PL 2338: o que muda na operação de agentes de IA da sua empresa

Seu agente de IA está em produção respondendo clientes. Jurídico pergunta: “Como você prova que ele respondeu corretamente? Que dados ele tocou? Qual a versão da base que usou? E se ele cometer um erro crítico — quem responde?”. Você olha para os logs, vê um trace de interação, mas não consegue reconstruir a cadeia inteira sem improviso.

Essa lacuna é operacional, não legal. Mas ela está virando obrigatória.

O PL 2338/2023, aprovado por unanimidade no Senado em dezembro de 2024 e agora em tramitação na Câmara, estabelece a primeira regulação brasileira de IA. Aprovado, deixa de ser sugestão de boas práticas e vira lei. E para empresas com agentes de IA em produção — ou prestes a colocar — o que muda não é apenas preenchimento de formulários. É como você registra, governa, monitora e prova a operação do seu agente todos os dias.

Ao mesmo tempo, o EU AI Act entra em vigor em 2 de agosto de 2026. Se sua empresa tem operações, clientes ou outputs na Europa, você já enfrenta essa regulação agora. O PL 2338 caminha na mesma direção. O timing é apertado: seis meses para preparação é pouco. Mais do que isso, as duas leis são complementares. Estruturar para uma é estruturar para ambas.

Este texto explica o que muda, por quê, e onde você precisa começar.

O agente que não se prova

Imagine a cena. Seu time colocou um agente de IA em produção. Ele responde clientes sobre políticas, contratos, procedimentos. Funciona. Respostas rápidas, reduz ticket, aumenta satisfação. Tudo bem até aqui.

Depois vem a pergunta que ninguém quer ouvir: “Esse agente cometeu um erro grave na resposta que deu para o cliente X. Como você prova o que ele fez, que contexto usou, qual versão da política estava vigente naquela hora, e que medidas você tomou para evitar que aconteça de novo?”

Você abre o painel. Há um log. A pergunta, a resposta, um trace de latência. Mas há buracos. Você não consegue reconstruir:

• Qual versão exata da base de políticas o agente consultou.
• Se essa versão era a aprovada ou ainda estava em rascunho.
• Quem é responsável por manter essa base.
• Se o agente estava autorizado a acessar aquele nível de detalhe.
• Que mudanças foram feitas na política entre a resposta errada e agora.

Então você liga para segurança, jurídico, compliance. Ninguém tem um relatório. Tudo vai virando investigação de memória. Algumas semanas depois você entrega uma análise de “o que provavelmente aconteceu”, mas não é prova sólida. Não é auditável.

PL 2338 quer justamente fechar esse buraco. Não com uma ferramenta mágica. Com estrutura: você precisa saber quais agentes existem, o que cada um consome, como foram aprovados, que risco representam e, crucialmente, deixar rastro de cada decisão e resposta.

PL 2338 — o que muda (em operação, não em código)

O PL 2338/2023 é o projeto que estabelece o marco legal da IA no Brasil. Aprovado por unanimidade no plenário do Senado em 10 de dezembro de 2024, seguiu para a Câmara dos Deputados, onde tramita numa comissão especial (relator: deputado Aguinaldo Ribeiro) e aguarda votação final. A votação, antes prevista para o fim de 2025, foi adiada para 2026; não há data confirmada.

O escopo é amplo: estabelece princípios de governança de IA, responsabilidade de desenvolvedores e implementadores, e obrigações de transparência, avaliação de risco e auditoria. Para agentes de IA corporativos, o que importa operacionalmente é:

Governança de risco. Você precisa identificar quais agentes representam risco (por exemplo: agente que toca dados sensíveis, agente que toma decisão com efeito financeiro, agente que interage com cliente externo). Para cada um, mitigar o risco (documentação, contexto aprovado, validação de resposta) e monitorar continuamente.

Inventário de agentes. Saber exatamente quais agentes sua empresa opera, para que servem, quem é responsável, que contexto cada um consome. Isso não é uma planilha estática. É um registro vivo, porque agentes ganham novos usos, consomem novas bases, e essas mudanças precisam estar documentadas.

Rastreabilidade. Para qualquer resposta crítica de um agente, conseguir reconstruir: qual era a pergunta, que contexto foi recuperado, que versão do contexto foi usada, quem aprovou aquela versão, qual era o escopo autorizado do agente naquela data, e qual foi a saída. Rastreabilidade é a evidência que você entrega a auditor, jurídico ou regulador.

Avaliação contínua de risco. Não é um diagnóstico que você faz uma vez e arquiva. Conforme o agente opera, o contexto muda, os usos se ampliam. Você precisa avaliar continuamente se o risco permanece mitigado ou se ele subiu.

Documentação para auditoria. Tudo isso precisa estar em relatórios que você consegue gerar rapidamente: quantos agentes existem, que risco cada um representa, como foi mitigado, que incidentes aconteceram, como foram corrigidos.

Diferente de LGPD (que regula tratamento de dados pessoais), PL 2338 regula o uso de IA em si. Você pode ter um agente LGPD-compliant (não toca dados pessoais) que viole PL 2338 (porque não tem risco mitigado, não há trilha de auditoria, não há responsável). Da mesma forma, um agente PL 2338-compliant pode violar LGPD se tocou dados pessoais sem consentimento ou segurança adequada. Complementam-se: LGPD protege dados, PL 2338 governa IA.

EU AI Act + PL 2338: convergência e timing crítico

Exatamente enquanto PL 2338 avança na Câmara, o EU AI Act entra em vigor em 2 de agosto de 2026. Para empresas que operam em ambos os mercados, ou apenas no europeu, o timing é crítico.

EU AI Act é extraterritorial. Se sua empresa responde clientes europeus, tem unidades lá, ou seus outputs de IA alcançam cidadãos da UE, você enfrenta a lei. Não importa que a sede seja no Brasil. Agente BR com resposta para cliente europeu = EU AI Act, com sanções que chegam a EUR 35 milhões ou 7% do faturamento global anual (o que for maior) para práticas proibidas, e até EUR 15 milhões ou 3% para descumprimento de regras de alto risco.

PL 2338 é nacional, mas sinaliza a mesma direção: governança estruturada, risco documentado, rastreabilidade. O padrão de preparação é semelhante. Se você está pronto para EU AI Act, está quase pronto para PL 2338. O inverso também é verdadeiro.

A oportunidade está aí: estruture uma vez, atenda os dois. Comece pelos critérios mais rigorosos (o EU AI Act é mais exigente) e você fica preparado, de quebra, para a regulação brasileira.

O que a lei exige (traduzido para operação)

PL 2338 não diz “use a ferramenta X” ou “tenha o certificado Y”. Diz: governe o risco de IA que você opera, deixe rastro e prove que você sabe o que está fazendo. Aqui está o que isso significa na prática.

Registro de agentes. Você mantém um catálogo vivo dos agentes que sua empresa opera. Para cada um: finalidade, proprietário, modelo de IA usado (ou runtime), escopo (que fontes pode acessar, que dados toca), status (piloto/produção/deprecado) e data de revisão. Isso não é estático. Conforme o agente muda de escopo ou de risco, o registro muda.

Catálogo de contexto. Cada agente consome alguma fonte de conhecimento (documentos, bases de dados, APIs, políticas). Você precisa um catálogo delas: nome da fonte, o que contém, quem é responsável, status (aprovada para produção, ainda em rascunho, obsoleta), versão, e qual agente pode acessá-la. Isso permite responder “o agente de vendas pode ver quais políticas?”.

Governança de risco. Para cada agente, especialmente os que tocam dados sensíveis ou tomam decisão com impacto (financeiro, legal, de acesso), você faz uma avaliação de risco: qual é o pior cenário (agente se alucinando e respondendo errado a cliente importante), como você reduz essa probabilidade (contexto de qualidade, validação de resposta, limite de escopo), e como você monitora continuamente para se manter confiante. Isso fica documentado.

Trilha de evidência. Quando o agente responde, deixa rastro: a pergunta, a fonte recuperada, a versão da fonte, a resposta, a hora, o usuário que fez a pergunta (se aplicável). Meses depois, você consegue reconstruir “em 15 de maio, o agente respondeu X, usou fonte Y versão 3, que foi aprovada em fevereiro”. Trilha de evidência é o que permite auditoria externa e interna.

Documentação para auditor. Você consegue gerar, numa semana, um relatório que diz: “Operamos 7 agentes em produção, 2 em piloto, classificados assim por risco, mitigados assim, monitorados assim. Incidentes: 3 em 6 meses, todos corrigidos, detalhes anexos.” Esse relatório é o que auditor, comitê de IA, ou regulador vai pedir.

Como operações defasadas saem perdendo

Se você hoje não tem essas estruturas — e a maioria das empresas não tem — há um custo. Operações defasadas enfrentam riscos crescentes conforme escalam agentes.

Impossibilidade de auditoria. Sem registro de agentes, você não consegue responder “quantos agentes operamos”. Parece simples, mas é fundamental. Se você não sabe, como governa risco? Como explica a um regulador que tudo está sob controle?

Shadow AI descontrolado. Muitos agentes são criados informalmente: um time de IA constrói, coloca em produção num canal privado, ninguém mais sabe. Se não há catálogo central e revisão periódica, esses agentes viram fantasmas na operação. Um deles toca dados sensíveis. Outro responde clientes, mas a fonte é informação velha. Risco não mitigado, não documentado.

Contexto não versionado. Uma política é atualizada. O agente deveria passar a usar versão nova, mas ninguém comunicou. Ele segue consultando versão antiga. Responde conforme regra obsoleta. Depois alguém reclama. Você investiga, descobre que a base que o agente consultava não estava versionada. Impossível saber quando mudou, de quem era a responsabilidade, ou mesmo reconstruir histórico de respostas (qual versão usou cada dia).

Custo de remediação acelerada. Quando a lei virar obrigatória e você ainda não tem estrutura, a corrida é contra o relógio. Vai precisar parar tudo para fazer inventário, catalogar fontes, gerar relatórios retroativos de auditoria. Custo 5-10× maior do que fazer de forma incremental hoje.

Sanções. PL 2338 prevê sanções de até R$50 milhões por infração grave (operação de agentes sem governança, omissão de registro, falta de rastreabilidade). A sanção vem depois, mas a exposição é desde hoje. Quanto antes você estruturar, menor o risco.

Onde a Contextfy entra: capacidade operacional para IA

Aqui está o ponto crítico: estruturar governança de agentes é diferente de ter aprovação jurídica.

Contextfy não é assessor jurídico. Não vamos assinar o atestado de conformidade nem certificar sua conformidade com PL 2338. Você precisa de assessoria jurídica real para isso.

O que a Contextfy faz é preparar a infraestrutura que torna a conformidade possível e econômica.

Contextfy governa o contexto que seus agentes consomem. Isso significa: preparar documentos e dados para que agentes os entendam (chunking, parsing, estruturação), versionar esse contexto (cada mudança fica registrada), controlar quem acessa o quê (um agente só vê fontes que foram aprovadas para ele), gerar trilha de auditoria (cada recuperação de contexto deixa rastro), e reunir tudo em um relatório que você entrega a auditor ou regulador.

No núcleo: você governa porque o contexto é estruturado, não porque adivinha.

Sem contexto governado:

• Agente recupera contexto genérico que você não sabe qual versão é.
• Você não consegue reconstruir por que respondeu X ou Y.
• Auditoria é cara e manual.
• Você fica esperando que tudo deu certo.

Com contexto governado (Contextfy + sua operação):

• Agente recupera fonte aprovada, versionada, com responsável registrado.
• Você gera relatório que prova rastreabilidade (pergunta → fonte → versão → resposta).
• Auditoria é automática (dados já estão estruturados).
• Você sabe que deu certo, porque tem a prova.

A diferença entre “esperança” e “confiança documentada”.

Para aprofundar na estratégia de governança, visite nosso guia Governança de Agentes de IA.

Checklist: o que estruturar antes de PL 2338 virar obrigatória

Você tem semanas ou poucos meses antes da votação plenária. Não precisa estar 100% pronto de noite para o dia. Mas precisa começar, porque a maioria das estruturas leva 6–12 meses para rodar direito em operação.

Aqui está o que você precisa ter:

Inventário de agentes: Liste cada agente que sua empresa opera (inclua piloto, não apenas produção). Para cada um: nome, finalidade, proprietário, runtime, status, data da última revisão. Atualize isto mensalmente.

Catálogo de contexto: Para cada fonte que seu agente pode consultar, registre: nome, conteúdo (tipo de documentos, dados, escopo), proprietário, status (rascunho, aprovado, obsoleto), versão, e histórico de mudanças.

Governança de risco: Para agentes high-risk (toca dados sensíveis, responde cliente externo, toma decisão com efeito financeiro), documente: cenários de risco, como você mitiga (contexto de qualidade? limite de escopo? validação humana?), como você monitora continuamente.

Trilha de auditoria: Configure seu sistema de agentes para registrar: pergunta, contexto recuperado, versão do contexto, resposta, hora, usuário, incidentes ou erros. Isso fica estruturado, não em logs brutos.

Processo de aprovação de fontes: Estabeleça como uma base de conhecimento sai de “rascunho” a “aprovada para produção”. Quem aprova? Com qual critério? Qual a cadência de revisão? Documento isto.

Revisão periódica: Estabeleça cadência (mensal ou trimestral) para revisar risco, fontes, escopo, e registros de auditoria. Isto mantém tudo vivo, não estático.

Isto não é projeto de seis meses se você começar agora. É estruturação incremental enquanto você segue operando agentes.

Próximos passos: ação

Se você tem um agente em produção, ou planejando colocar um em 2026, você enfrenta PL 2338 e EU AI Act como realidade regulatória, não como “o que pode acontecer”.

A boa notícia: a estrutura que a lei exige — inventário, rastreabilidade, governança de risco — é a mesma que reduz seu custo operacional, seu tempo de correção de erros, e sua confiança em escalar agentes. Não é fardo; é alicerce.

Comece aqui:

1. Mapeie o que você tem. Que agentes operam hoje? Que contexto cada um consome? Que trilha deixam? Isto é um diagnóstico simples; leva uma ou duas semanas.

2. Identifique lacunas críticas. Qual dos itens do checklist acima você não tem? Comece pelos agentes high-risk (dados sensíveis, resposta a cliente).

3. Estabeleça linha de base. Estruture o inventário e contexto básico. Isto é “semana 0” de conformidade.

4. Implante trilha de auditoria. Comece a registrar respostas de forma rastreável. Isto muda a dinâmica: você passa de “não sei” a “posso provar”.

Ninguém vai pedir permissão para você fazer isto; você é mandatário desde hoje.

Se você quer acelerar e ter um roadmap específico para seu contexto operacional, nossa sessão de diagnóstico gratuito de uma hora mapeia onde você está, o que falta, e custo de preparação. Sai com um plano que você consegue executar sem surpresa.

PL 2338 não é “quando virar lei”. É “desde agora”, porque a estrutura que permite conformidade é a mesma que remove risco e custo de operação.

Comece hoje. A lei avança mais rápido do que você pensa.

---

Nota: PL 2338 (Projeto de Lei 2338/2023) encontra-se em votação na Câmara dos Deputados em 2026. As informações acima refletem a versão conhecida em junho/julho de 2026. Consulte assessoria jurídica especializada antes de tomar decisões de conformidade. EU AI Act entra em vigor em 2 de agosto de 2026.