O GPT-6 Astra, da OpenAI, virou nesta semana o primeiro modelo da empresa classificado como "crítico" em capacidade de cibersegurança. No Brasil, o projeto de lei que deveria regular esse tipo de risco tramita desde 2023 e ainda não tem data para virar lei.
O PL 2338/2023 foi aprovado por unanimidade no Senado em dezembro de 2024 e chegou à Câmara dos Deputados em março de 2025. Uma comissão especial, relatada pelo deputado Aguinaldo Ribeiro (PP-PB), fez 12 audiências públicas ao longo daquele ano.
O calendário previa parecer final em 19 de maio de 2026 e votação em plenário em 27 de maio. Nenhum dos dois prazos foi cumprido, e em agosto empresas que desenvolvem ou usam IA no Brasil ainda operavam sem lei específica sobre o tema.
O texto segue o modelo da União Europeia: classifica sistemas de IA por nível de risco, cria direitos de transparência e contestação para quem é afetado por decisões automatizadas, e prevê multa de até R$ 50 milhões por infração.
Talvez não seja o que o governo quer e nem o que o mercado quer. Mas é melhor alguma regulação que nenhuma.
A avaliação é do relator, deputado Aguinaldo Ribeiro. Para ele, o texto tenta equilibrar pressões do governo e do setor produtivo num tema que nenhum dos dois lados considera resolvido.
Parte do atraso vem do próprio Executivo. Em dezembro de 2025, Lula enviou ao Congresso um projeto complementar que cria o Sistema Nacional de IA (SIA) e torna a Autoridade Nacional de Proteção de Dados (ANPD) sua coordenadora.
O motivo foi jurídico: o governo identificou um "vício de iniciativa" no texto original, que atribuía competências normativas à ANPD sem partir do Executivo, risco de contestação futura.
O calendário da Câmara também travou por outra pauta. O PL da IA ficou atrelado à aprovação do Redata, incentivo fiscal a data centers, enquanto a Brasscom calcula que processar dados no Brasil custa de 20% a 30% a mais que a média internacional.
Esse imbróglio começou a se resolver: o Senado aprovou o novo texto do Redata em 1º de setembro, com isenção estimada em R$ 5,2 bilhões neste ano. Ainda não há confirmação de que isso destrava o calendário da IA na Câmara.
O interesse por infraestrutura de IA no país é concreto: o Rio de Janeiro anunciou R$ 2,8 bilhões em data centers para o Rio AI City, no Parque Olímpico.
Assine o Resumo do dia e receba de segunda a sábado, no seu e-mail, as notícias que você não pode perder.
Sem spam — você pode cancelar quando quiser.
Enquanto isso, a corrida por modelos mais avançados não espera o Congresso. O GPT-6 Astra já chegou a empresas parceiras da OpenAI e começa a liberar acesso a assinantes do ChatGPT nas próximas semanas.
O que acontece agora
Não há nova data para o parecer ou a votação do PL 2338 na Câmara. A comissão especial segue instalada, e o projeto do Executivo sobre o SIA e a ANPD também aguarda análise no Congresso.
O ponto em aberto
Entre o primeiro rascunho do PL 2338 e hoje, a capacidade dos modelos comerciais saltou de texto simples para sistemas que a própria OpenAI chama de risco crítico. Fica a pergunta se a lei chega antes do próximo salto de capacidade, ou depois.
