A Receita Federal entra na era da IA: o que isso muda para empresas de TI

Quando um órgão como a Receita Federal publica uma política formal de inteligência artificial, a notícia passa fácil pelo filtro de “mais uma coisa do governo” e vai direto pro limbo. Errado. Isso é um sinal concreto de que o maior operador de dados fiscais do país está declarando, em documento oficial, como vai usar IA, quem supervisiona e quais são os limites. Para qualquer empresa que vende tecnologia pro setor público, ou que simplesmente opera sob as regras fiscais brasileiras (ou seja, todas), isso importa.

Eu acompanho o movimento de regulação de IA no Brasil há alguns anos, especialmente depois que o Marco Legal da IA começou a ganhar corpo no Congresso. O que me chama atenção aqui não é o fato de a Receita ter IA, porque ela já usa há bastante tempo em cruzamento de dados, malha fina e detecção de fraudes. O que muda é a formalização. Ela cria accountability interno e, mais importante, sinaliza para o mercado o padrão que se espera de quem fornece tecnologia para o órgão.

Na UNODATA, trabalhamos com clientes em diferentes níveis de maturidade em IA. E o que eu vejo com frequência é uma ansiedade para “ter IA” sem nenhuma política que governe o uso. A Receita, paradoxalmente, está dando uma aula de governança que muitas empresas privadas ainda não aprenderam.

Minha aposta: nos próximos 18 meses, editais federais de TI vão começar a exigir que fornecedores demonstrem políticas de uso responsável de IA como critério de habilitação. Quem não tiver isso documentado vai perder negócio.

O que a política da Receita realmente diz

A publicação traz três pilares centrais: responsabilidade, transparência e supervisão humana. São palavras que parecem genéricas mas, num documento oficial de órgão federal, têm peso normativo real.

Responsabilidade significa que cada sistema de IA precisa ter um dono identificável dentro da estrutura da Receita. Não é “o sistema decidiu”, é “fulano de tal, na posição X, responde pela decisão que o modelo tomou”. Isso tem implicação direta em como você arquiteta qualquer solução que vai rodar dentro do órgão.

Transparência, nesse contexto, não é sobre abrir o código-fonte do modelo. É sobre explicabilidade: o contribuinte ou o auditor precisam conseguir entender, em linguagem acessível, por que uma decisão foi tomada. Se você vende uma solução de IA para órgão federal e ela é uma caixa-preta sem mecanismo de explicação, prepare-se para não passar na validação.

Supervisão humana é o ponto mais operacional dos três. Nenhuma decisão de alto impacto pode ser automatizada sem revisão humana no fluxo. Isso é alinhado com o que a União Europeia já estabeleceu no EU AI Act para sistemas de alto risco, e é o caminho que o Brasil está claramente seguindo como referência.

Por que isso é estratégico para empresas de TI, não só para o governo

Há uma leitura imediata e uma leitura mais longa aqui. A imediata é sobre o mercado público: se você quer vender IA para qualquer órgão federal nos próximos anos, a política da Receita é um preview do que vai ser cobrado contratualmente.

A leitura mais longa é sobre o mercado privado. O Brasil regulatório funciona com um efeito cascata previsível: o governo define padrão, as empresas reguladas (bancos, seguradoras, telecoms) adotam logo depois por pressão dos respectivos reguladores, e o mercado geral segue. Isso aconteceu com LGPD, com Open Finance, com a política de cibersegurança do Banco Central. Com IA vai ser igual.

O que eu recomendo para líderes de TI e de produto nesse momento:

1. Mapear todos os sistemas internos que usam algum componente de IA ou machine learning (aprendizado de máquina), incluindo os que vieram embutidos em plataformas de terceiros.
2. Identificar quais desses sistemas tomam ou influenciam decisões com impacto direto em clientes, colaboradores ou reguladores.
3. Nomear um responsável formal por cada sistema mapeado.
4. Documentar o mecanismo de supervisão humana de cada um: quem revisa, com qual frequência, como a revisão é registrada.
5. Criar ou revisar a política interna de uso de IA com base nos três pilares que a Receita usou: responsabilidade, transparência e supervisão.

Isso não é burocracia. É a base para não ser pego de surpresa quando o regulador do seu setor começar a auditar.

A Receita Federal não está apenas regulando o uso interno de IA. Está definindo o vocabulário e o padrão que o mercado vai ter que falar nos próximos anos.

O risco de ignorar isso agora

O problema do fornecedor sem política

Se você vende para empresas que já têm ou estão desenvolvendo políticas de IA, vai começar a receber questionários de due diligence perguntando sobre a sua própria governança. Isso já acontece com LGPD: compradores sofisticados pedem o DPA (Data Processing Agreement) e a evidência de conformidade antes de assinar contrato. Com IA, a pressão vai ser parecida, mas com um agravante: os riscos de reputação de um sistema de IA que toma decisão errada são mais visíveis e mais graves do que um vazamento de dado silencioso.

Eu já tive conversas com CTOs de empresas médias que achavam que IA responsável era “coisa de big tech”. É uma confusão perigosa. Um modelo de crédito que discrimina sem querer, um chatbot que dá informação errada sobre produto, uma ferramenta de RH que filtra currículos com viés, qualquer um desses cenários pode gerar passivo jurídico e perda de contrato independente do tamanho da empresa.

O problema do prazo

Documentar política de IA do zero leva tempo. Se você esperar o edital federal aparecer com o requisito ou o seu maior cliente privado mandar o questionário, já é tarde para agir sem custo. A janela para fazer isso com calma e qualidade é agora, enquanto ainda é postura proativa e não resposta de emergência.

Na UNODATA, começamos a incluir esse tema nas conversas de planejamento estratégico de TI com clientes ainda neste ano. Não porque é obrigatório hoje, mas porque vai ser, e preparar bem demora.

O que a supervisão humana realmente exige na prática

Esse é o ponto onde a teoria encontra a operação e as coisas ficam difíceis. Supervisão humana soa simples até você tentar implementar em escala.

Se um sistema processa 50 mil transações por dia e você precisa de revisão humana para as de alto risco, você precisa definir: o que é alto risco, qual o fluxo de escalação, qual o SLA de revisão, como isso é registrado para auditoria e quem treina o revisor. Isso é processo, não só tecnologia.

O que eu tenho visto funcionar na prática:

• Camadas de risco bem definidas: decisões de baixo impacto são automatizadas, decisões de impacto médio têm revisão amostral, decisões de alto impacto têm revisão obrigatória antes de execução.
• Logs auditáveis de cada decisão do modelo, com timestamp, versão do modelo e identificador do revisor quando aplicável.
• Ciclos regulares de revisão do próprio modelo: não basta supervisionar a decisão individual, é preciso supervisionar se o modelo está derivando ao longo do tempo (o que os técnicos chamam de model drift).
• Canal claro para contestação: qualquer pessoa afetada por uma decisão de IA precisa saber como contestar e ter prazo de resposta definido.

Esses quatro elementos são o mínimo viável para uma política de supervisão que aguente escrutínio regulatório.

O caminho à frente

A Receita Federal não vai ser a última instituição federal a publicar esse tipo de documento. O TCU, os ministérios com maior volume de benefícios e o próprio INSS têm pressão crescente para fazer o mesmo. Cada publicação dessas é mais um dado-ponto confirmando a direção regulatória.

Para empresas de TI, isso é menos uma ameaça e mais uma oportunidade de diferenciação real. Ter governança de IA documentada e operacional vai separar os fornecedores sérios dos oportunistas nos próximos ciclos de compra.

A pergunta que fica: a sua empresa tem hoje alguém capaz de responder, sem hesitar, quais sistemas de IA estão rodando, quem os supervisa e o que acontece quando eles erram?

Perguntas frequentes

O que é a Política de Inteligência Artificial da Receita Federal?

É um documento oficial publicado pela Receita Federal do Brasil que estabelece os princípios e diretrizes para o uso de inteligência artificial dentro do órgão. Os três pilares centrais são responsabilidade, transparência e supervisão humana, exigindo que cada sistema de IA tenha um responsável identificável, seja explicável e passe por revisão humana em decisões de alto impacto.

Empresas privadas precisam se preocupar com essa política?

Diretamente, a política se aplica ao uso interno da Receita. Indiretamente, ela sinaliza o padrão que será exigido de fornecedores de tecnologia em contratos públicos e cria um precedente que tende a se replicar em regulações setoriais privadas, como já aconteceu com LGPD e com as normas de cibersegurança do Banco Central.

O que é supervisão humana em sistemas de IA e por que ela importa?

Supervisão humana é o requisito de que decisões de alto impacto geradas por sistemas de IA sejam revisadas por uma pessoa antes de serem executadas ou, no mínimo, que haja mecanismo de contestação e auditoria posterior. Ela importa porque elimina o argumento de “o algoritmo decidiu” e cria responsabilização clara, algo que reguladores e clientes corporativos estão cada vez mais exigindo.

Como uma empresa de TI pode se preparar para a regulação de IA que vem por aí?

O passo inicial é mapear todos os sistemas que usam IA ou machine learning, identificar quais tomam decisões com impacto em clientes ou em conformidade regulatória, nomear responsáveis formais por cada um e documentar o fluxo de supervisão humana. Depois, consolidar tudo isso numa política interna de uso de IA revisada por jurídico e por liderança. Fazer isso agora, de forma proativa, é mais barato e menos arriscado do que fazer em resposta a uma auditoria ou a um edital com prazo apertado.