PL 2338 não virou lei: o que já vale para publicar com IA

Em 2 de setembro de 2026, a última movimentação do PL 2338/2023 na Câmara dos Deputados foi a apensação de mais um projeto, e a situação oficial seguia como aguardando parecer do relator na comissão especial. Quem publica conteúdo com IA no Brasil e espera esse projeto virar lei para agir já responde, hoje, a três regras principais em vigor: o guia do Conar, a LGPD e as normas eleitorais do TSE. Na borda, um processo no Cade e duas leis penais completam o mapa. Este editorial mostra cada uma, com data e texto, e o que eu faço com elas.

A tese vai incomodar quem montou o plano de compliance em torno de uma lei futura: o risco jurídico de publicar com IA no Brasil já existe, tem nome e tem número de página. A ausência do marco legal serve de desculpa para o comitê, mas não apaga deveres já vigentes. Perante o Conselho de Ética do Conar, a discussão recai sobre diligência e indução a erro; perante a Autoridade Nacional de Proteção de Dados, sobre base legal, finalidade e necessidade. Eu prefiro tratar o PL 2338 como item de monitoramento trimestral e gastar o tempo da equipe nas regras que já cobram diligência.

Para atravessar o argumento uso um caso hipotético, que chamo de Fintech Hipotética. É uma empresa de serviços financeiros de porte médio: publica 40 artigos por mês redigidos com IA, contrata seis influenciadores por trimestre e personaliza conteúdo a partir de dados de clientes. Todos os números desse caso são inventados para o exercício e serão marcados como tais. No fechamento, a mesma empresa aparece com o inventário feito e três decisões tomadas.

O PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e chegou à Câmara em 17 de março de 2025. Em 2 de setembro de 2026, continuava na comissão especial criada em abril de 2025, sem parecer apresentado. A ficha de tramitação da Câmara registra a situação como aguardando parecer do relator na comissão especial, 37 proposições apensadas e zero pareceres, substitutivos ou votos no histórico.

As ações registradas entre 20 de julho e 2 de setembro de 2026 são apensações de outros projetos, entre eles o PL 3060/2026, incorporado em 1º de setembro. Nenhuma votação, nenhum calendário publicado, nenhum texto final. O projeto do Executivo que institui o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial, o PL 6237/2025, também está apensado e espera o mesmo relator. O regime é de prioridade e a matéria vai a plenário: mesmo depois do parecer, ainda haverá votação na comissão, votação em plenário e, se houver alteração, retorno ao Senado.

O texto aprovado pelo Senado adota classificação por grau de risco, com categorias de risco excessivo e alto risco, em aproximação parcial ao regulamento europeu de IA, sem identidade normativa com ele. O substitutivo de dezembro de 2024 prevê multa de até R$ 50 milhões por infração. Esse valor pode mudar na Câmara e eu o trato como referência de dimensão, nunca como regra. O impasse que mais trava o parecer, segundo a cobertura de imprensa do primeiro semestre de 2026, é o capítulo de direitos autorais para treinamento de modelos. Tratei do tema em perguntas frequentes sobre direitos autorais em IA, e ele continua sem resposta legislativa.

Na Fintech Hipotética, o comitê de risco tinha na pauta de julho um item chamado adequação ao marco legal da IA, com orçamento reservado e data de entrega vinculada à sanção. Esse item é o que eu aposentaria primeiro. O que existe para adequar é o guia do Conar, a LGPD e a norma eleitoral, e é sobre eles que vale gastar o segundo semestre.

O Guia de Marketing e Publicidade por Influenciadores Digitais 2026 do Conar foi aprovado em 11 de maio e produz efeitos desde 1º de junho de 2026. No contexto da publicidade por influenciadores, ele aplica o Código Brasileiro de Autorregulamentação Publicitária a conteúdo gerado, editado ou segmentado por IA. O item 1.3.1 diz que influenciadores, anunciantes, agências e as demais partes da cadeia permanecem responsáveis pelo resultado e pelo conteúdo divulgado.

Abri o PDF de 27 páginas vinculado na página de guias do Conar para ler a redação exata, porque a distância entre o que o guia diz e o que se repete por aí é grande. O item 1.3.1 exige medidas de diligência na utilização de cada ferramenta, com a compreensão de suas limitações técnicas e riscos de distorção. Exige também que o anúncio não contenha informações, simulações, endossos ou testemunhais que possam induzir o consumidor a erro. A nota de rodapé seis pesa tanto quanto: o guia declara que não cria deveres novos sobre conteúdo gerado por IA e que não trata de avisos de uso da técnica. Quem afirma que o Conar passou a exigir rótulo de IA em toda peça está lendo um documento que não existe.

Duas consequências práticas saem daí. A primeira é de natureza: trata-se de autorregulação do setor publicitário, com sanções éticas do Conselho de Ética (advertência, recomendação de alteração ou de sustação da peça), sem prejuízo do Código de Defesa do Consumidor e das demais leis. A segunda é de escopo: o guia fala de publicidade, e um artigo institucional redigido com IA só cai nele se tiver natureza publicitária. Um post de influenciador com produto da marca gerado por IA cai por inteiro, e a marca responde junto. O mecanismo de erro que o guia quer evitar é o que descrevi em a máquina te dá razão, e isso é um problema: a ferramenta confirma o que o briefing pediu, inclusive um atributo que o produto não tem.

Na Fintech Hipotética, dos seis influenciadores contratados por trimestre no cenário, quatro entregam roteiro gerado por IA a partir do briefing da marca, e ninguém na empresa guarda a versão revisada com a data da revisão. Se um desses roteiros disser que o cartão da fintech não cobra anuidade em nenhuma hipótese, e a hipótese existir, a responsabilidade pela peça alcança a marca pela redação do item 1.3.1, independentemente de quem apertou o botão de gerar.

A Lei 13.709/2018, a LGPD, está em vigor desde 2020 e alcança qualquer dado pessoal que entre em prompt, base de treinamento, personalização ou segmentação de conteúdo. A Autoridade Nacional de Proteção de Dados, a ANPD, publicou em 2 de julho de 2026 o primeiro relatório parcial do sandbox regulatório de IA. O projeto de IA segue na agenda regulatória 2025-2026, com foco no artigo 20 da lei, que trata da revisão de decisões automatizadas.

O que muda para quem publica com IA está nos princípios e requisitos da própria LGPD: finalidade, adequação, necessidade, transparência e base legal para cada tratamento. Colar a lista de clientes num prompt para gerar variações de e-mail é tratamento de dados pessoais, com controlador (a empresa) e operador (o fornecedor do modelo), e exige a mesma base legal que o disparo de e-mail exigiria. O Radar Tecnológico nº 3 da ANPD, de novembro de 2024, já apontava os pontos de atrito da IA generativa com a lei: coleta por raspagem, conteúdos sintéticos, transparência e o princípio da necessidade. O documento é orientativo, e por isso mesmo serve de régua quando a fiscalização vier.

Sobre o sandbox, a leitura correta é a mais fria. O relatório parcial da ANPD mostra três empresas selecionadas pelo Edital nº 2/2025 (Metatext, Synapse AI e Prevvine Tecnologia), testagem iniciada em março de 2026 e uma primeira fase dedicada a estruturar ambientes. Participar do sandbox, ou citá-lo em política interna, não suspende nenhum artigo da LGPD para ninguém, participante incluído. Quem usa o piloto como sinal de tolerância regulatória está trocando um programa de aprendizado da autoridade por uma licença que ela nunca emitiu. As perguntas sobre responsabilidade civil e prova nesse cenário estão no FAQ jurídico sobre IA que alucina sobre a marca, LGPD e YMYL.

Na Fintech Hipotética, o time de conteúdo alimentava, no cenário, um assistente de redação com o histórico de transações de 1.200 clientes para gerar exemplos realistas nos artigos. Nenhuma base legal registrada, nenhum registro de operações de tratamento atualizado com essa finalidade, nenhum contrato de operador com o fornecedor do modelo. O sandbox da ANPD não muda uma vírgula dessa situação; o inventário de dados muda.

Três frentes fora da publicidade e dos dados também já alcançam conteúdo gerado por IA. Em julgamento de 1º de setembro de 2026, o TSE adotou uma definição de deepfake para as eleições de outubro; o Cade instrui um processo sobre Google, IA generativa e uso de conteúdo jornalístico; a Lei 15.123, de 24 de abril de 2025, aumenta a pena de violência psicológica contra a mulher quando o crime usa IA para alterar imagem ou som da vítima.

A decisão do TSE tem valor direto para comunicação corporativa em ano eleitoral. O caso era a ação do PT contra o vídeo de Jair Bolsonaro gerado por IA e exibido na convenção do PL. O tribunal rejeitou a ação por maioria de votos, por entender que exibição em convenção partidária não configura propaganda eleitoral irregular. No mesmo julgamento, o tribunal definiu deepfake como conteúdo produzido por IA com grau de realidade capaz de alterar imagem e voz de pessoa viva, falecida ou fictícia. A definição e a nota de que o entendimento deve ser aplicado a processos semelhantes em tramitação constam da cobertura da Agência Brasil de 1º de setembro de 2026. A vedação incide quando o conteúdo se caracteriza como propaganda eleitoral, sob a Resolução 23.610/2019 e suas atualizações. A leitura aqui parte da cobertura jornalística do julgamento, e a política interna precisa ser revista quando o acórdão for publicado. A obrigação legal é essa. A minha política de risco, mais conservadora que a obrigação, é evitar peça sintética com pessoa real ligada a candidatura entre setembro e outubro e manter registro de origem para toda imagem ou voz sintética publicada.

No Cade, o processo 08700.003498/2019-03, que envolve Google e jornalismo, voltou à Superintendência-Geral em abril de 2026 para aprofundar a instrução sobre IA generativa e AI Overviews. O que está sob apuração é o uso de conteúdo jornalístico em respostas de IA sem remuneração, como possível abuso de posição dominante. Migalhas registrou em 14 de julho de 2026 a defesa do Google pedindo arquivamento; o UOL, republicando o Estadão em 13 de agosto, registrou a negativa de oitivas de testemunhas em 11 de agosto. Não há decisão de mérito até 3 de setembro. O tema é de monetização, não de compliance de publicação, e entra aqui por um motivo: os 40 artigos mensais da Fintech Hipotética existem para virar fonte citada por IA, e o processo pode influenciar a discussão sobre remuneração e uso desse tipo de conteúdo. Pode também terminar em arquivamento ou em remédio estreito. A Lei 15.123/2025 é penal e específica, altera o artigo 147-B do Código Penal e foi a primeira lei federal a nomear o uso de IA como causa de aumento de pena. Deixou de ser a única: a Lei 15.487, de 6 de agosto de 2026, trata de violência sexual contra criança e adolescente, inclusive no ambiente digital e com uso de IA, segundo a própria ementa.

Tabela: natureza e vigência conforme ficha da Câmara (2/9/2026), PDF do guia do Conar (maio de 2026), Planalto (LGPD, Lei 15.123 e Lei 15.487) e Agência Brasil (1/9/2026).

A minha operação trata a ausência do marco legal como prazo extra para construir a trilha de proveniência. O guia do Conar e a LGPD são os dois textos que qualquer peça precisa atravessar antes de ir ao ar. O que eu recuso é decisão de conteúdo tomada com base em lei que ainda não existe, seja para relaxar, seja para travar.

Os sete itens abaixo são o que eu exijo em qualquer operação editorial que use IA, no site da Brasil GEO e nos portais que assessoro. Cada um tem o como e o porquê, e nenhum depende do PL 2338.

1. Registro de proveniência por peça. Como: para cada texto, imagem ou áudio publicado, guardar modelo usado, data, prompt de origem e nome de quem revisou. Por quê: o item 1.3.1 do guia do Conar cobra diligência com a ferramenta, e diligência sem registro é palavra contra palavra.
2. Revisão humana documentada em toda peça de natureza publicitária. Como: assinatura e data no arquivo final, com a lista de atributos de produto conferidos contra a ficha técnica. Por quê: a responsabilidade da cadeia recai sobre o resultado divulgado, e o erro que mais aparece é atributo de produto inventado pela ferramenta.
3. Inventário de dados pessoais que entram em prompt. Como: listar, por equipe, quais campos de cliente já foram colados em assistentes de IA nos últimos 90 dias e com que finalidade. Por quê: a LGPD exige base legal por tratamento, e o que não está inventariado não tem base.
4. Contrato de operador com o fornecedor do modelo. Como: verificar, no plano contratado, retenção de dados, uso para treinamento e local de armazenamento; migrar para plano empresarial quando o consumo for de dados de cliente. Por quê: sem contrato ou cláusulas adequadas, o controlador fica mais exposto e tem mais dificuldade de demonstrar governança, instruções ao operador e limites de uso dos dados.
5. Política de imagem e voz sintética de pessoas reais. Como: proibir por padrão; permitir só com autorização escrita e rótulo visível. Por quê: o julgamento do TSE de 1º de setembro e as Leis 15.123/2025 e 15.487/2026 atingem esse tipo de peça antes de qualquer marco geral.
6. Protocolo de correção de fato antes da publicação. Como: toda afirmação numérica ou de atributo passa por fonte primária nomeada, no molde que descrevi em como reduzir alucinações de IA sobre a sua empresa em cinco camadas. Por quê: indução a erro é o critério do Conar, e a alucinação sobre o próprio produto é a forma mais barata de cometê-la.
7. Monitoramento trimestral do PL 2338 e da agenda da ANPD. Como: uma pessoa abre a ficha da Câmara e a agenda regulatória da ANPD a cada trimestre e registra a data da consulta na política interna. Por quê: o texto pode mudar na Câmara, e a política precisa dizer a partir de qual leitura ela foi escrita.

Se você cuida de jurídico, compliance ou comunicação, liste em uma tarde as peças publicadas com IA nos últimos 90 dias e marque quais têm revisão humana registrada com data. Envie a lista pelo formulário de contato. Em cinco dias úteis eu devolvo, sem custo, quais dessas peças ficam expostas pelo item 1.3.1 do guia do Conar e pelo inventário de dados da LGPD, e a lista fica com você mesmo que a conversa termine ali.

No caso hipotético que abriu este editorial, a empresa passou de um plano de compliance ancorado numa lei inexistente para três decisões executáveis em um trimestre: registro de proveniência nas 40 peças mensais, revisão documentada nos roteiros dos seis influenciadores e inventário com base legal para os dados de 1.200 clientes que entravam nos prompts. Os números continuam inventados; o roteiro é o mesmo que eu aplico em operação real.

O item adequação ao marco legal da IA saiu da pauta do comitê e virou uma linha de monitoramento com data de consulta. O guia do Conar, que a empresa desconhecia em julho, passou a ser o documento anexado a todo contrato de influenciador. O sandbox da ANPD deixou de aparecer em apresentação interna como sinal de tolerância. A situação da ficha da Câmara em 2 de setembro de 2026 é a mesma de julho, aguardando parecer; a situação da empresa, no cenário, mudou porque parou de esperar por ela.

Quando o PL 2338 for votado, e ele vai ser em algum momento, quem tiver feito esse inventário vai precisar ajustar classificação de risco e documentação de governança sobre uma base que já existe. Quem esperou vai começar do zero com prazo de adequação correndo. A diferença entre os dois cenários se decide agora, com as regras que já estão em vigor.

• Ficha de tramitação do PL 2338/2023, Câmara dos Deputados, consultada em 2 de setembro de 2026 (situação: aguardando parecer do relator na comissão especial; última ação em 2/9/2026).
• Guia de Marketing e Publicidade por Influenciadores Digitais 2026, Conar, aprovado em 11/5/2026, divulgado em maio de 2026, efeitos a partir de 1º/6/2026. PDF do guia (27 páginas; item 1.3.1 na página 10 e nota de rodapé 6), baixado e lido em 3/9/2026.
• Publicados primeiros resultados do sandbox regulatório em inteligência artificial, ANPD, 2 de julho de 2026.
• Radar Tecnológico nº 3: inteligência artificial generativa, ANPD, 29 de novembro de 2024.
• Lei nº 13.709/2018 (LGPD), Planalto, 14 de agosto de 2018.
• Lei nº 15.123/2025, Planalto, 24 de abril de 2025.
• TSE rejeita ação para derrubar imagem de Bolsonaro feita por IA, Agência Brasil, 1º de setembro de 2026.
• Lei nº 15.487/2026, Planalto, 6 de agosto de 2026 (violência sexual contra criança e adolescente, inclusive com uso de IA).
• Processo 08700.003498/2019-03 do Cade (Google, IA generativa e conteúdo jornalístico): Migalhas, 14/7/2026 (defesa do Google e pedido de arquivamento); UOL/Tilt republicando o Estadão, 13/8/2026 (negativa de oitivas de testemunhas pela Superintendência-Geral em 11/8/2026). Fontes secundárias; sem decisão de mérito até 3/9/2026.
• PL 2338/2023 no Senado Federal, substitutivo aprovado em plenário em 10 de dezembro de 2024 (classificação por risco; multa de até R$ 50 milhões por infração); valor sujeito a alteração na Câmara.