Cliente pedindo cláusula de IA em contrato, edital exigindo explicação da decisão automatizada, regulador setorial perguntando. Organizamos a sua governança de IA agora, sobre os eixos que já estão consolidados, e ajustamos quando o texto final for aprovado.
O PL 2338/2023 foi aprovado pelo Plenário do Senado em 10/12/2024 eremetido à Câmara dos Deputados em 17/03/2025, onde tramita em comissão especial instalada em abril de 2025, com relatoria do deputado Aguinaldo Ribeiro, aguardando parecer. Ainda não é lei, e nós não vendemos adivinhação: vendemos a organização que serve com ou sem ela.
Quase todo sistema de IA que decide sobre pessoas trata dado pessoal. O art. 20 da LGPD já garante ao titular a revisão de decisões automatizadas e informação sobre os critérios. Isso é exigível hoje, não em 2027.
Cláusula de IA em contrato, questionário de fornecedor, exigência de edital e due diligence de investidor chegaram antes do legislador. Sem inventário e documentação, a resposta atrasa o negócio.
Mapear sistemas, classificar risco e produzir avaliação de impacto leva meses e depende de gente que já está ocupada. Quem começa quando a lei é publicada começa atrasado, e com pressa.
A mesma lógica da nossa consultoria de LGPD, aplicada à IA: a obrigação vira item com dono, prazo e prova. Montamos junto com o seu time, com os sistemas, os papéis e o vocabulário da sua organização, e seguimos operando ao seu lado.
visão ilustrativa do painel de governança de IA: o conteúdo muda conforme o contexto
Descobrimos junto com as áreas quais sistemas de IA existem de fato, inclusive os contratados sem passar pela TI, com dono e finalidade.
semanas, não mesesCada sistema recebe nível de risco com justificativa registrada: uso vedado, alto risco ou demais usos, seguindo o desenho do texto.
decisão documentadaPara os de alto risco, a AIA: quem é afetado, que dano é possível, que medida reduz o risco e quem responde por ela.
um sistema por vezTransparência, supervisão humana, monitoramento de viés e registro de incidentes rodando todo mês, com evidência.
contrato de operaçãoA plataforma mostra o estado. Quem revisa esse estado, decide o que fazer e puxa a sua equipe é gente nossa, sênior, definida em contrato. Sem nível 1, e sem troca de time entre quem vende e quem executa.
// a intensidade acompanha o caso: com poucos sistemas de IA, uma revisão mensal resolve; com dezenas e alto risco no meio, o acompanhamento é semanal e a direção entra no ciclo trimestral
É a resposta mais comum, e o melhor motivo para conversar. Em uma call a gente mapeia o essencial: onde há decisão automatizada sobre pessoas, o que já seria exigível hoje pela LGPD e o que entra na primeira leva de avaliação de impacto.
Não existe selo de conformidade com o PL 2338, e desconfie de quem oferecer. O que entregamos é prontidão: inventário, classificação, avaliações de impacto e registro funcionando, de modo que a adaptação ao texto final seja ajuste, não recomeço. E o que já é exigível hoje, pela LGPD e pelo seu setor, entregamos como obrigação atual, não como preparação.
○ perguntas frequentes
Ainda não é lei. O texto foi aprovado pelo Plenário do Senado em 10 de dezembro de 2024 e remetido à Câmara dos Deputados em março de 2025, onde tramita em comissão especial aguardando o parecer do relator. Começar agora não é antecipar a lei: é organizar o que já é cobrado hoje por cliente, edital, regulador setorial e pela própria LGPD quando há decisão automatizada.
A espinha dorsal do desenho é estável e se repete em regulações de IA no mundo: inventário de sistemas, classificação por risco, avaliação de impacto para alto risco, transparência para quem é afetado, supervisão humana e registro de incidentes. Construímos sobre esses eixos e ajustamos os detalhes quando o texto final sair, sem refazer o trabalho.
Não, se apoia nele. Quase todo sistema de IA que decide sobre pessoas trata dados pessoais, e o art. 20 da LGPD já garante revisão de decisão automatizada. Quem tem registro de tratamento, base legal e trilha de auditoria funcionando começa a governança de IA com metade do caminho andado.
Muda o seu papel. O desenho distribui deveres entre quem desenvolve, quem distribui e quem aplica o sistema. Para quem desenvolve, o peso está na documentação técnica, na rastreabilidade dos dados de treinamento e na informação repassada a quem vai aplicar, que é justamente o que os seus clientes vão começar a exigir em contrato.
Um líder de conta fixo responde pela entrega, com um especialista em governança de IA validando classificações e avaliações de impacto, engenharia de plataforma sustentando o sistema e operação assistida acompanhando pendências. O ritmo acompanha o tamanho do caso: de uma revisão mensal, quando há poucos sistemas, a varredura semanal com leitura de risco trimestral para a direção. Em queda de desempenho de modelo, uso fora da finalidade ou cláusula de IA num contrato novo, o time entra junto no mesmo dia.
O inventário de sistemas e a primeira classificação de risco saem em poucas semanas, porque são conversa estruturada com quem já usa as ferramentas. A avaliação de impacto dos sistemas de alto risco vem depois, um a um, na ordem de exposição. A partir daí é operação contínua.