Marco Legal da IA (PL 2338): o que muda para quem opera IA no varejo

O Marco Legal da Inteligência Artificial, o PL 2338/23, classifica sistemas de IA por nível de risco e impõe obrigações conforme a faixa. A regra parece distante. Para quem usa scoring e biometria, ela mira direto.

O projeto foi aprovado no Senado no fim de 2024 e segue em tramitação na Câmara dos Deputados. Ainda não é lei. Mas a forma do texto já dá para ler, e ela muda decisões que estão sendo tomadas agora.

O que o projeto diz, em texto claro

O desenho é baseado em risco, no espírito do que a Europa fez. Sistemas de baixo risco seguem quase livres. Sistemas de alto risco ganham obrigações de transparência, documentação, supervisão humana e avaliação de impacto.

Para o varejo, a faixa de alto risco alcança o que já está em operação: scoring de crédito ao consumo, biometria para identificação, e parte da recomendação que afeta acesso a oferta. Quem trabalha na operação precisa saber que “usar IA” deixou de ser uma categoria só.

Os sistemas que a regra toca

Não é IA em abstrato. É sistema específico, com função específica.

• Scoring de crédito e risco no checkout, alto risco provável.
• Biometria em câmera de loja, alto risco, e já sob a LGPD hoje.
• Recomendação e precificação, a depender de como afetam o consumidor.
• Atendimento automatizado, com obrigação de informar que o cliente fala com IA.

O que muda para quem já se achava em dia

Estar em conformidade com a LGPD não cobre o Marco da IA. A diferença está em três pontos para mapear agora, antes de a regra fechar.

Primeiro, a classificação de risco de cada sistema que você opera, que ninguém ainda fez. Segundo, a documentação de como o sistema decide, exigível no alto risco. Terceiro, o ponto de supervisão humana, que muitos projetos removeram em nome da eficiência e talvez precisem recolocar.

O efeito de segunda ordem que quase todo plano ignora

A regra muda a escolha de fornecedor. A pergunta deixa de ser “o sistema funciona” e passa a ser “o fornecedor entrega a documentação e a auditabilidade que o alto risco vai exigir”.

Distinguir o que é lei do que é projeto é parte do trabalho. O PL ainda tramita; publicar decisão como se já fosse lei é erro nos dois sentidos, o de ignorar e o de exagerar. O movimento certo é mapear agora e ter o plano pronto para o dia da promulgação, sem parar a operação enquanto isso. É a mesma disciplina do EU AI Act para quem exporta.

Pensa no sistema de IA que tua operação roda e que o jurídico ainda não classificou por risco. Esse é o primeiro da fila.

Me manda a lista dos sistemas de IA que tua operação usa: scoring, biometria, recomendação, atendimento, o que for. Em uma hora te devolvo um mapa de uma página: provável faixa de risco de cada um, o que o alto risco vai exigir, e o que dá para adiantar antes da lei. Se uma frente vira projeto, o Diagnóstico de duas semanas é o próximo passo. Não damos parecer jurídico; mapeamos a operação contra a regra em formação.