Resposta rápida: Dez marcos alcançam uma empresa brasileira que usa IA: a LGPD, a atuação da ANPD, o PL 2338 ainda em tramitação, a NR-1 com os riscos psicossociais, o AI Act europeu para quem atende a Europa, a ISO/IEC 42001 como certificação voluntária, o NIST AI RMF como framework de referência, o Código de Defesa do Consumidor somado ao Marco Civil da Internet, a regulação do seu setor específico, e o contrato com o cliente, que na prática costuma chegar antes de todos os outros. Só uma parte disso é obrigação vigente hoje, e confundir o que obriga com o que ainda tramita é o erro mais caro desta lista.
Revisado em ago/2026. Esta é uma lista perecível e entra em revisão a cada noventa dias, porque metade dos itens abaixo mudou de status nos últimos doze meses.
O executivo chega no conselho e ouve a pergunta: estamos em conformidade? A resposta que funciona separa três camadas, o que já obriga, o que ainda tramita e o que ninguém exige por lei mas o cliente cobra em contrato. Quem responde no atacado erra nas duas direções: promete conformidade com norma que ainda não passou, ou ignora obrigação que já está valendo há um ano.
O critério: alcança empresa brasileira de verdade
A lista inclui o que atinge uma empresa que opera no Brasil, seja por lei nacional, por alcance extraterritorial ou por exigência contratual de cliente. Ficaram de fora normas de outros países sem efeito prático aqui, e princípios de organismos internacionais que ninguém fiscaliza.
Cada item traz o status em agosto de 2026 e o que ele exige de concreto. Onde o status é de tramitação, isso está dito com todas as letras, porque tratar projeto de lei como lei é o jeito mais rápido de perder credibilidade numa reunião de conselho.
1. LGPD
Em vigor desde 2020 e a norma que mais alcança uso de IA hoje no Brasil, apesar de não falar de IA. Toda vez que um prompt carrega dado pessoal, existe tratamento de dado com base legal, finalidade e direito do titular. Dado sensível, como saúde e biometria, tem regra mais rígida. Vale ler shadow AI e LGPD.
2. ANPD como autoridade
A Autoridade Nacional de Proteção de Dados colocou inteligência artificial entre as frentes prioritárias da agenda regulatória de 2026 e 2027, ao lado de direitos dos titulares, dados de crianças e adolescentes e uso pelo poder público. Na prática, a fiscalização de IA hoje chega pela porta da proteção de dados, e é ali que a empresa precisa ter resposta pronta.
Leia também
3. PL 2338/2023, o marco legal da IA
Aprovado pelo Senado em 10 de dezembro de 2024 e em tramitação na Câmara dos Deputados desde então, com votação adiada mais de uma vez. Ainda não é lei em agosto de 2026. O texto adota classificação por nível de risco, inspirada no modelo europeu, e prevê direitos de transparência, explicação e contestação. Preparar-se faz sentido, e declarar conformidade não.
4. NR-1 e os riscos psicossociais
A norma de saúde e segurança do trabalho passou a exigir gestão de riscos psicossociais no programa de gerenciamento de riscos, com a fiscalização começando em 26 de maio de 2026. Em agosto de 2026 o Supremo Tribunal Federal confirmou a suspensão temporária das multas administrativas ligadas a esses fatores, o que não elimina a exposição a passivo trabalhista comum. Automação que muda ritmo e carga entra nessa conta.
5. AI Act europeu
Alcança quem coloca sistema de IA no mercado europeu ou cujo resultado é usado na Europa, o que inclui empresa brasileira exportadora e fornecedora de multinacional. As obrigações de transparência passaram a valer em 2 de agosto de 2026. As exigências de alto risco do Anexo III foram adiadas para dezembro de 2027 pelo pacote de simplificação aprovado em 2025.
Leia também
6. ISO/IEC 42001
Norma certificável de sistema de gestão de inteligência artificial, publicada no fim de 2023. É voluntária, e vem virando exigência de fato em cadeia de fornecedor grande e em processo de compra corporativa. O valor prático está menos no selo e mais na disciplina que a implantação impõe. Vale ler ISO 42001, gestão de IA certificável.
7. NIST AI RMF
Framework voluntário de gestão de risco de IA publicado pelo instituto de padrões dos Estados Unidos. Nenhuma empresa brasileira é obrigada a segui-lo, e ele aparece com frequência crescente em questionário de segurança de cliente americano, o que o transforma em requisito comercial. Serve bem como estrutura de conversa interna sobre risco.
Leia também
8. Código de Defesa do Consumidor e Marco Civil da Internet
Quando a IA erra na frente de um consumidor, a responsabilidade da empresa é discutida pelas normas que já existem, sem esperar marco novo. Oferta veiculada por agente vincula, informação errada gera dever de reparar, e a cadeia de fornecimento responde de forma solidária. É a camada que a maioria dos comitês esquece de olhar.
9. A regulação do seu setor
Banco Central, ANS, CVM, ANVISA e conselhos profissionais têm regra própria sobre automação, decisão e sigilo, e ela prevalece sobre a régua genérica. Empresa em setor regulado que monta a governança de IA olhando só para a LGPD costuma descobrir tarde que o regulador setorial já tinha exigência mais específica e mais restritiva.
10. O contrato com o cliente
A norma que chega primeiro na prática. Cláusula de não uso de IA sem aviso, exigência de não treinamento com dado do contratante, questionário de segurança com pergunta sobre modelo e subprocessador. Nada disso é lei, e é o que trava venda hoje. Vale ler o questionário de segurança de IA do cliente.
Leia também
O mapa em uma tabela
| marco | status em ago/2026 | quem alcança |
|---|---|---|
| LGPD | em vigor | qualquer tratamento de dado pessoal |
| ANPD | fiscalizando, IA na agenda 2026-2027 | toda empresa sujeita à LGPD |
| PL 2338 | em tramitação na Câmara | ainda ninguém, por enquanto |
| NR-1 psicossocial | fiscalização iniciada, multas suspensas | empregador com PGR |
| AI Act europeu | transparência em vigor desde ago/2026 | quem atende a Europa |
| ISO/IEC 42001 | voluntária, certificável | quem vende para cadeia exigente |
| NIST AI RMF | voluntário | quem responde questionário americano |
| CDC e Marco Civil | em vigor | quem tem consumidor final |
| Regulação setorial | varia por setor | banco, saúde, seguro, capital |
| Contrato do cliente | vigente por assinatura | quem vende B2B |
Quando nenhum destes dez resolve a sua pergunta
Existe uma pergunta que a lista não responde, e é a mais comum: podemos usar esta ferramenta neste processo? Nenhum dos dez marcos responde isso diretamente, porque todos operam por princípio e por risco, e a decisão precisa descer para o caso concreto. O caminho que funciona é traduzir os dez em uma régua interna curta, por tipo de dado e por tipo de decisão, e revisar essa régua por semestre.
O segundo limite é temporal. Metade desta lista mudou de status em doze meses, incluindo dois adiamentos e uma suspensão judicial. Montar governança amarrada a uma data específica de norma é frágil. O desenho que sobrevive é o que funciona por princípio, com dono, registro e revisão humana nas decisões que importam, e que absorve mudança de calendário sem precisar de reforma.
A régua que eu deixo com o líder
Faça a tabela acima virar uma página com três colunas para a sua empresa: o que já obriga, o que ainda tramita, e o que o cliente cobra. Preencha a terceira primeiro, porque ela costuma ser a mais concreta e a que já está travando negócio.
E leve essa página para o conselho antes de alguém perguntar. O executivo que chega dizendo o que obriga hoje, o que está em discussão e onde a empresa tem lacuna sai da reunião com mandato. O que responde estamos monitorando sai com uma cobrança para a reunião seguinte. Para o desenho de quem responde por cada frente, PL 2338 e o uso informal de IA traz o recorte de responsabilidade interna.