Um gestor pergunta se pode colocar um chatbot no atendimento sem risco jurídico. A resposta curta é que o risco nunca desaparece por completo, mas pode ser controlado. A resposta longa passa pelo marco legal da IA, o conjunto de regras que vai orientar o uso de inteligência artificial no país, e pela forma como a empresa organiza esse uso enquanto as regras não estão prontas.
Muita gente prefere esperar a lei para então agir. O PL 2338/2023, principal proposta sobre o tema, foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, sem votação final. Ou seja, ainda não é lei, e o texto que será aprovado pode mudar. Esperar parece prudente, mas deixa a empresa sem nenhum controle sobre as ferramentas que os funcionários já estão usando hoje.
Nossa tese é que a empresa não precisa esperar a lei para organizar o uso de IA. As regras que já existem bastam para exigir cuidado com dados e com o cliente, e um conjunto pequeno de práticas de governança atravessa qualquer versão final do texto.
O que é o marco legal da IA?
O marco legal da IA é o conjunto de regras que define direitos, deveres e responsabilidades de quem desenvolve, oferece e usa sistemas de inteligência artificial no Brasil. A principal proposta em discussão é o PL 2338/2023. Ele já passou pelo Senado, mas ainda não teve votação final na Câmara dos Deputados, por isso não está em vigor.
Isso não significa que a IA opere sem regras. Qualquer sistema que trate dados pessoais ou atenda clientes já está sujeito a leis em vigor. O projeto deve acrescentar obrigações específicas para a inteligência artificial, mas a base do que a empresa precisa fazer já existe.
O que já vale hoje para o uso de IA na empresa?
Três bases legais alcançam a maior parte dos usos de IA em uma empresa brasileira, mesmo sem o marco específico.
- LGPD. A Lei Geral de Proteção de Dados vale sempre que a IA trata dado pessoal de cliente, fornecedor ou funcionário. Isso inclui o chatbot, a ferramenta que resume atendimentos e o sistema que recebe currículos. O que a empresa deve exigir de quem constrói esses sistemas está explicado no texto sobre LGPD no desenvolvimento de software.
- Código de Defesa do Consumidor. Quando um cliente fala com um assistente automatizado, a empresa responde pelo que esse assistente informa, da mesma forma que responderia por um atendente. Uma informação errada sobre prazo, condição de troca ou garantia tem peso jurídico, mesmo que nenhuma pessoa tenha digitado a resposta.
- Responsabilidade civil. Se um sistema causa dano, como a recusa indevida de um pedido ou uma cobrança incorreta, a discussão é sobre quem respondeu pelo serviço. Nesse ponto, a empresa que usa a ferramenta costuma ser a primeira a responder ao cliente, ainda que o fornecedor da tecnologia também possa ser envolvido.
Na prática, essas três bases mudam o que a empresa deve pedir em contratos. Antes de assinar com um fornecedor de IA, pergunte onde os dados são processados, se eles são usados para treinar o modelo de outros clientes, quem responde por um erro que cause dano e como o contrato trata a saída do fornecedor. Respostas vagas nesses pontos são um sinal de alerta, mesmo que o produto seja bom.
Qual checklist de governança sobrevive a qualquer texto final?
As práticas abaixo tratam de risco, transparência e responsabilidade. Elas fazem sentido com a lei do jeito que estiver e, se o texto mudar, ajustam-se apenas em detalhes.
- Inventário de uso de IA. Liste todas as ferramentas que usam IA na empresa, inclusive as que funcionários contrataram por conta própria. Sem essa lista, nenhuma outra medida tem base. Use a política de uso de IA para registrar o que está liberado e o que é proibido.
- Classificação de risco. Separe os usos em baixo, médio e alto risco. Um resumo interno de reuniões tem risco diferente de um sistema que recusa crédito ou avalia candidatos. Quanto mais a decisão afeta a vida de uma pessoa, mais controle ela exige.
- Transparência com o cliente. Quem fala com uma IA deve saber disso desde o início da conversa, com a opção de falar com uma pessoa. Essa informação precisa aparecer antes de qualquer dado ser coletado.
- Supervisão humana. Defina quem revisa as respostas e decisões mais sensíveis e como o cliente ou o funcionário pode contestar um resultado automatizado. Uma regra escrita de encaminhamento vale mais que qualquer declaração de boas intenções.
- Verificação de dados. A ferramenta pode funcionar bem do ponto de vista técnico e, ainda assim, não avaliar sozinha se os dados que você envia são sensíveis. Essa checagem é responsabilidade de quem responde pelo sistema, e deve ser feita antes do uso, não depois de um incidente.
Um caminho prático para o inventário é pedir a cada área uma lista simples: qual ferramenta usa, para qual tarefa, com quais dados e quem a contratou. Exemplo: o time comercial usa uma ferramenta de escrita para montar propostas e alimenta o sistema com dados de clientes; o financeiro usa um assistente para conferir extratos bancários. Cada linha dessa lista vira uma decisão de risco, e as linhas que envolvem dados de clientes sobem para o topo da revisão.
Por que a governança de IA entrou na agenda agora?
A discussão deixou de ser apenas sobre o que a IA consegue fazer. A Gartner divulgou em 20 de outubro de 2026, no IT Symposium/Xpo de Orlando, seu Top 10 de tendências estratégicas para 2027, que inclui temas como identidade de agentes de IA e plataformas de contexto para IA. Segundo a própria consultoria, em 2027 a conversa sobre IA passa da adoção para a governança. São projeções da Gartner, não fatos consumados, mas apontam para onde o mercado está indo.
Para o gestor, a leitura é prática. Quem já tem inventário e critérios de risco não vai precisar correr quando clientes, parceiros ou o conselho pedirem explicações sobre o uso de IA. Quem começa do zero terá de fazer às pressas o que poderia ter sido construído com calma, e é nesse momento que surgem as decisões ruins.
Chatbot no atendimento: como usar com risco controlado?
Volte à pergunta do gestor. Um chatbot não representa um risco único, porque o risco depende do que ele faz. Um assistente que informa horário de funcionamento, status de pedido e segunda via de documento tem uma superfície de risco pequena. Um assistente que negocia descontos, nega reembolso ou orienta o cliente sobre saúde e finanças entra em outra categoria.
Exemplo: um chatbot responde “onde está meu pedido?” e, quando o cliente reclama, passa a conversa para uma pessoa com o histórico completo. Outro bot decide sozinho cancelamentos e aplica multas. O primeiro é um uso comum e controlável. O segundo exige supervisão humana, aviso claro e um caminho de contestação. A tecnologia pode ser a mesma nos dois casos, e a diferença está nas regras que a empresa escreve em volta dela.
Se a empresa quer ir além de respostas padronizadas e treinar um assistente com os próprios documentos, a camada de dados fica ainda mais sensível. O texto sobre IA treinada com os dados da empresa mostra cuidados que valem a pena tomar antes de conectar um assistente ao acervo interno.
Organizar o uso de IA agora não depende da votação da lei
Quando a lei for votada, a empresa que já tem inventário, classificação de risco e supervisão humana só precisará ajustar detalhes. A que não tem precisará começar do zero. Também vale medir o que a IA entrega: o texto sobre ROI de IA na empresa explica como saber se cada projeto se paga, informação útil tanto para a diretoria quanto para a conformidade. Se quiser transformar esse checklist em um plano para a sua empresa, fale com o nosso time.
Perguntas frequentes sobre o marco legal da IA
O PL 2338 já está em vigor?
Não. O projeto foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, sem votação final. Por enquanto, valem as leis que já existem, como a LGPD e o Código de Defesa do Consumidor.
Preciso esperar a lei para organizar o uso de IA?
Não. Inventário de ferramentas, classificação de risco, transparência com o cliente e supervisão humana podem ser adotados agora. Essas práticas tendem a continuar relevantes qualquer que seja o texto final, porque tratam de risco e responsabilidade.
A empresa responde pelo que a IA faz?
Na maioria dos casos de atendimento, sim: a empresa responde pelo que o sistema informa ao cliente, como responderia por um atendente. Cada situação tem particularidades, por isso vale consultar um advogado antes de decisões mais arriscadas.