Regulamentação de IA no Brasil e o ensino superior: o que a sua instituição precisa saber

A regulamentação de IA avança — e as universidades brasileiras estão no escopo

O Brasil está construindo o seu marco regulatório para inteligência artificial. O Marco Legal da Inteligência Artificial (PL 2338/2023), aprovado pelo Senado e em tramitação na Câmara, estabelece princípios, direitos e deveres para o uso de IA no país. Paralelamente, a LGPD (Lei 13.709/2018) já regula o tratamento de dados pessoais por sistemas automatizados, e a ANPD tem emitido regulamentações específicas sobre decisões automatizadas.

Para as universidades, não é um tema abstrato. A partir do momento em que uma instituição utiliza um chatbot de admissões, uma ferramenta de pontuação de candidatos, um detector de plágio com IA ou um algoritmo de recomendação de cursos, está implementando um sistema de IA no escopo dessas regulamentações. A questão não é se a sua universidade está abrangida — está. A questão é como se preparar adequadamente.

Além disso, instituições brasileiras que recrutam estudantes na Europa ou que utilizam ferramentas de fornecedores europeus também precisam considerar o AI Act europeu (Regulamento UE 2024/1689), cujas obrigações para sistemas de alto risco entram em vigor em agosto de 2026.

Classificação de riscos: onde se situa a sua universidade?

Tanto o Marco Legal da IA brasileiro quanto o AI Act europeu adotam uma abordagem baseada em riscos. Compreender essa classificação é essencial para determinar as obrigações da sua instituição.

Risco inaceitável (proibido)

São proibidos os sistemas de pontuação social generalizada, a manipulação subliminar e a exploração de vulnerabilidades. No contexto educativo, seria proibido um sistema que avaliasse os estudantes com base no seu comportamento social global (participação em eventos, atividade em redes sociais) para decidir a admissão.

Esse cenário parece extremo, mas algumas práticas de avaliação "holística" de candidatos se aproximam disso. Se a sua ferramenta de admissão incorpora dados comportamentais não relacionados com a aptidão acadêmica, faça uma auditoria.

Alto risco (obrigações rigorosas)

É a categoria mais importante para o ensino superior. Os sistemas de IA utilizados para "determinar o acesso ou a admissão a estabelecimentos de ensino" são classificados como alto risco tanto no AI Act europeu (Anexo III, ponto 3a) quanto nas diretrizes do Marco Legal brasileiro.

Concretamente, estão abrangidos:

• Ferramentas de pré-seleção automatizada — qualquer sistema que filtra, classifica ou pontua candidaturas com base em critérios algorítmicos
• Detectores de plágio com IA que influenciam a classificação ou avaliação acadêmica
• Algoritmos de colocação ou orientação que determinam o acesso a cursos específicos
• Sistemas de classificação automatizada que produzem ou influenciam avaliações acadêmicas

As obrigações para esses sistemas são substanciais: sistema de gestão de riscos, dados de treino documentados, transparência técnica, supervisão humana, registro de entradas/saídas e, no caso europeu, registro na base de dados europeia.

Risco limitado (obrigações de transparência)

Os chatbots de admissões e informação caem nessa categoria. A obrigação principal é simples mas inegociável: informar o usuário de que está interagindo com um sistema de IA.

Na prática, o seu chatbot deve indicar claramente que é um assistente de IA, não um humano. Uma mensagem como "Sou um assistente de IA da [Nome da universidade]. Um atendente humano está disponível mediante solicitação" cumpre essa obrigação.

Também nessa categoria:

• Sistemas de geração de conteúdo por IA (emails automatizados, descrições de cursos)
• Sistemas de reconhecimento de emoções (análise de tom em entrevistas em vídeo)
• Ferramentas de tradução automática de conteúdo pedagógico

Risco mínimo (sem obrigações específicas)

Ferramentas de IA sem impacto nos direitos fundamentais: corretores ortográficos, filtros anti-spam, otimizadores de horários. Sem obrigações regulamentares específicas, embora as boas práticas de transparência continuem a ser recomendadas.

O calendário regulatório no Brasil

O cenário regulatório brasileiro está em evolução. Estas são as datas e marcos que afetam diretamente as universidades:

Já em vigor — LGPD (Lei 13.709/2018) — A LGPD regula todo tratamento de dados pessoais, incluindo por sistemas de IA. O Art. 20 garante o direito à revisão de decisões automatizadas. Já em efeito integral.

Já em vigor — Resolução CD/ANPD nº 2/2022 — Regulamenta a aplicação da LGPD para agentes de tratamento de pequeno porte, incluindo instituições de ensino menores.

Em tramitação — Marco Legal da IA (PL 2338/2023) — Aprovado pelo Senado, em análise na Câmara. Prevê classificação por risco, direitos dos afetados e supervisão humana obrigatória para decisões de alto impacto.

2 de agosto de 2026 — AI Act europeu (alto risco) — Relevante para instituições que recrutam na Europa ou usam ferramentas de fornecedores europeus. Exija uma declaração de conformidade dos seus fornecedores internacionais.

A hora de se preparar é agora. Mesmo que o Marco Legal da IA ainda esteja em tramitação, a LGPD já impõe obrigações sobre decisões automatizadas. Instituições que se anteciparem estarão em vantagem.

Obrigações concretas por caso de uso

Chatbot de admissões (risco limitado)

As obrigações são proporcionadas e realistas.

Obrigação 1 — Transparência: o chatbot deve se identificar como IA. Um banner permanente ou mensagem de boas-vindas clara é suficiente.

Obrigação 2 — Informação sobre tratamento de dados: em conformidade com a LGPD, o tratamento de dados pelo chatbot deve ser documentado na política de privacidade. O nosso guia de proteção de dados para estudantes detalha essas obrigações.

Obrigação 3 — Contato humano: o candidato deve poder solicitar falar com um humano a qualquer momento.

Custo estimado de conformidade: quase nulo se o chatbot já é transparente. Conte com 2 a 5 dias para auditoria, documentação e ajuste da interface.

Pré-seleção automatizada de candidatos (alto risco)

As obrigações são significativamente mais pesadas.

As seis obrigações: (1) gestão de riscos documentada (viés, discriminação, erros de classificação), (2) qualidade dos dados de treino (representatividade, ausência de viés histórico), (3) documentação técnica completa, (4) supervisão humana — nenhuma decisão de admissão pode ser totalmente automatizada, (5) registro de entradas/saídas (mínimo 6 meses), (6) direito à revisão humana conforme Art. 20 da LGPD.

Custo estimado de conformidade: R$ 80.000 a R$ 250.000 para uma auditoria completa, documentação técnica e implementação de processos de supervisão humana. O custo recai principalmente sobre o fornecedor, mas a universidade como "implementadora" também tem obrigações.

Detecção de plágio com IA (alto risco se afetar classificações)

Se a ferramenta influencia diretamente a classificação ou decisão acadêmica, cai na categoria de alto risco. Os detectores de IA apresentam atualmente uma taxa de falsos positivos de 5 a 15% (Fonte: Stanford HAI, 2025). A supervisão humana não é opcional — é uma obrigação legal.

A articulação entre LGPD e regulamentação de IA

A LGPD não é substituída pelo Marco Legal da IA — são complementares. Todo tratamento de dados pessoais por um sistema de IA continua sujeito à LGPD (base legal, minimização, direitos de acesso). O Art. 20 da LGPD já garante o direito à revisão de decisões automatizadas; o Marco Legal da IA reforça essa proteção com requisitos de transparência e supervisão humana mais detalhados.

Para instituições que operam também na Europa ou utilizam ferramentas de fornecedores europeus, o AI Act se soma a essas obrigações. Na prática, adotar o padrão mais rigoroso (geralmente o AI Act europeu) garante conformidade em ambas as jurisdições.

Para aprofundar a conformidade de proteção de dados específica aos dados de estudantes, consulte o nosso guia dedicado.

Checklist de conformidade em 10 pontos

1. Inventário: listar todas as ferramentas IA (chatbot, CRM, scoring, plágio, recomendação)
2. Classificação: risco mínimo, limitado, alto ou inaceitável por ferramenta
3. Auditoria de fornecedores: exigir declaração de conformidade e calendário
4. Transparência chatbots: identificação IA + opção de contato humano
5. Supervisão humana: nenhuma decisão de admissão totalmente automatizada
6. Documentação técnica: dossiê completo para sistemas de alto risco
7. Análise de viés: testes sobre gênero, origem geográfica, tipo de escola (pública/privada), renda familiar
8. Política de privacidade: integrar os tratamentos IA, conforme LGPD
9. Capacitação: equipes de admissões e acadêmicas sobre as suas obrigações
10. Revisão anual: auditoria de IA alinhada com a revisão da política de privacidade LGPD

Sanções por incumprimento

A LGPD prevê sanções que podem chegar a R$ 50 milhões por infração ou 2% do faturamento. A ANPD é o órgão fiscalizador. Para instituições que também operam na Europa, o AI Act prevê multas de até 35 milhões de euros (7% do volume de negócios). O risco reputacional é pelo menos tão preocupante: uma universidade sancionada por uso inadequado de IA perde credibilidade para formar profissionais digitais.

O que as universidades devem exigir dos seus fornecedores de IA

Como "implementadoras", as universidades compartilham responsabilidade. Exija de cada fornecedor: declaração de conformidade datada (LGPD e, se aplicável, AI Act), classificação de risco com justificação, documentação técnica acessível, compromisso contratual de supervisão humana e transparência, auditoria de viés documentada e plano de atualização regulamentar.

Para compreender como a IA influencia a visibilidade das universidades para além da conformidade, o nosso artigo sobre critérios de recomendação IA para universidades explora o tema em profundidade.

FAQ

O meu chatbot de admissões é classificado como alto risco?

Não, a menos que tome decisões de admissão autônomas. Um chatbot que informa, responde a perguntas e qualifica candidatos é classificado como "risco limitado". Deve se identificar como IA e oferecer acesso humano, mas não está sujeito às obrigações pesadas do alto risco. No entanto, se o chatbot decide automaticamente aceitar ou rejeitar uma candidatura, passa para alto risco.

A regulamentação de IA se aplica a instituições brasileiras que recrutam fora do país?

Sim. Se a sua instituição utiliza ferramentas de IA para interagir com candidatos em outros países, a legislação local pode se aplicar. Para candidatos na Europa, o AI Act é aplicável independentemente de onde o fornecedor ou implementador está estabelecido. A LGPD brasileira também tem alcance extraterritorial para dados tratados no Brasil.

Qual é a relação entre LGPD e regulamentação de IA para dados de candidatos?

Ambas se aplicam simultaneamente. A LGPD rege a coleta, armazenamento e tratamento de dados pessoais. O Marco Legal da IA (quando aprovado) e o AI Act europeu (para operações na Europa) acrescentam obrigações sobre como esses dados são utilizados pelos sistemas de IA (transparência, supervisão humana, auditoria de viés). A conformidade com a LGPD não isenta da conformidade com a regulamentação de IA, e vice-versa.

Quanto tempo e orçamento prever para a conformidade?

Para uma universidade com chatbot (risco limitado) e CRM com scoring básico: 2 a 4 semanas e R$ 15.000 a R$ 40.000 em auditoria e ajustes. Para uma universidade com sistema de pré-seleção automatizada (alto risco): 2 a 4 meses e R$ 80.000 a R$ 250.000, com uma parte significativa faturada pelo fornecedor.