PL 4302/2026 — Об учреждении Национального закона о прозрачности, алгоритмическом управлении, предупреждении дискриминации и защите прав в автоматизированных системах принятия решений, о внесении изменений в Закон № 13.709 от 14 августа 2018 года (Общий закон о защите персональных данных) и об иных положениях

EMENTA

Institui a Lei Nacional de Transparência, Governança Algorítmica, Prevenção à Discriminação e Proteção de Direitos em Sistemas Automatizados de Decisão, altera a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), e dá outras providências.

PALAVRAS-CHAVE

Alteração; Lei Geral de Proteção de Dados Pessoais (LGPDP) (2018); utilização; Inteligência artificial; Sistema de inteligência artificial; Decisão automatizada; Governança de inteligência artificial; Transparência algorítmica; Discriminação; Algoritmo; Inovação tecnológica; Empresa startup; Microempresa

INTEIRO TEOR

PROJETO DE LEI Nº , DE 2026

(Do Sr. AMOM MANDEL)

Institui a Lei Nacional de Transparência, Governança Algorítmica, Prevenção à Discriminação e Proteção de Direitos em Sistemas Automatizados de Decisão, altera a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), e dá outras providências.

O CONGRESSO NACIONAL decreta:

Art. 1º Esta Lei estabelece normas gerais de transparência, governança, prevenção à discriminação ilícita e proteção de direitos fundamentais aplicáveis à utilização de sistemas automatizados de decisão e de tecnologias de inteligência artificial por pessoas naturais, pessoas jurídicas de direito privado e órgãos e entidades da administração pública.

Parágrafo único. São objetivos desta Lei:

I – assegurar a utilização responsável, segura e transparente de sistemas automatizados de decisão;

II – prevenir discriminações ilícitas decorrentes do tratamento automatizado de dados;

III – proteger os direitos fundamentais, especialmente a dignidade da pessoa humana, a igualdade, a privacidade, a proteção de dados pessoais, o contraditório e o devido processo legal;

IV – fortalecer a segurança jurídica, a inovação tecnológica responsável e a confiança digital;

V – promover mecanismos proporcionais de governança, supervisão humana e responsabilização.

Art. 2º Para os fins desta Lei, considera-se:

I – sistema automatizado de decisão: sistema computacional capaz de auxiliar, recomendar, classificar, priorizar, monitorar, selecionar, inferir ou apoiar decisões mediante tratamento automatizado de dados;

II – discriminação algorítmica ilícita: diferenciação, exclusão, restrição ou tratamento desfavorável produzido ou potencializado por sistema automatizado em desconformidade com a Constituição Federal ou com a legislação vigente;

III – sistema de alto impacto: sistema automatizado capaz de produzir efeitos relevantes sobre direitos fundamentais, acesso a crédito, trabalho, educação, saúde, segurança pública, justiça, benefícios públicos ou serviços essenciais;

IV – operador de sistema automatizado: pessoa natural ou jurídica responsável pela utilização ou operação do sistema;

V – fornecedor de sistema automatizado: pessoa natural ou jurídica responsável pelo desenvolvimento, treinamento, disponibilização, licenciamento, manutenção ou comercialização do sistema;

VI – avaliação de impacto algorítmico: procedimento técnico destinado à identificação, análise, documentação e mitigação de riscos decorrentes da utilização do sistema;

VII – supervisão humana significativa: capacidade efetiva de intervenção, revisão, contestação e reavaliação de decisões automatizadas por pessoa natural com competência funcional adequada.

Art. 3º Constituem fundamentos desta Lei:

I – a dignidade da pessoa humana;

II – a igualdade e a não discriminação;

III – a livre iniciativa;

IV – a livre concorrência;

V – a inovação tecnológica responsável;

VI – a segurança jurídica;

VII – a proteção de dados pessoais;

VIII – a transparência;

IX – a boa-fé;

X – a proporcionalidade regulatória;

XI – a supervisão humana significativa.

Art. 4º Toda pessoa submetida a decisão automatizada capaz de produzir efeitos relevantes sobre seus direitos ou interesses possui direito:

I – à informação clara, adequada e acessível acerca da utilização do sistema automatizado;

II – à solicitação de revisão humana da decisão, nos termos da legislação aplicável;

III – à contestação de decisões automatizadas consideradas incorretas, discriminatórias ou incompatíveis com os fatos do caso concreto;

IV – à correção de dados pessoais inexatos, incompletos ou desatualizados;

V – à obtenção de informações adequadas acerca dos critérios gerais utilizados pelo sistema, observados os segredos comercial e industrial;

VI – à proteção contra discriminação ilícita decorrente do tratamento automatizado de dados.

Art. 5º É vedada a utilização de sistemas automatizados:

I – para promover discriminação ilícita fundada em raça, cor, etnia, origem nacional, religião, deficiência, sexo, orientação sexual, identidade de gênero, idade ou qualquer outro critério vedado pelo ordenamento jurídico;

II – para restringir o acesso a direitos fundamentais mediante critérios discriminatórios;

III – mediante utilização de dados obtidos ilicitamente;

IV – em desconformidade com a legislação de proteção de dados pessoais.

Art. 6º Os sistemas classificados como de alto impacto deverão observar:

I – supervisão humana proporcional ao risco da atividade;

II – governança e gestão de riscos;

III – rastreabilidade adequada das operações relevantes;

IV – medidas razoáveis de prevenção à discriminação ilícita;

V – monitoramento periódico de desempenho;

VI – documentação técnica compatível com a complexidade do sistema.

Art. 7º Os operadores e fornecedores de sistemas de alto impacto deverão elaborar avaliação de impacto algorítmico previamente à implementação do sistema.

§ 1º A avaliação conterá, no mínimo:

I – descrição da finalidade e do contexto de utilização;

II – identificação dos riscos relevantes aos direitos fundamentais;

III – medidas de mitigação de riscos;

IV – mecanismos de supervisão humana;

V – critérios de governança, segurança e rastreabilidade;

VI – medidas destinadas à prevenção de discriminações ilícitas.

§ 2º A avaliação deverá permanecer atualizada durante todo o período de utilização do sistema.

§ 3º Regulamento poderá prever procedimentos simplificados para microempresas, empresas de pequeno porte, startups e projetos de inovação de baixo risco.

Art. 8º Os órgãos e entidades da administração pública que utilizarem sistemas de alto impacto deverão:

I – realizar avaliação de impacto algorítmico;

II – assegurar supervisão humana adequada;

III – adotar medidas de mitigação de riscos discriminatórios;

IV – observar a legislação de proteção de dados pessoais e de acesso à informação;

V – manter mecanismos de controle, auditoria e responsabilização administrativa.

Parágrafo único. Sempre que tecnicamente recomendável, poderá ser exigida auditoria independente, observados os princípios da proporcionalidade, da razoabilidade e da eficiência administrativa.

Art. 9º Os fornecedores e operadores de sistemas automatizados deverão:

I – adotar medidas razoáveis de prevenção à discriminação ilícita;

II – assegurar qualidade, adequação e governança dos dados utilizados;

III – implementar mecanismos proporcionais de integridade algorítmica;

IV – disponibilizar canal acessível para contestação de decisões automatizadas;

V – comunicar incidentes relevantes à autoridade competente quando houver risco significativo aos titulares de direitos;

VI – preservar documentação técnica necessária à fiscalização legal.

Art. 10. A responsabilidade civil decorrente da utilização de sistemas automatizados observará a Constituição Federal, a Lei nº 13.709, de 14 de agosto de 2018, a legislação consumerista e a legislação civil aplicável.

§ 1º O fornecedor e o operador responderão pelos danos decorrentes de tratamento automatizado realizado em desconformidade com a legislação aplicável, observados os regimes jurídicos próprios de responsabilidade previstos na legislação vigente.

§ 2º A solidariedade entre os agentes de tratamento observará o disposto nos arts. 42 a 45 da Lei nº 13.709, de 14 de agosto de 2018.

§ 3º A adoção efetiva de mecanismos de governança, mitigação de riscos e supervisão humana poderá ser considerada para fins de dosimetria das sanções administrativas cabíveis.

Art. 11. Constituem infrações administrativas:

I – utilizar sistema automatizado em desconformidade com as vedações previstas nesta Lei;

II – omitir deliberadamente informações legalmente exigidas pela autoridade competente;

III – deixar de adotar medidas mínimas de mitigação de riscos em sistemas de alto impacto;

IV – impedir injustificadamente revisão humana obrigatória;

V – descumprir medidas corretivas regularmente determinadas pela autoridade competente.

Art. 12. As infrações administrativas previstas nesta Lei sujeitam o infrator, observado o devido processo legal, o contraditório e a ampla defesa, às seguintes sanções:

I – advertência, com indicação de prazo para adoção de medidas corretivas;

II – determinação de elaboração e implementação de plano de conformidade, governança ou mitigação de riscos;

III – publicização da infração após decisão administrativa definitiva;

IV – determinação de adoção de medidas específicas para eliminação, redução ou controle dos riscos identificados;

V – suspensão parcial da utilização do sistema automatizado em relação às funcionalidades que apresentem desconformidade com esta Lei;

VI – suspensão temporária da operação do sistema automatizado, quando a infração acarretar risco relevante a direitos fundamentais e não houver adoção das medidas corretivas determinadas pela autoridade competente;

VII – proibição temporária de utilização ou disponibilização do sistema automatizado em casos de infrações graves, reiteradas ou que evidenciem descumprimento deliberado das determinações da autoridade competente.

§ 1º A aplicação das sanções observará:

I – a gravidade e a natureza da infração;

II – os direitos afetados e a extensão do dano potencial ou efetivo;

III – a boa-fé do infrator;

IV – a cooperação com a fiscalização;

V – a adoção prévia de mecanismos de governança, supervisão humana, auditoria e mitigação de riscos;

VI – a reincidência;

VII – a proporcionalidade entre a medida aplicada e os riscos identificados.

§ 2º As sanções previstas neste artigo serão aplicadas de forma gradual, observada a adequação da medida à natureza da infração e à proteção dos direitos fundamentais envolvidos.

§ 3º A suspensão ou proibição de operação somente poderá ser aplicada mediante decisão motivada que demonstre a insuficiência das medidas menos gravosas para cessar a irregularidade ou prevenir dano relevante.

Art. 13. Compete à Autoridade Nacional de Proteção de Dados – ANPD fiscalizar o cumprimento desta Lei, no âmbito de suas atribuições legais, sem prejuízo das competências:

I – dos órgãos de defesa do consumidor;

II – do Ministério Público;

III – da Defensoria Pública;

IV – das autoridades reguladoras setoriais; e

V – dos órgãos de controle interno e externo.

§ 1º O exercício das competências previstas neste artigo não implica criação de cargos, funções ou estruturas administrativas.

§ 2º A atuação da ANPD observará as competências já previstas na Lei nº 13.709, de 14 de agosto de 2018.

Art. 14. Os órgãos públicos poderão celebrar instrumentos de cooperação técnica destinados:

I – ao desenvolvimento de padrões de auditoria;

II – à elaboração de protocolos de avaliação de riscos;

III – ao compartilhamento de boas práticas regulatórias;

IV – ao fortalecimento da inovação tecnológica responsável.

Art. 15. Esta Lei aplica-se de forma complementar e subsidiária à Lei nº 13.709, de 14 de agosto de 2018, não implicando revogação, restrição ou afastamento das garantias, direitos, deveres e mecanismos de responsabilização nela previstos.

Parágrafo único. Permanecem integralmente aplicáveis, conforme o caso, a legislação consumerista, a legislação civil, a legislação concorrencial e as demais normas setoriais pertinentes.

Art. 16. O art. 20 da Lei nº 13.709, de 14 de agosto de 2018, passa a vigorar acrescido dos seguintes §§ 3º e 4º:

"Art.

20. (…)

(…)

§ 3º O controlador deverá adotar medidas razoáveis destinadas à identificação, prevenção e mitigação de discriminação ilícita em decisões automatizadas.

§ 4º A revisão prevista no caput deverá ser realizada por pessoa natural com capacidade efetiva de reavaliação da decisão automatizada." (NR)

Art. 17. O Poder Executivo regulamentará esta Lei no prazo de 180 (cento e oitenta) dias, podendo estabelecer critérios diferenciados conforme o porte econômico do agente, o grau de risco da atividade e a natureza do sistema automatizado.

Art. 18. Esta Lei entra em vigor após decorridos 12 (doze) meses de sua publicação oficial.