PL 2338 e a hotelaria: o que o Marco Legal da IA muda para hotéis

Onde o PL 2338 está em outubro de 2026

O PL 2338/2023, conhecido como Marco Legal da Inteligência Artificial, ainda não é lei. A situação atual:

• Senado: aprovado em 10 de dezembro de 2024.
• Câmara dos Deputados: em análise por uma Comissão Especial, presidida pela deputada Luisa Canziani, com relatoria do deputado Aguinaldo Ribeiro. A votação em plenário chegou a ser prevista para o fim de maio de 2026, mas não aconteceu, e o projeto segue aguardando o parecer na comissão.
• Próximos passos: se a Câmara alterar o texto, o projeto volta ao Senado antes de seguir para sanção presidencial. Depois da sanção, o texto aprovado pelo Senado prevê um período de transição antes que a maior parte das obrigações passe a valer.

Este artigo usa como base o texto aprovado pelo Senado, que é a versão consolidada disponível. Detalhes como listas de usos, prazos e valores de multa podem mudar na Câmara. A lógica central do texto do Senado é uma abordagem proporcional ao risco de cada uso de IA, mas essa estrutura também ainda pode ser alterada durante a tramitação na Câmara.

O que é o PL 2338, em poucas palavras

O projeto segue um modelo parecido com o AI Act europeu: em vez de regular "a IA" como um todo, ele classifica cada uso de um sistema de IA por nível de risco e ajusta as obrigações a esse nível.

• Risco excessivo: usos proibidos, como sistemas que exploram vulnerabilidades ou usam técnicas subliminares para induzir comportamentos prejudiciais, e a pontuação social de cidadãos pelo poder público. A identificação biométrica à distância e em tempo real, em espaços públicos, também é restrita, com exceções previstas em lei ligadas à segurança pública.
• Alto risco: usos permitidos, mas com obrigações reforçadas, como avaliação de impacto algorítmico, supervisão humana e documentação. A lista inclui, por exemplo, recrutamento e decisões sobre empregados, acesso a serviços essenciais, educação, saúde e infraestrutura crítica.
• Demais usos: seguem obrigações gerais de transparência, segurança e respeito aos direitos das pessoas afetadas.

O texto aprovado pelo Senado prevê que a fiscalização fique a cargo do SIA, o Sistema Nacional de Regulação e Governança de Inteligência Artificial, coordenado pela ANPD, a mesma autoridade que já fiscaliza a LGPD nos hotéis, em conjunto com os reguladores de cada setor.

Por que isso importa para um hotel, e não só para quem cria IA

O texto do Senado distingue três papéis: quem desenvolve o sistema de IA, quem o distribui e quem o aplica na própria operação. Em geral, o hotel é o aplicador. Contratar a ferramenta de um fornecedor não transfere toda a responsabilidade para ele: o hotel decide para que a IA é usada, sobre quem ela toma ou sugere decisões e com quais dados, e é isso que define o nível de risco.

Na prática, o mesmo software pode ter riscos diferentes em hotéis diferentes. Uma câmera com análise de vídeo que apenas conta pessoas no lobby é uma coisa; a mesma câmera configurada para identificar hóspedes pelo rosto é outra.

Onde cada uso de IA do hotel tende a se encaixar

As classificações abaixo seguem o texto aprovado pelo Senado, não uma lei em vigor. A classificação final depende do texto que for aprovado e da regulamentação posterior, mas os usos frequentes na hotelaria já permitem uma leitura inicial:

Triagem de currículos e decisões de RH: alto risco no texto do Senado. Este é o ponto mais claro. O texto do Senado lista como alto risco os sistemas de IA usados em recrutamento, triagem, filtragem e avaliação de candidatos, e em decisões sobre promoção ou desligamento. A hotelaria contrata em volume, com forte sazonalidade, e muitas plataformas de recrutamento já oferecem ranqueamento automático de candidatos. Se essa classificação for mantida, o hotel que usa esse recurso precisará de avaliação de impacto, supervisão humana real sobre as decisões e explicação aos candidatos quando solicitada.

Um exemplo: o hotel usa uma plataforma que recebe 500 currículos para a temporada e gera automaticamente uma lista dos 30 candidatos "mais adequados". Mesmo que ninguém seja contratado automaticamente, a ferramenta já está influenciando uma decisão sobre pessoas, porque quem ficou fora da lista provavelmente nunca será avaliado por um humano. Por isso, ela não deve ser tratada como um simples recurso administrativo do RH.

Reconhecimento facial e biometria: atenção redobrada. Check-in por reconhecimento facial, controle de acesso biométrico a áreas restritas e análise de imagens de CFTV com identificação de pessoas estão no território mais sensível do projeto. Confirmar que o hóspede é quem diz ser, com a participação dele (verificação um para um), tende a ser tratado de forma bem diferente de identificar pessoas em meio a outras sem que saibam. O que define a classificação é a finalidade e a forma de uso, não a simples presença de biometria. Independentemente do PL 2338, dado biométrico já é dado pessoal sensível pela LGPD e exige base legal específica, hoje.

Chatbots e assistentes de atendimento: transparência. Um chatbot que responde dúvidas sobre horário do café da manhã ou faz reservas normalmente não está na lista de alto risco. Ainda assim, o texto do Senado prevê o direito de a pessoa saber previamente que está interagindo com uma IA. A conversa também trata dados pessoais, então as regras de IA no atendimento e a LGPD já valem agora.

Revenue management e precificação dinâmica: em princípio, fora da lista de alto risco, com uma ressalva. O texto aprovado pelo Senado não coloca a sugestão de tarifas com base em ocupação, demanda e concorrência entre os usos de alto risco. A ressalva é a personalização: se o preço ou a oferta passa a variar conforme o perfil individual do hóspede, entram em jogo a vedação à discriminação e o direito de revisão de decisões automatizadas que a LGPD já garante no artigo 20.

IA generativa no marketing e na operação: obrigações concentradas no fornecedor. As regras sobre modelos de IA generativa e uso de conteúdo protegido por direitos autorais no treinamento recaem principalmente sobre quem desenvolve esses modelos. Para o hotel, o risco maior continua sendo o que já tratamos no guia de governança de IA na hotelaria: dados de hóspedes inseridos em ferramentas não aprovadas.

As obrigações que devem chegar ao hotel

Resumindo o texto aprovado pelo Senado, estas são as obrigações com mais chance de afetar um hotel na posição de aplicador:

• Avaliação preliminar: classificar o risco de cada sistema de IA antes de colocá-lo em uso.
• Avaliação de impacto algorítmico: obrigatória para usos de alto risco, com análise dos riscos, das medidas de mitigação e dos resultados.
• Supervisão humana: nos usos de alto risco, uma pessoa com autoridade e capacidade real de revisar e reverter a decisão da IA, e não apenas carimbar o resultado.
• Direitos das pessoas afetadas: informação prévia sobre a interação com IA, explicação sobre decisões, contestação e revisão humana, especialmente em decisões de alto risco.
• Documentação: registros suficientes para demonstrar à autoridade como o sistema é usado e supervisionado.

No texto aprovado pelo Senado, as sanções previstas incluem advertência, multa de até R$ 50 milhões por infração ou, no caso de empresas, de até 2% do faturamento bruto do grupo no Brasil, limitada a esse teto, além de publicização da infração e suspensão do uso do sistema. Para muitos hotéis, o risco mais concreto não é a multa máxima, é ter de desligar às pressas uma ferramenta da qual a operação passou a depender.

O que já vale hoje: a LGPD

Esperar a aprovação do PL 2338 para agir é um erro de leitura, porque parte importante do que ele exige já existe pela LGPD:

• Toda ferramenta de IA que trata dados de hóspedes ou funcionários precisa de uma base legal adequada. O papel de cada fornecedor (operador, controlador ou controlador conjunto) depende de quem define as finalidades e os elementos essenciais do tratamento. Quando o fornecedor atua como operador, o contrato deve estabelecer as responsabilidades e as condições do tratamento.
• Dados biométricos são dados sensíveis, com hipóteses de tratamento mais restritas.
• O artigo 20 já garante o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses da pessoa.
• A ANPD, que deve coordenar o SIA, já fiscaliza o cumprimento da LGPD e aplica sanções com base nela.

Em outras palavras, uma governança de IA já baseada na LGPD tende a reduzir bastante o trabalho de adaptação quando o Marco Legal entrar em vigor, embora o projeto traga exigências que a LGPD não tem, como a avaliação de impacto algorítmico.

Checklist para se preparar sem esperar a lei

1. Faça o inventário de IA. Liste todas as ferramentas com IA em uso, incluindo recursos de IA embutidos em sistemas que o hotel já tem (PMS, CRM, plataforma de recrutamento, CFTV) e ferramentas não aprovadas usadas pela equipe.
2. Documente cada uso. Para que cada ferramenta usa IA, quais dados recebe, quem tem acesso e se esses dados são usados para treinar modelos ou compartilhados com terceiros.
3. Classifique cada uso por risco. Separe o que envolve decisões sobre pessoas (RH, biometria, ofertas personalizadas) do que é apoio operacional sem impacto individual.
4. Priorize RH e biometria. São os usos com mais chance de cair em alto risco. Verifique se existe revisão humana real e se a base legal para dados biométricos está documentada.
5. Deixe a IA visível para o hóspede. Chatbots e assistentes devem se identificar como IA e oferecer caminho para atendimento humano.
6. Revise os contratos com fornecedores. Peça a documentação do sistema, a classificação de risco que o fornecedor faz do próprio produto e a divisão de responsabilidades entre as partes.
7. Defina um responsável. Alguém com autoridade para aprovar ou vetar usos de IA e acompanhar a tramitação do projeto, normalmente quem já responde por TI, segurança ou conformidade.

Próximos passos

O PL 2338 ainda pode mudar, mas a direção do texto aprovado pelo Senado é clara: quanto maior o impacto de um uso de IA sobre as pessoas, maiores as exigências. Para a hotelaria, isso aponta primeiro para recrutamento e biometria, e depois para transparência no atendimento. Hotéis que tratarem o tema agora, como extensão natural da LGPD, vão chegar ao prazo de transição com um inventário pronto em vez de um problema.

Nossa equipe pode mapear os usos de IA do seu hotel, classificar cada um por risco com base no texto em tramitação e na LGPD, e revisar contratos com fornecedores de IA. Fale com a nossa equipe.

Fontes oficiais

• Senado Federal, PL 2338/2023: tramitação e texto aprovado em 10 de dezembro de 2024, senado.leg.br
• Câmara dos Deputados, PL 2338/2023: ficha de tramitação e Comissão Especial, camara.leg.br