Auditoria preventiva de IA saiu de texto aprovado em comissão; entenda a mudança

A proposta de obrigar empresas e órgãos públicos a submeter determinados sistemas de inteligência artificial a auditorias preventivas foi retirada da versão aprovada por uma comissão da Câmara. A exigência constava do texto original do PL6.706/2025. O substitutivo aprovado em agosto adotou outra solução: explicitar no Marco Civil da Internet a aplicação das regras de proteção e tratamento de dados à IA.

A mudança impede apresentar a auditoria como obrigação criada ou como conteúdo aprovado pelo colegiado. Na ficha de tramitação consultada em 17 de setembro de 2026, o projeto aguardava designação de relator na Comissão de Constituição e Justiça e de Cidadania, que o recebeu em 8 de setembro. A matéria ainda pode sofrer alterações.

O debate, contudo, permanece relevante: quem verifica se um sistema usado para selecionar candidatos, analisar crédito ou organizar serviços públicos produz resultados discriminatórios? Examinar essa questão exige separar a proposta legislativa, as obrigações já existentes e o que uma avaliação técnica consegue demonstrar.

Quem seria alcançado pela versão original

O texto apresentado pelo deputado Amom Mandel previa um artigo20-A na LGPD. A obrigação atingiria agentes de tratamento públicos e privados que utilizassem IA em decisões com efeitos significativos sobre interesses e direitos fundamentais. O dispositivo destacava acesso a serviços públicos essenciais, crédito, emprego, habitação e saúde.

O projeto previa avaliação externa e independente, pelo menos a cada dois anos ou após mudança substancial no modelo. Seriam examinados vieses discriminatórios, respeito aos princípios da LGPD e riscos de aprofundamento de desigualdades. Haveria envio de relatório técnico à ANPD e publicação de resumo executivo, com preservação do segredo industrial.

Essas características pertencem à redação inicial. Não constituem calendário de auditorias vigente para todas as empresas que usam IA. Também não permitem dizer que todo programa de computador de uma organização estaria automaticamente incluído: a versão vinculava a obrigação ao uso em decisões com os efeitos descritos no dispositivo.

No parecer aprovado pela Comissão de Ciência, Tecnologia e Inovação, o deputado Duda Ramos questionou os custos da exigência e a inserção dessas obrigações na LGPD. Defendeu uma alteração no Marco Civil, sem manter o modelo periódico de auditoria externa proposto pelo autor.

Os argumentos sobre impacto econômico são posições do relator. O parecer não deve ser apresentado como prova de que toda auditoria inviabiliza empresas, assim como a justificativa original não demonstra que qualquer contratação de auditor produziria um sistema sem discriminação. A controvérsia envolve o desenho da obrigação, seu alcance e a capacidade de fiscalização.

A notícia da Agência Câmara sobre a aprovação registra essa mudança. O caminho restante inclui a análise da CCJ e as demais etapas necessárias à eventual transformação do projeto em lei. A ementa original, visível na ficha legislativa, não basta para identificar o conteúdo aprovado em comissão.

Auditoria não é promessa de acerto absoluto

Como referência técnica internacional, o AI Risk Management Framework do NIST é um instrumento voluntário de gestão de riscos. Ele não é uma lei brasileira nem impõe, por si, obrigações a empresas no país. Sua utilidade está em organizar perguntas sobre desenvolvimento, uso e avaliação de sistemas.

O núcleo do documento considera participação de especialistas que não tenham integrado diretamente o desenvolvimento ou de avaliadores independentes. Também trata da escolha de métodos de medição e do acompanhamento de riscos. A avaliação precisa levar em conta o contexto de uso e as limitações do que pode ser medido.

Como exemplo hipotético, um teste de seleção profissional pode examinar resultados de um conjunto de currículos. Se esse conjunto não representar adequadamente o público que utilizará o serviço, um bom resultado no teste não responde a todas as situações reais. O relatório precisa explicar o universo examinado para que sua conclusão possa ser interpretada.

Para o leitor que encontra a expressão sistema auditado, algumas perguntas ajudam a avaliar seu significado: qual versão foi examinada, com quais dados, em qual período e para qual finalidade? Um documento pode avaliar segurança da informação sem avaliar discriminação. Pode examinar um componente e não o processo inteiro em que ele será utilizado.

Outro exemplo hipotético é uma ferramenta que organiza a fila de atendimento de um serviço. Mesmo que o cálculo seja executado corretamente, a regra utilizada para ordenar as pessoas pode produzir efeitos que exigem análise jurídica e administrativa. Verificar funcionamento técnico e examinar legitimidade do critério são tarefas relacionadas, mas não idênticas.

A existência de revisão humana também precisa ser descrita concretamente. Um responsável pode receber alertas e ter meios para contestar o resultado, ou apenas confirmar decisões sem informação suficiente. A palavra supervisão, sozinha, não mostra quanto controle existe. Saber quem pode corrigir um erro ajuda a entender a proteção oferecida às pessoas afetadas.

O artigo20 da LGPD permite solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem interesses do titular. Prevê informações claras e adequadas sobre critérios e procedimentos, observados os segredos comercial e industrial. A lei também trata da possibilidade de auditoria pela ANPD quando informações forem negadas por esse fundamento, para verificar aspectos discriminatórios.

Esse dispositivo não corresponde à auditoria externa bienal pretendida no projeto original. Nem toda decisão que utiliza algum apoio tecnológico é, necessariamente, uma decisão tomada unicamente por tratamento automatizado. A identificação do procedimento efetivamente empregado é relevante para discutir o direito invocado.

Uma pessoa que contesta um resultado pode guardar a comunicação recebida, descrever qual efeito sofreu e pedir esclarecimentos sobre a operação. A resposta não substitui uma análise técnica completa, mas pode ajudar a delimitar a controvérsia. Também convém preservar protocolos e evitar transformar uma suspeita ainda não demonstrada em acusação pública de discriminação.

O acompanhamento depende da versão do projeto

O ponto central da pauta é a diferença entre prevenir danos e criar uma obrigação específica de auditoria. O primeiro é um objetivo de proteção; o segundo exige definir responsáveis, critérios, frequência e consequências. O texto aprovado pela comissão não manteve o modelo original, e a tramitação ainda não terminou.

Para acompanhar as próximas etapas, é necessário consultar pareceres e substitutivos, além das notícias sobre votação. Se a obrigação voltar ao debate, seu alcance terá de ser examinado na nova redação. Enquanto isso, nenhuma organização pode atribuir ao PL6.706/2025 uma certificação, dispensa ou obrigação que ainda não foi convertida em lei.