Regulação de IA: multa do AI Act chega a 7% do faturamento

A regulação de IA que alcança empresas brasileiras em outubro de 2026 tem uma lei europeia em vigor e uma lei brasileira ainda em projeto. O Regulamento (UE) 2024/1689, conhecido como AI Act, já pune o uso de práticas de IA proibidas com multa de até 35 milhões de euros ou 7% do faturamento mundial anual do exercício anterior, o que for maior, inclusive para empresas de fora da União Europeia cujo sistema gera resultado usado lá (Parlamento Europeu e Conselho, 2024). No Brasil, o PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024, chegou à Câmara em 17 de março de 2025 e, em 22 de outubro de 2026, aparecia na base oficial como “Aguardando Parecer” na comissão especial (Câmara dos Deputados, 2026). Enquanto a lei não sai, a LGPD e a ANPD regem o uso de IA com dados pessoais no país. Este texto é informativo e não substitui parecer jurídico.

Na Iasbeck&Co a gente implanta CRM e agentes de IA em operações B2B, e a pergunta “já existe lei de IA no Brasil?” aparece em quase toda conversa com diretoria. Organizei datas, multas e situação de cada norma, conferidas no texto legal e na tramitação oficial, para diretoria, lideranças, jurídico e RH. O encaixe da IA na LGPD está em IA e LGPD, e não repito aqui.

Quais fontes oficiais mostram o estado da regulação de IA?

Usei textos legais, registros oficiais de tramitação e um relatório acadêmico. As notícias sobre o PL 2338 divergem entre si, e por isso conferi cada data na base de dados abertos da Câmara e do Senado.

Fonte	Ano	Natureza e método	Principal achado
Regulamento (UE) 2024/1689, AI Act	2024	Texto legal	Multa de até 7% do faturamento mundial para práticas proibidas
Regulamento (UE) 2026/1744, Digital Omnibus sobre IA	2026	Texto legal de 8/7/2026	Adia o alto risco para dezembro de 2027 e agosto de 2028
Senado Federal, PL 2338/2023 e Câmara dos Deputados, ficha de tramitação	2024 a 2026	Tramitação oficial, consultada em 22/10/2026	Aprovado no Senado em 10/12/2024; aguarda parecer na Câmara
ANPD, Balanço da Agenda Regulatória 2025-2026	2026	Relatório oficial do 1º semestre	IA na Fase 1, com foco no art. 20 da LGPD; minuta em elaboração
Stanford HAI, AI Index Report 2026	2026	Relatório acadêmico; leis aprovadas no G20 (base Digital Policy Alert)	11 leis de IA no G20 em 2025, contra 16 em 2024; 150 leis estaduais nos EUA
Stanford HAI, AI Index Report 2025	2025	Menções a IA em atas legislativas de 75 países e territórios	1.889 menções em 2024, alta de 21,3%

O que o AI Act europeu exige e quando?

O AI Act classifica os usos de IA por risco. No topo ficam as práticas proibidas do art. 5º, como pontuação social e reconhecimento de emoções no local de trabalho. Abaixo vêm os sistemas de alto risco do Anexo III, que incluem recrutamento, decisões sobre promoção e desligamento e avaliação de crédito de pessoa física. Há ainda obrigações de transparência para chatbots e conteúdo sintético (art. 50) e regras para os fornecedores de modelos de uso geral (Parlamento Europeu e Conselho, 2024).

O regulamento entrou em vigor em 1º de agosto de 2024 com aplicação escalonada (art. 113). Em julho de 2026, a UE aprovou o Regulamento 2026/1744, o Digital Omnibus sobre IA, que adiou as obrigações de alto risco porque, segundo o próprio texto, atrasos em normas técnicas e na estruturação das autoridades nacionais ameaçavam a data original de 2 de agosto de 2026 (Parlamento Europeu e Conselho, 2026). O cronograma em vigor ficou assim:

Data	O que passa a valer
2 de fevereiro de 2025	Disposições gerais, letramento em IA (art. 4º) e práticas proibidas (art. 5º)
2 de agosto de 2025	Regras para modelos de uso geral, governança e regime de multas
2 de agosto de 2026	Aplicação geral, incluindo a transparência do art. 50
2 de dezembro de 2026	Novas proibições do Omnibus, sobre imagens íntimas sem consentimento e abuso infantil
2 de dezembro de 2027	Alto risco do Anexo III, como recrutamento e crédito
2 de agosto de 2028	Alto risco embutido em produtos regulados do Anexo I

O adiamento deixou a transparência no calendário original. O fornecedor de um chatbot que conversa com pessoas na Europa precisa garantir que elas saibam que falam com uma IA, salvo quando isso for óbvio, e quem usa reconhecimento de emoções precisa avisar as pessoas expostas (art. 50, §§ 1º e 3º).

Quanto pode custar descumprir o AI Act?

O art. 99 define três faixas, sempre pelo maior valor entre o montante fixo e o percentual do faturamento mundial. O Omnibus manteve os tetos e estendeu às small mid-caps a regra das pequenas e médias, que pagam pelo menor dos dois valores, nas faixas dos §§ 4º e 5º (Parlamento Europeu e Conselho, 2026).

Infração	Teto da multa	Dispositivo
Uso de prática proibida	35 milhões de euros ou 7% do faturamento mundial	Art. 99, § 3º
Descumprimento de obrigações de fornecedores, usuários e outros operadores, incluindo transparência	15 milhões de euros ou 3% do faturamento mundial	Art. 99, § 4º
Informação incorreta, incompleta ou enganosa às autoridades	7,5 milhões de euros ou 1% do faturamento mundial	Art. 99, § 5º
Fornecedor de modelo de IA de uso geral	15 milhões de euros ou 3% do faturamento mundial, aplicada pela Comissão	Art. 101

O AI Act alcança empresas brasileiras?

O art. 2º aplica o regulamento a fornecedores que colocam sistemas de IA no mercado europeu, estejam onde estiverem, e a fornecedores e usuários de outros países “quando o resultado produzido pelo sistema de IA for utilizado na União”. Isso alcança, por exemplo, a empresa brasileira de software com clientes europeus e o processo seletivo que usa IA para triar candidatos que vão trabalhar lá. Para quem opera só no Brasil, o AI Act serve de referência, porque o PL 2338 adota a mesma lógica de classificação por risco.

Onde está o PL 2338/2023 em outubro de 2026?

O projeto do senador Rodrigo Pacheco foi aprovado no plenário do Senado em 10 de dezembro de 2024 (Senado Federal, 2024). A Câmara recebeu o texto em 17 de março de 2025, criou uma comissão especial em abril e designou como relator o deputado Aguinaldo Ribeiro (PP-PB) em 20 de maio. Em 22 de outubro de 2026, a ficha oficial mostrava “Aguardando Parecer”, em regime de prioridade, e as movimentações desde março eram apensações de outros projetos sobre IA, a última em 2 de setembro de 2026 (Câmara dos Deputados, 2026).

Um dos apensados mexe na estrutura da lei. Em dezembro de 2025, o governo enviou o PL 6237/2025, que institui o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial (SIA) e designa a ANPD para estabelecer normas gerais e regular setores sem regulador próprio. Segundo o Ministério da Gestão, o texto corrige um vício de iniciativa do PL 2338 e deixa para ele as proibições e a lista de alto risco (Ministério da Gestão e da Inovação, 2025). O PL 6237 foi apensado ao PL 2338 em 6 de abril de 2026. Circulam previsões de votação depois das eleições, sem data registrada em fonte oficial.

O que diz o texto aprovado pelo Senado?

O texto que chegou à Câmara segue a arquitetura do AI Act, com sanções e prazos próprios, e a Câmara pode alterar qualquer ponto, o que devolve o projeto ao Senado (Câmara dos Deputados, texto recebido do Senado).

Tema	AI Act (em vigor na UE)	PL 2338/2023 (texto do Senado, em análise)
Usos vedados	Art. 5º, como pontuação social e emoção no trabalho	Art. 13, “risco excessivo”, como explorar vulnerabilidades e pontuação social pelo poder público
Alto risco com efeito nas empresas	Recrutamento, gestão de trabalhadores, crédito de pessoa física	Recrutamento e avaliação de trabalhadores, acesso a serviços essenciais, reconhecimento de emoções (art. 14)
Direitos de quem é afetado	Transparência e explicação em casos definidos	Informação sobre interação com IA para qualquer sistema (art. 5º); explicação, contestação e revisão humana no alto risco (art. 6º)
Multa máxima	35 milhões de euros ou 7% do faturamento mundial	R$ 50 milhões por infração ou 2% do faturamento bruto no Brasil (art. 50)
Quem fiscaliza	Autoridades nacionais e Escritório de IA da Comissão	ANPD como coordenadora do SIA, com reguladores setoriais (art. 45)
Prazo para valer	Escalonado de 2025 a 2028	730 dias após a publicação, com parte das regras em 180 dias (art. 80)

Os dois textos classificam por risco, e o PL trata a avaliação preliminar como boa prática (art. 12). Se o texto do Senado fosse sancionado sem mudanças, a maior parte das obrigações só valeria dois anos depois da publicação. A lei brasileira não cobra nada da sua operação em 2026, mesmo uma aprovação rápida deixaria a maior parte das obrigações para 2029 ou depois, e o desenho dela já indica o que vai ser cobrado.

O que já vale no Brasil: LGPD e ANPD

Sem lei específica, a LGPD rege hoje o uso de IA com dados de clientes, leads e candidatos, e o art. 20, sobre revisão de decisões automatizadas, é o ponto de contato mais direto. A ANPD colocou a inteligência artificial entre os 16 itens da Agenda Regulatória 2025-2026, na Fase 1, a de maior prioridade. O balanço do primeiro semestre de 2026 informa que o projeto busca atender “ao disposto no art. 20 da LGPD, mas não a ele se limitando”, que a nota técnica com as contribuições da tomada de subsídios foi concluída e que a minuta da norma está em elaboração na área técnica (ANPD, 2026).

A própria autoridade mudou de natureza. A Lei nº 15.352, de 25 de fevereiro de 2026, conversão da Medida Provisória nº 1.317/2025, alterou a LGPD para transformar a ANPD em Agência Nacional de Proteção de Dados. E a autoridade já agiu num caso de IA: em 2 de julho de 2024, determinou a suspensão cautelar da política de privacidade de uma grande plataforma de redes sociais que permitia usar dados publicados pelos usuários para treinar IA generativa, com multa diária de R$ 50 mil por descumprimento (ANPD, 2024). Foi uma medida preventiva, baseada na LGPD que já existe.

Quantas leis de IA o mundo aprova por ano?

O Stanford AI Index acompanha a atividade legislativa com duas réguas. Na edição de 2026, a contagem de leis relacionadas a IA aprovadas nos países do G20, feita com base na Digital Policy Alert, parte de zero em 2016, chega a 16 em 2024 e recua para 11 em 2025. No acumulado de 2016 a 2025, os Estados Unidos lideram com 25 leis, seguidos da Coreia do Sul com 17, e o Brasil aparece com 3. O relatório avisa que a base conta só legislação aprovada, que uma lei grande com vários dispositivos de IA vale uma unidade e que volume não mede importância (Stanford HAI, 2026).

O movimento mais intenso está nos estados americanos. O número de leis estaduais ligadas a IA aprovadas nos EUA passou de menos de 10 em 2020 para 150 em 2025, com a Califórnia na frente (20 em 2025), enquanto o governo federal se moveu para a desregulação (Stanford HAI, 2026). A edição de 2025 media o debate pelo número de vezes que “inteligência artificial” aparece nas atas legislativas de 75 países e territórios: foram 1.889 menções em 2024, alta de 21,3% sobre as 1.557 de 2023 e mais de nove vezes o número de 2016 (Stanford HAI, 2025).

A queda no G20 em 2025 convive com o recorde dos estados americanos e com um AI Act sendo ajustado em vez de ampliado. Leio esses números como sinal de que a regulação de IA virou uma colcha de leis setoriais, estaduais e de proteção de dados, o que aumenta o trabalho de quem opera em vários países. Os números de adoção e de risco percebido pelas empresas estão em estado da IA nas empresas.

O que esses dados não dizem

A situação do PL 2338 é um retrato de 22 de outubro de 2026. A ficha da Câmara mostra o que foi registrado, e a negociação do texto do relator acontece fora dela. A comparação com o AI Act também tem limite, porque põe lado a lado uma lei em vigor e um texto que a Câmara ainda pode reescrever.

As contagens do AI Index dependem da definição. A edição de 2026 mudou o método e passou a olhar só o G20, então as duas edições não se comparam, e as “3 leis no Brasil” vêm de uma base que procura legislação relacionada a IA, sem dizer se alguma afeta a sua operação. A contagem de menções mede debate, que não gera obrigação.

Os tetos de multa mostram o máximo previsto e dizem pouco sobre o valor que uma autoridade aplica em cada caso, que depende de gravidade, duração, cooperação e porte da empresa (art. 99, § 7º). Também não encontrei, em fonte oficial, número consolidado de multas já aplicadas com base no AI Act, e por isso não cito nenhum.

O que a liderança faz com esses números

A LGPD, o AI Act para quem tem operação europeia e a direção do PL 2338 já bastam para organizar a casa. Este é o roteiro que proponho.

1. Faça o inventário dos usos de IA. Liste ferramentas, agentes de IA e automações em vendas, marketing, atendimento e RH, com dono, dados que leem e decisão que influenciam, incluindo o que o time usa por conta própria.
2. Classifique cada uso por risco. Use o AI Act e o art. 14 do PL como régua, mesmo sem obrigação legal, com a tabela abaixo como ponto de partida.
3. Informe o cliente quando ele fala com uma IA. O art. 50 do AI Act já exige isso na Europa, e o art. 5º do PL prevê o direito à informação para qualquer sistema. Ajuste a abertura do agente de atendimento e o aviso de privacidade.
4. Documente os usos de maior risco. Para cada um, escreva o critério da decisão, quem revisa e como a pessoa afetada pede revisão. Esse registro atende ao art. 20 da LGPD hoje e funciona como a avaliação preliminar que o art. 12 do PL trata como boa prática.
5. Transforme isso em política interna. Ferramentas aprovadas, dados permitidos, revisão humana e registro de agentes cabem numa política de uso de IA, que inclui a revisão dos contratos com fornecedores.
6. Ponha o calendário na pauta. Marque 2 de dezembro de 2027 se houver IA de alto risco com efeito na Europa e acompanhe a ficha do PL 2338 e a agenda da ANPD a cada trimestre.

Uso comum na operação	Leitura pelo AI Act	Leitura pelo PL 2338 (Senado)	Já vale no Brasil
Chatbot ou agente de atendimento	Transparência do art. 50	Direito à informação (art. 5º)	LGPD, finalidade e transparência
Rascunho de e-mail e resumo de reunião	Sem obrigação específica além do letramento	Fora do alto risco	LGPD, se houver dado pessoal
Lead scoring em B2B	Fora do Anexo III, em regra	Fora do art. 14, em regra	Art. 20 da LGPD, se a decisão afetar a pessoa
Triagem de currículo e avaliação de desempenho	Alto risco (Anexo III, item 4)	Alto risco (art. 14, III)	Art. 20 da LGPD
Análise de crédito de pessoa física	Alto risco (Anexo III, item 5)	Alto risco se for acesso a serviço essencial (art. 14, IV)	Art. 20 da LGPD
Reconhecimento de emoções em chamadas	Proibido sobre funcionários; alto risco nos demais casos	Alto risco (art. 14, XI)	LGPD; se houver dado biométrico, regras de dado sensível

A tabela é ponto de partida para a conversa com o jurídico e não classifica nenhum caso concreto. Os agentes que leem conversas de clientes, descritos em IA no atendimento ao cliente, costumam aparecer em mais de uma linha.

O que o RH e o T&D precisam saber

O RH aparece duas vezes nesse mapa. Recrutamento, promoção, desligamento e avaliação de desempenho estão no alto risco do AI Act e do PL 2338, e o AI Act obriga o empregador que usa sistema de alto risco no trabalho a informar os trabalhadores antes (art. 26, § 7º). Quem compra ferramenta de triagem com IA precisa saber como ela decide e quem revisa o resultado, mesmo operando só no Brasil, porque o art. 20 da LGPD já vale.

O segundo ponto é a formação. O art. 4º do AI Act exigia, desde fevereiro de 2025, garantir um nível suficiente de letramento em IA de quem opera os sistemas. O Omnibus reescreveu a regra: a empresa deve apoiar o desenvolvimento desse letramento, sem obrigação de garantir um nível específico para cada pessoa (Parlamento Europeu e Conselho, 2026). A exigência legal ficou mais leve, e a necessidade operacional continua: quem classifica um uso por risco ou revisa uma decisão automatizada precisa ter aprendido a fazer isso. Para medir, acompanhe quantos usos de IA estão classificados e quantas dúvidas chegam ao jurídico antes do lançamento de uma ferramenta.

A regulação de IA no Brasil ainda depende da Câmara, e a diretoria que esperar a sanção para começar vai organizar inventário, classificação e documentação com prazo curto. O treinamento in company de IA aplicada trabalha com lideranças e equipes de vendas, marketing, CS e RH sobre os processos da empresa e entrega a biblioteca de prompts por área e a arquitetura de agentes, com o que cada agente lê, o que executa e quem aprova, que é a base do inventário e da classificação por risco descritos aqui.

Perguntas frequentes

Já existe lei de IA no Brasil?

Não há lei geral de IA em vigor. O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e, em 22 de outubro de 2026, aguardava parecer do relator na comissão especial da Câmara. Enquanto isso, a LGPD, o Código de Defesa do Consumidor e as normas setoriais continuam valendo para o uso de IA.

Qual é a multa máxima do AI Act?

Para uso de prática proibida, até 35 milhões de euros ou 7% do faturamento mundial anual do exercício anterior, o que for maior. As demais infrações de operadores têm teto de 15 milhões de euros ou 3%, e informação enganosa às autoridades, de 7,5 milhões de euros ou 1%. Para pequenas e médias empresas, vale o menor dos dois valores, e o Omnibus estendeu essa regra às small mid-caps nas duas faixas mais baixas.

O AI Act vale para empresas brasileiras?

Vale quando a empresa coloca sistema de IA no mercado europeu ou quando o resultado produzido pelo sistema é usado na União Europeia, conforme o art. 2º. Uma empresa que opera só no Brasil, sem clientes nem usuários na Europa, fica fora do alcance direto do regulamento. Confirme o enquadramento com o jurídico.

O AI Act foi adiado?

Em parte. O Regulamento 2026/1744 adiou as obrigações dos sistemas de alto risco para 2 de dezembro de 2027 (Anexo III) e 2 de agosto de 2028 (produtos regulados do Anexo I). As proibições valem desde fevereiro de 2025, as regras dos modelos de uso geral desde agosto de 2025 e a transparência do art. 50 desde agosto de 2026.

Qual será o papel da ANPD na regulação de IA?

O texto do PL 2338 aprovado no Senado e o PL 6237/2025, enviado pelo governo, colocam a ANPD na coordenação do sistema nacional de regulação de IA, ao lado dos reguladores setoriais. Hoje, sem a lei, a ANPD atua sobre IA pela LGPD e tem a IA como item prioritário da Agenda Regulatória 2025-2026.

Como preparar o time para a regulação de IA?

Comece pelas lideranças, que inventariam e classificam os usos de IA da área, e depois forme quem opera agentes e ferramentas no dia a dia, com as regras de transparência e revisão humana da empresa. Acompanhe quantos usos estão classificados, quantos agentes têm revisor nomeado e quantas dúvidas chegam ao jurídico antes de cada lançamento.