O Marco Legal da IA ainda não é lei, mas a ANPD já fiscaliza e o setor público está no centro do escopo de alto risco. Veja os 5 pontos que todo gestor deve exigir de um fornecedor antes de contratar.
Setor Público · 9 set 2026 · 6 min · por Time Técnico Sauter
O Marco Legal da Inteligência Artificial ainda não é lei, mas já deveria orientar toda contratação de IA no setor público. O projeto classifica boa parte dos usos governamentais como de alto risco, e a autoridade que vai fiscalizar já está ativa. Para o gestor público, esperar a votação para se preparar é o caminho mais arriscado.
Este texto resume o que está em jogo e, mais importante, o que um órgão deve exigir de qualquer fornecedor de IA desde já, independentemente da data em que a lei for aprovada.
O Marco Legal da IA é o Projeto de Lei 2338/2023. Foi aprovado por unanimidade no Senado em dezembro de 2024 e, em 2026, tramita na Câmara dos Deputados, sob análise de uma Comissão Especial, aguardando o parecer do relator antes da votação final. A liderança da Câmara sinalizou intenção de votar o tema ainda em 2026, mas o calendário é incerto, sobretudo em ano eleitoral. Se a Câmara alterar o texto de forma relevante, ele volta ao Senado.
A leitura prática é simples: a lei não está em vigor, mas está perto o bastante para que nenhuma decisão de contratação séria a ignore. (Como esse cenário muda mês a mês, vale confirmar o status na data da sua decisão.)
Há um equívoco comum de tratar o Marco Legal como uma preocupação futura. Dois fatos desfazem isso.
O primeiro é que a Autoridade Nacional de Proteção de Dados, a ANPD, já colocou inteligência artificial entre seus eixos prioritários de fiscalização para o biênio 2026-2027 e já opera um sandbox regulatório para IA. Na prática, ela já regula o uso de IA com dados pessoais, apoiada na LGPD, antes mesmo da lei específica. Adequação à LGPD, portanto, não é etapa preparatória; é obrigação corrente.
O segundo é que o setor público está no centro do escopo de alto risco. Sistemas que apoiam decisões de governo, serviços essenciais e atividades da administração da justiça tendem a cair na categoria de maior exigência regulatória. Ou seja, justamente os usos mais valiosos de IA no governo são os que virão acompanhados de mais obrigações.
O projeto segue a lógica do modelo europeu e organiza os sistemas por nível de risco. Em linhas gerais, há três faixas.
Risco excessivo ou inaceitável, com usos proibidos. Alto risco, que reúne aplicações sensíveis, como apoio a decisões públicas, e concentra as obrigações mais pesadas. E risco baixo ou moderado, com exigências proporcionalmente menores.
A consequência para o gestor é direta: quanto mais estratégico o uso da IA no órgão, maior a probabilidade de ele ser de alto risco, e maior a necessidade de governança desde o desenho do projeto.
Para sistemas de alto risco, o que está em discussão não é uma formalidade. São requisitos estruturais que precisam existir na arquitetura da solução, não serem acrescentados depois.
Entre eles estão transparência sobre o uso de IA, direito do cidadão à explicação e à contestação de decisões automatizadas, rastreabilidade das informações que alimentaram cada resposta, possibilidade de auditoria e responsabilização humana clara. O projeto também prevê uma estrutura de governança, com a ANPD em papel central e instâncias setoriais, além de sanções que podem chegar a R$ 50 milhões por infração.
O Brasil não parte do zero nesse tema. O Conselho Nacional de Justiça é citado internacionalmente como referência por ter estabelecido, antes da lei geral, regras próprias de transparência, rastreabilidade e auditoria para o uso de IA em atividades sensíveis. É um sinal claro de que governança algorítmica no setor público não é opcional.
A melhor forma de se preparar não é esperar a lei; é contratar, desde já, soluções que já nasçam aderentes a ela. Na prática, isso significa cobrar do fornecedor cinco pontos.
É exatamente nesse ponto que a abordagem da Sauter se encaixa. A família de modelos Claude, da Anthropic, é construída sobre princípios explícitos de conformidade e usada pelos três poderes do governo dos EUA, o que sustenta rastreabilidade e controle. O Plexy AI Gov permite criar e gerir agentes com governança e segurança, e pode ser contratado direto pelo marketplace da AWS, com créditos de nuvem. E o modelo de engenharia embarcada leva a solução até a produção dentro do órgão, deixando autonomia à equipe.
A leitura do Marco Legal como obstáculo à inovação erra o alvo. Para o setor público, a governança é o que torna possível escalar IA com previsibilidade, segurança jurídica e confiança do cidadão. Sem ela, cada novo uso de IA vira um risco regulatório e reputacional; com ela, o órgão avança sabendo onde pisa.
O melhor momento para alinhar sua estratégia de IA ao Marco Legal é antes da próxima contratação. Conheça as soluções da Sauter para o setor público ou agende uma conversa de diagnóstico com nossos especialistas.
O Marco Legal da IA já está em vigor? Não. O Projeto de Lei 2338/2023 foi aprovado no Senado em 2024 e tramita na Câmara dos Deputados em 2026, aguardando votação final. Como não é lei ainda, o texto pode mudar, mas já orienta boas práticas de contratação.
O que muda para o setor público com o Marco Legal da IA? Usos de IA na administração pública e em serviços essenciais tendem a ser classificados como de alto risco, com obrigações de transparência, explicação de decisões, rastreabilidade, auditoria e responsabilização humana.
Preciso esperar a lei para me adequar? Não. A ANPD já fiscaliza o uso de IA com dados pessoais com base na LGPD e colocou IA entre suas prioridades para 2026-2027. A adequação à LGPD é uma obrigação corrente, não futura.
O que é a classificação por risco? É a lógica do projeto, inspirada no modelo europeu, que separa os sistemas em risco excessivo (proibido), alto risco (mais obrigações) e risco baixo ou moderado. Quanto mais sensível o uso, maior a exigência.
O que devo exigir de um fornecedor de IA para o setor público? Rastreabilidade das respostas, isolamento de dados e conformidade com a LGPD, explicabilidade das decisões, governança dos agentes e entrega em produção com capacitação da equipe interna.
Este tema está dentro do nosso pilar de Cibersegurança e PAM. Veja como ficou na prática: Malwee, com redução de mais de 60% no esforço de gestão de backup.
Somos Google Cloud Premier Partner, Partner of the Year em 2023 e 2024, e a primeira parceira oficial da Anthropic no Brasil. Fale com um especialista.
Escrito pelo Time Técnico da Sauter.
Brazil's AI Legal Framework isn't law yet, but it should already guide every AI procurement in the public sector. The bill classifies much of government AI use as high-risk, and the authority that will enforce it is already active. For public sector managers, waiting for the vote before preparing is the riskiest path.
This piece summarizes what's at stake and, more importantly, what an agency should demand from any AI vendor right now, regardless of when the law is passed.
The AI Legal Framework is Bill 2338/2023. It was unanimously approved by the Senate in December 2024 and, in 2026, is moving through the Chamber of Deputies, under review by a Special Committee, awaiting the rapporteur's opinion before the final vote. The Chamber's leadership has signaled intent to vote on the matter still in 2026, but the timeline is uncertain, especially in an election year. If the Chamber makes relevant changes to the text, it goes back to the Senate.
The practical reading is simple: the law isn't in force, but it's close enough that no serious procurement decision should ignore it. (Since this scenario shifts month to month, it's worth confirming the status on the date of your decision.)
There's a common mistake of treating the Legal Framework as a future concern. Two facts undo that.
The first is that Brazil's National Data Protection Authority, the ANPD, has already placed artificial intelligence among its priority enforcement areas for the 2026-2027 biennium and already operates a regulatory sandbox for AI. In practice, it already regulates AI use involving personal data, backed by the LGPD, even before the specific law exists. LGPD compliance, therefore, isn't a preparatory step; it's a current obligation.
The second is that the public sector sits at the center of the high-risk scope. Systems that support government decisions, essential services and judicial administration activities tend to fall into the category with the heaviest regulatory requirements. In other words, precisely the most valuable AI uses in government are the ones that will come with the most obligations.
The bill follows the logic of the European model and organizes systems by risk level. Broadly, there are three tiers.
Excessive or unacceptable risk, with prohibited uses. High risk, which gathers sensitive applications, such as support for public decisions, and concentrates the heaviest obligations. And low or moderate risk, with proportionally lighter requirements.
The consequence for the manager is direct: the more strategic the AI use within the agency, the higher the probability it falls under high risk, and the greater the need for governance from the project's design stage onward.
For high-risk systems, what's under discussion isn't a formality. These are structural requirements that need to exist in the solution's architecture, not be bolted on afterward.
Among them are transparency about AI use, the citizen's right to an explanation and to contest automated decisions, traceability of the information that fed each response, the possibility of audit, and clear human accountability. The bill also foresees a governance structure, with the ANPD in a central role alongside sector-specific bodies, plus penalties that can reach R$50 million per infraction.
Brazil isn't starting from zero on this front. The National Council of Justice is cited internationally as a reference for having established, ahead of the general law, its own rules for transparency, traceability and auditing of AI use in sensitive activities. It's a clear signal that algorithmic governance in the public sector isn't optional.
The best way to prepare isn't to wait for the law; it's to procure, right now, solutions that are already built to comply with it. In practice, that means requiring five things from the vendor.
This is exactly where Sauter's approach fits in. Anthropic's Claude model family is built on explicit compliance principles and used across the three branches of the U.S. government, which underpins traceability and control. Plexy AI Gov lets you create and manage agents with governance and security, and can be procured directly through the AWS marketplace, with cloud credits. And the embedded engineering model takes the solution all the way to production inside the agency, leaving the team with autonomy.
Reading the Legal Framework as an obstacle to innovation misses the point. For the public sector, governance is what makes it possible to scale AI with predictability, legal certainty and citizen trust. Without it, every new AI use becomes a regulatory and reputational risk; with it, the agency moves forward knowing where it stands.
The best time to align your AI strategy with the Legal Framework is before your next procurement. Learn about Sauter's solutions for the public sector or schedule a diagnostic conversation with our specialists.
Is the AI Legal Framework already in force? No. Bill 2338/2023 was approved by the Senate in 2024 and is moving through the Chamber of Deputies in 2026, awaiting a final vote. Since it isn't law yet, the text may change, but it already guides good procurement practices.
What changes for the public sector with the AI Legal Framework? AI uses in public administration and essential services tend to be classified as high-risk, with obligations around transparency, explanation of decisions, traceability, auditing and human accountability.
Do I need to wait for the law to comply? No. The ANPD already enforces AI use involving personal data based on the LGPD and placed AI among its priorities for 2026-2027. LGPD compliance is a current obligation, not a future one.
What is risk-based classification? It's the bill's logic, inspired by the European model, which separates systems into excessive risk (prohibited), high risk (more obligations), and low or moderate risk. The more sensitive the use, the higher the requirement.
What should I demand from an AI vendor for the public sector? Traceability of responses, data isolation and LGPD compliance, explainability of decisions, agent governance, and production delivery with internal team training.
This topic sits inside our Cybersecurity and PAM practice. See how it played out in production at Malwee, with over 60% reduction in backup management effort.
Google Cloud Premier Partner, Partner of the Year 2023 and 2024, and the first official Anthropic partner in Brazil. Talk to a specialist.
Written by Sauter's Technical Team.