Startup de inteligência artificial: as regras no Brasil em 2026

A inteligência artificial virou o centro de muitas startups brasileiras: atendimento automático, análise de documentos, triagem de currículos, apoio a diagnósticos. A regra específica para o setor, porém, ainda não existe. O marco legal da IA está no Congresso.

O Projeto de Lei 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e chegou à Câmara dos Deputados em março de 2025. Lá, aguarda parecer de uma comissão especial. Enquanto ele não vira lei, a startup de IA responde pelas normas gerais que já valem para qualquer empresa de tecnologia.

O que já vale hoje

A principal regra em vigor é a Lei Geral de Proteção de Dados, de 2018. Quem treina ou opera um modelo com dados pessoais precisa de base legal para cada uso, como consentimento, contrato ou legítimo interesse, e responde perante a Agência Nacional de Proteção de Dados (ANPD).

O artigo 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas só por tratamento automatizado, inclusive as que definem perfil de consumo, de crédito ou profissional. A empresa deve informar os critérios usados, respeitado o segredo comercial. As obrigações de porte menor estão no guia de LGPD para startups.

O Código de Defesa do Consumidor completa o quadro. O fornecedor responde, independentemente de culpa, pelos danos causados por defeito na prestação do serviço, e a resposta errada de um sistema automático entra nessa conta. Em saúde, o software que apoia diagnóstico pode ainda depender de notificação ou registro na Anvisa.

O que o PL 2338 muda

O projeto organiza as regras por grau de risco. Os usos de risco excessivo ficam proibidos, entre eles explorar vulnerabilidades para induzir comportamentos danosos, prever crimes pelo perfil da pessoa, a pontuação social pelo poder público e as armas autônomas.

O alto risco reúne os sistemas usados como fator determinante em áreas sensíveis. A lista inclui seleção de candidatos a emprego e de estudantes, acesso a serviços essenciais, apoio a diagnósticos médicos, veículos autônomos, reconhecimento de emoções e controle de fronteiras.

Quem desenvolve ou aplica um sistema de alto risco faz avaliação de impacto algorítmico antes de lançar o produto, garante supervisão humana e mantém documentação e testes. As conclusões da avaliação são públicas, respeitado o segredo industrial. Na maioria dos outros casos, a avaliação preliminar de risco é opcional e conta a favor da empresa numa eventual sanção.

Conteúdo sintético, como imagens e vozes geradas, deverá ter identificador de autenticidade. Quem treina modelos com obras protegidas informa os conteúdos usados e remunera os titulares, que também podem proibir o uso. A coordenação fica com a ANPD, à frente do Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA).

As sanções vão de advertência a suspensão do sistema. A multa chega a R$ 50 milhões por infração ou, para empresas, a 2% do faturamento bruto no Brasil. A regra geral vale 730 dias após a publicação; as proibições e as regras para modelos generativos, em 180 dias.

Incentivos, sandbox e o que fazer agora

O texto do Senado trata a startup de forma diferente. As autoridades setoriais devem definir critérios diferenciados para microempresas, empresas de pequeno porte e startups, considerando o impacto concorrencial e o número de usuários afetados. O direito à explicação também terá procedimento simplificado para empresas menores.

Essas empresas terão acesso prioritário ao sandbox regulatório de IA, o ambiente em que o produto é testado por prazo limitado com regras flexibilizadas. O modelo já funciona em outros órgãos, como mostra o guia do sandbox regulatório.

Há dinheiro público para o setor. O Plano Brasileiro de Inteligência Artificial 2024–2028, do Ministério da Ciência, Tecnologia e Inovação, projeta R$ 23,03 bilhões em quatro anos, dos quais R$ 13,79 bilhões para inovação empresarial. Parte chega pelas linhas da Finep e pela dedução da Lei do Bem, no lucro real.

Os investidores já perguntam sobre isso na due diligence: de onde vêm os dados de treino, com qual base legal e se o produto cairia na lista de alto risco. Contratos com clientes que preveem revisão humana e registro das decisões reduzem o risco da transição.

O primeiro passo é mapear onde o produto decide sobre pessoas. Se a resposta envolve emprego, saúde, educação ou serviços essenciais, vale montar desde já a documentação e a avaliação de impacto que o projeto exige do alto risco.