O debate brasileiro sobre inteligência artificial costuma ser apresentado como uma escolha entre regular ou inovar, proteger direitos ou ganhar competitividade, criar regras rígidas ou adotar um modelo flexível. Essa oposição esconde uma pergunta mais concreta: quem terá condições de verificar se os sistemas cumprem aquilo que empresas e órgãos públicos afirmam que eles fazem? Sem capacidade de teste, uma lei pode definir princípios corretos e, ainda assim, produzir fiscalização frágil.
O projeto de lei 2.338/2023, aprovado pelo Senado e hoje aguardando parecer do relator na comissão especial da Câmara, organiza a regulação em torno de riscos, direitos, deveres de governança e supervisão. Esse desenho é importante. Mas verbos como avaliar, mitigar, monitorar e auditar não se executam sozinhos. Eles exigem protocolos, equipes, dados, infraestrutura computacional e autoridade para solicitar evidências. Caso contrário, o Estado ficará dependente de relatórios produzidos pelos próprios fornecedores que pretende fiscalizar.
A adoção já avança mais depressa que essa capacidade institucional. O próprio Governo Digital informa, com dados de 2025, a existência de 182 soluções de IA em operação no Executivo federal, 144 órgãos planejando adotar assistentes e apenas 41 com diretrizes de IA definidas. Há iniciativas promissoras: o Ministério da Gestão disponibilizou uma estrutura de autoavaliação de impacto ético; a Autoridade Nacional de Proteção de Dados levou seu sandbox regulatório à fase de testagem supervisionada; e o Plano Brasileiro de Inteligência Artificial prevê metodologias de avaliação de risco, um Centro Nacional de Transparência Algorítmica e o fortalecimento do Observatório Brasileiro de Inteligência Artificial. O problema não é a ausência completa de ação, mas a falta de um sistema nacional integrado, permanente e independente de avaliação.
Avaliar IA não significa aplicar uma prova única e emitir um selo definitivo. Um sistema pode obter bom resultado em um teste padronizado e falhar quando encontra linguagem regional, documentos incompletos, pessoas com deficiência, mudanças de contexto ou tentativas deliberadas de manipulação. Também pode mudar depois de uma atualização feita pelo fornecedor. A avaliação precisa combinar testes anteriores à implantação com monitoramento contínuo, levando em conta precisão, robustez, vieses, segurança, privacidade, acessibilidade, rastreabilidade, possibilidade de contestação e custo dos erros.
Essa exigência se torna ainda mais urgente com a passagem dos chatbots para agentes capazes de executar ações. Quando um sistema apenas redige uma resposta, o erro ainda pode ser percebido antes de produzir efeitos. Quando ele faz um pagamento, prioriza uma fiscalização, encaminha uma denúncia, recomenda a negação de um benefício ou movimenta dados entre sistemas, a falha deixa de ser apenas textual e vira ato. A regulação do futuro precisará testar não só o que a máquina diz, mas o que ela pode fazer, dentro de quais limites de autorização, com quais registros e com que mecanismo de reversão.
O primeiro passo deveria ser criar uma rede nacional de avaliação de sistemas de IA. Ela não precisaria ser um órgão único e centralizador. Poderia articular universidades públicas, institutos de pesquisa, autoridades setoriais, órgãos de controle e laboratórios acreditados, com protocolos comuns e divisão de competências. Saúde, educação, crédito, justiça, segurança pública e benefícios sociais exigem testes diferentes. A coordenação nacional serviria para compartilhar infraestrutura, formar equipes, manter conjuntos de testes em português e evitar que cada órgão reinvente sozinho critérios básicos.
O segundo passo é transformar a compra pública em uma porta de entrada para evidências. Nenhum sistema de alto impacto deveria ser contratado apenas com base em demonstrações comerciais ou promessas de eficiência. Editais e contratos podem exigir documentação técnica, resultados de testes independentes, registro de versões, aviso prévio de atualizações, trilhas de auditoria, comunicação de incidentes, mecanismos de interrupção e condições de saída que evitem dependência excessiva do fornecedor. O Estado não precisa conhecer todos os segredos industriais, mas precisa ter acesso suficiente para verificar desempenho, risco e responsabilidade.
O terceiro passo é instituir um registro nacional de incidentes de IA, com graus de severidade e regras de publicidade proporcionais. Falhas graves precisam ser comunicadas rapidamente às autoridades e às pessoas afetadas. Dados agregados sobre erros, setores, causas e correções devem alimentar políticas públicas e novos testes, preservando dados pessoais e segredos legítimos. Sem memória institucional, cada órgão aprende sozinho e o país repete o mesmo erro em diferentes sistemas.
O quarto passo é financiar competência pública. Avaliação de IA exige equipes que reúnam matemática, estatística, segurança cibernética, conhecimento do setor, direito e ciências sociais. Não pode ser uma tarefa eventual atribuída a servidores que já acumulam outras funções. Uma parcela identificável dos investimentos nacionais em inteligência artificial deve sustentar laboratórios, bolsas, infraestrutura de testes e carreiras técnicas capazes de acompanhar sistemas que mudam em ciclos muito mais rápidos que os processos tradicionais do Estado.
Também é preciso tornar os resultados suficientemente públicos. Sigilo empresarial e proteção de dados são legítimos, mas não podem transformar a avaliação em uma nova caixa-preta. Metodologias, limitações conhecidas, faixas de desempenho e medidas corretivas devem ser divulgadas de forma compreensível, sobretudo quando uma tecnologia influencia direitos. Quem é afetado por uma decisão automatizada precisa saber que houve uso de IA, entender como contestar o resultado e ter acesso à revisão humana efetiva.
Essas medidas não precisam sufocar pequenas empresas. Ao contrário, laboratórios públicos, protocolos abertos e ferramentas compartilhadas podem reduzir o custo de conformidade para startups e tornar mais claro o caminho para quem desenvolve soluções responsáveis. A proporcionalidade deve considerar o risco e a escala do uso, não apenas o tamanho da empresa. Uma aplicação experimental de baixo impacto não pode receber o mesmo tratamento de um sistema que influencia acesso a saúde, renda, liberdade ou educação.
O Congresso tem a oportunidade de vincular a futura lei a uma capacidade estatal verificável. A norma deve exigir avaliação antes do uso, monitoramento depois da implantação, comunicação de incidentes, acesso a registros e revisão periódica dos métodos. Ao mesmo tempo, não deve congelar em lei uma lista de testes de referência que ficará obsoleta. Os protocolos técnicos precisam evoluir por regulamentação, sob coordenação pública, participação social e supervisão setorial.
Soberania tecnológica não é apenas treinar um modelo nacional ou instalar mais capacidade computacional. É conseguir responder, com evidência, se um sistema funciona no Brasil, para quais pessoas, em quais condições, com que margem de erro e o que acontece quando ele falha. O país não precisa testar tudo do zero, mas não pode terceirizar integralmente o julgamento sobre tecnologias que passam a mediar direitos e decisões públicas. Regular sem medir é legislar no escuro. Construir capacidade de avaliação é acender a luz antes que a próxima geração de sistemas comece a agir em nosso nome.
O texto acima expressa a visão de quem o assina, não necessariamente do Congresso em Foco. Se você quer publicar algo sobre o mesmo tema, mas com um diferente ponto de vista, envie sua sugestão de texto para redacao@congressoemfoco.com.br.