EU AI Act, PL 2338 e LGPD: o novo calendário de governança de IA para empresas brasileiras

O calendário regulatório acaba de mudar. O EU AI Act já está em vigor desde 2024 e avança por fases, e em junho de 2026 o Conselho da UE deu sinal verde final a um pacote de simplificação que redesenhou os prazos das regras de alto risco. Para empresas brasileiras com clientes ou operações na Europa, o ponto não é mais uma data única, e sim um calendário que se estende de 2025 a 2028.

Em paralelo, o PL 2338 avança no Congresso: aprovado no Senado, agora tramita na Câmara dos Deputados, onde aguarda parecer do relator em Comissão Especial. A sobreposição das duas regulações com a LGPD forma a tríade de compliance que qualquer empresa com agentes de IA em produção precisará responder.

Este texto explica o que cada marco exige, onde eles convergem e por onde começar.

O que o EU AI Act exige e por que alcança o Brasil

A pergunta mais comum de CTOs e jurídicos brasileiros é direta: “isso se aplica a nós?” A resposta depende do que você coloca no mercado e para quem.

O AI Act adota princípio extraterritorial parecido com o GDPR. Uma empresa brasileira pode estar sujeita ao regulamento se colocar sistemas de IA ou modelos de propósito geral no mercado da União Europeia, se atender clientes estabelecidos na UE, ou se os resultados do sistema forem utilizados na União em contextos regulados. Isso inclui situações mais comuns do que parecem: SaaS brasileiro com clientes europeus, sistema de análise de crédito com filial na UE, agente de IA cujas saídas são usadas por uma operação na União.

As categorias de alto risco incluem, entre outras, biometria, infraestrutura crítica, educação, emprego, acesso a serviços essenciais públicos e privados, crédito, seguro de vida e saúde, aplicação da lei, migração, justiça e processos democráticos. Para quem opera nesses setores com alcance europeu, as obrigações incluem avaliação de conformidade, documentação técnica detalhada, registro do sistema e supervisão humana sobre as decisões do agente.

O ponto crítico deixou de ser uma data única. As práticas proibidas e a alfabetização em IA já se aplicam desde 2025, as obrigações de transparência avançam em 2026, e as regras para sistemas de alto risco passam a ter aplicação em 2 de dezembro de 2027 (sistemas standalone) e 2 de agosto de 2028 (sistemas embutidos em produtos), conforme o pacote de simplificação aprovado pelo Conselho da UE em junho de 2026. Empresas que ainda não iniciaram a avaliação de risco dos seus sistemas chegam a esses marcos com exposição regulatória ativa.

PL 2338: o que está em jogo no Brasil

O PL 2338 adota abordagem baseada em risco, similar ao AI Act. Sistemas classificados como alto risco em saúde, segurança pública, transporte, educação e serviços financeiros terão obrigações de transparência, registros de auditoria e mecanismos de contestação para usuários afetados. O texto prevê ainda direitos de informação e explicação, supervisão humana, medidas de governança, avaliação de impacto algorítmico e auditorias quando necessárias. As sanções propostas chegam a R$ 50 milhões por infração e, para pessoa jurídica de direito privado, até 2% do faturamento.

Para quem opera agentes de IA, um ponto merece atenção específica: o PL cria obrigações para os agentes responsáveis por sistemas de IA, especialmente quando o sistema é classificado como alto risco. Quem implantou sistemas com acesso a dados sensíveis ou que suportam decisões sobre clientes precisará comprovar supervisão e rastreabilidade com mais formalidade do que hoje.

O texto já foi aprovado pelo Senado e, para virar lei, ainda precisa ser aprovado pela Câmara, onde aguarda parecer do relator em Comissão Especial. A tramitação em 2026 deve ser monitorada de perto, porque o texto pode sofrer alterações relevantes na Câmara. Aguardar a versão final para começar a preparação encurta ainda mais o prazo de adaptação.

A convergência: LGPD, PL 2338 e EU AI Act

A LGPD já dá ao titular o direito de revisão e a informações claras sobre os critérios e procedimentos usados em decisões tomadas unicamente com base em tratamento automatizado de dados pessoais (Art. 20), respeitados o segredo comercial e industrial, e a ANPD vem escalando a fiscalização. O PL 2338 adiciona camada específica para sistemas de IA por cima desse arcabouço. O EU AI Act entra por cima dos dois para quem tem alcance na União Europeia.

A sobreposição prática é esta: uma empresa que opera agentes de IA no Brasil com clientes na Europa precisará respeitar os direitos dos titulares pela LGPD, cumprir as obrigações de transparência que o PL 2338 vai impor e atender às exigências do EU AI Act. As três regulações convergem nos mesmos pontos: governança, rastreabilidade e responsabilidade sobre o que o agente fez e com qual fonte.

O ativo que todas pressupõem é o mesmo. Sem o registro rastreável de quais agentes operam, quais dados consomem, que decisões suportam e como cada resposta foi produzida, responder a qualquer das três regulações é trabalho de arqueologia no momento em que a fiscalização chega.

Por onde começar agora

A preparação começa com clareza sobre o que você já opera. Um inventário de agentes de IA que registre agentes, fontes e evidências de resposta é o ponto de partida tanto para a avaliação de risco formal quanto para a documentação que as regulações vão exigir.

A partir daí, o caminho envolve classificar os sistemas por nível de risco, mapear onde há alcance na União Europeia, verificar quais fontes estão aprovadas para cada agente e garantir que a trilha de evidência existe antes de o auditor pedir. É o programa de governança de agentes de IA que transforma compliance de resposta emergencial em capacidade contínua.

Os marcos de 2027 e 2028 parecem distantes, mas a avaliação de risco, o inventário e a trilha de evidência levam meses para amadurecer. Quem aguarda mais clareza regulatória para começar chega às fases de alto risco sem a documentação que auditores e reguladores vão cobrar.

Faça o diagnóstico gratuito e descubra quais sistemas de IA da sua empresa já têm exposição regulatória sob o EU AI Act, o PL 2338 e a LGPD.

Marcas e legislações citadas pertencem a seus respectivos órgãos e autores. Contextfy é uma camada independente de contexto governado e não declara parceria oficial, certificação ou integração nativa, salvo quando explicitamente informado.