painel com checklist (uso de IA generativa, origem do conteúdo, revisão humana, anexos e evidências).
Para empresas com marketing digital e segmentação, isso é crucial: conteúdo gerado e segmentação algorítmica precisam estar sob regras consistentes. Mesmo que o Marco Legal demore, o TSE já sinaliza o que é considerado sensível.
O que pode acontecer até 2027: tendências prováveis e como elas afetam decisões
Se a votação do Marco Legal só avança após as eleições, há um ciclo de transição. Alguns cenários prováveis:
- Maior uso de regulação “por enforcement”: decisões e regras setoriais tendem a aumentar, reforçando práticas de auditoria e restrições operacionais.
- Convergência de exigências: mesmo que a lei local chegue depois, empresas vão alinhar requisitos internos com o que está sendo cobrado no mundo.
- Pressão por interoperabilidade: investidores e clientes vão exigir que relatórios de governança sejam comparáveis entre empresas (metadados e evidências).
- Escalada de custos de conformidade em 2027: não porque a lei seja “mais cara”, mas porque o mercado provavelmente vai entrar em fase de “corrida para adequação”.
Para quem toma decisões agora, a mensagem é objetiva: conformidade como engenharia de processo, e não como tarefa jurídica tardia.
Checklist rápido: o que fazer nas próximas 2 a 4 semanas
- Consolidar inventário (ao menos 80% das features/serviços com IA).
- Definir critérios de risco para uso generativo e para casos com potencial de impacto alto.
- Mapear fornecedores (APIs de IA, serviços de marketing, ferramentas de moderação) e exigir documentação mínima.
- Implementar trilha de auditoria básica (logs e versão do modelo quando possível).
- Rodar um piloto de guardrails para conteúdo e prompts (com revisão humana quando necessário).
- Treinar times com exemplos reais de falhas comuns (conteúdo enganoso, imprecisão, ausência de evidência, erros de configuração).
Se você fizer isso antes de 2027, estará melhor posicionado quando o Marco Legal finalmente avançar — porque já terá controles, dados e evidências para ajustar o que for exigido.
Limitações e riscos: o que esse guia não resolve sozinho
Mesmo com as melhores práticas, existem limitações:
- Sem o texto final da lei, qualquer classificação de risco pode precisar ser reajustada.
- Ferramentas diferentes exigem controles diferentes (o que funciona para um chatbot pode não servir para um sistema de recomendação).
- Ter logs não garante “conformidade”, se os logs não estiverem correlacionados às decisões e não forem recuperáveis para auditoria.
Por isso, o objetivo é construir uma base que permita adaptação rápida — e não tentar prever a redação exata do Marco Legal desde já.
FAQ
1) O que o adiamento do Marco Legal muda para uma startup que usa IA no produto?
Muda o nível de previsibilidade. Mesmo sem a lei completa, você ainda pode (e deve) organizar governança: inventário de modelos, controles de rastreabilidade, política de uso de IA generativa e workflow de aprovação. Isso reduz risco de enforcement e facilita adequação quando a lei avançar.
2) O TSE regula IA apenas para eleições, ou isso vale para outras áreas?
O foco imediato é o contexto eleitoral. Porém, as exigências práticas (evitar abusos, garantir controle e evidência) tendem a influenciar políticas internas e padrões de conformidade em empresas que usam as mesmas tecnologias em outros contextos.
3) Como priorizar esforços se não dá para auditar tudo agora?
Comece por impacto: sistemas que geram ou afetam decisões relevantes (conteúdo em massa, recomendação sensível, segmentação de alto risco). Depois cubra o restante por “fatia” usando amostragem e métricas de risco.
4) É suficiente ter uma política interna sobre IA generativa?
Geralmente não. Uma política é essencial, mas precisa ser operacionalizada com guardrails, processos de aprovação e evidências (logs e revisões) — principalmente quando há risco alto de uso indevido ou impacto em terceiros.
