O relógio regulatório e o preço de manter o dado no Brasil

A cena se repete em comitê de tecnologia desde o ano passado. O piloto de IA está aprovado, o orçamento está reservado, e alguém do jurídico levanta a mão para dizer que prefere esperar a lei brasileira de inteligência artificial antes de fixar política interna. A sala concorda com alívio, porque adiar decisão com respaldo jurídico tem cara de prudência.

Em 24 de julho de 2026, essa espera já dura mais de um ano e não tem data de fim. O PL 2338/2023 foi aprovado pelo Plenário do Senado e remetido à Câmara dos Deputados em 17 de março de 2025. A Comissão Especial que o analisa foi instalada em 20 de maio de 2025 e acumula 31 reuniões, 180 convidados ouvidos e 163 proposições votadas, sem parecer final. O presidente da Câmara anunciou em 28 de maio de 2026 a intenção de votar até o fim de junho, e o prazo passou. O Congresso entrou em recesso em 18 de julho de 2026 sem que houvesse sequer relatório apresentado.

No mesmo período, a Autoridade Nacional de Proteção de Dados abriu atuação sobre inteligência artificial generativa, expediu medida preventiva contra uma plataforma global e deu cinco dias úteis de prazo, com ameaça de multa diária. Usou a lei que já está em vigor. Quem parou o relógio esperando o Congresso perdeu doze meses de organização que a norma vigente já cobrava.

A autoridade não esperou. Em janeiro de 2026 a ANPD publicou o mapa de temas prioritários de fiscalização do biênio 2026-2027 e colocou inteligência artificial e tecnologias emergentes entre os quatro temas escolhidos, ao lado de direitos dos titulares, crianças e adolescentes e tratamento pelo Poder Público. No mesmo mês, junto com o Ministério Público Federal e a Senacon, determinou ao Grupo X a correção imediata de falhas no Grok, com base na Nota Técnica nº 1/2026, prazo de cinco dias úteis e ameaça de multa diária e processo sancionador.

Para quem aprova orçamento, o que interessa nesse episódio não é o mérito do caso. É o método: a autoridade abriu atuação sobre um sistema de IA generativa usando instrumento que já existia, sem depender de lei nova, com prazo contado em dias. Qualquer plano interno que tenha como primeira linha "aguardar a regulamentação" tem um pressuposto que a prática já desmentiu.

O ponto que trava contrato de API e quase ninguém checou. Toda vez que um sistema seu envia dado pessoal para uma API de modelo hospedada fora do país, existe transferência internacional de dados, com regra própria na LGPD. A Resolução CD/ANPD nº 19/2024 organizou essa regra e deu doze meses para que os contratos passassem a conter as cláusulas-padrão contratuais da autoridade. Esse prazo venceu em 23 de agosto de 2025.

Existe um caminho mais simples que as cláusulas, chamado decisão de adequação, em que a autoridade reconhece que o país de destino oferece proteção compatível. Ele resolveria o problema por completo, e resolve para pouca gente: até hoje a única jurisdição com decisão de adequação reconhecida pela ANPD é a União Europeia, pela Resolução nº 32/2026, de 26 de janeiro de 2026. Os três fornecedores de modelo que provavelmente estão na sua fatura têm sede nos Estados Unidos, que não têm adequação.

A consequência prática é curta. Se o seu contrato de API foi assinado sem as cláusulas-padrão, ele está desalinhado com uma resolução cujo prazo venceu há quase um ano, e essa conferência custa uma reunião com o jurídico. Nenhuma decisão de arquitetura precisa ser tomada antes dela.

Uma palavra que a próxima tabela usa em toda linha: endpoint. Endpoint é o endereço a que o seu sistema se conecta para falar com o modelo. Todo fornecedor grande mantém um endereço global, que atende a requisição de onde houver capacidade no momento, e endereços regionais, que garantem o processamento dentro de uma região declarada. A escolha entre os dois tem preço de tabela, em torno de dez por cento a mais pelo regional, e é por isso que ela sai da mesa de infraestrutura e vai para a mesa que responde por conformidade.

Como separar texto legal de opinião de consultoria numa mesma página

Material de fornecedor e de escritório costuma misturar os dois registros no mesmo parágrafo, e a mistura é o que produz decisão errada em comitê. A regra de leitura é simples e você pode aplicar em trinta segundos.

• Texto legal tem número, órgão emissor e data de publicação. Resolução CD/ANPD nº 19/2024, Resolução nº 32/2026, artigo 33 da LGPD, artigo 50 do AI Act. Você consegue abrir a página oficial e ler a frase original.
• Análise interpreta o texto legal e diz o que ele significa para o seu caso. É útil, é legítima, e é a opinião de quem assina. Ela pode estar errada sem que ninguém tenha mentido.
• Alegação de mercado afirma comportamento de terceiros, tendência ou risco médio. Sem organização, data e amostra, não entra em decisão.

Quando o material não permite fazer essa separação, ele ainda serve para começar a conversa e não serve para fundamentar a aprovação. Peça a norma citada com número e data antes de assinar qualquer coisa.