Texas Responsible AI Governance Act (TRAIGA, HB 149)

A Texas Responsible Artificial Intelligence Governance Act — HB 149, sancionada pelo governador Greg Abbott em 22 de junho de 2025 e em vigor desde 1º de janeiro de 2026 — quase certamente se aplica às suas ferramentas de IA e quase certamente não exige nada de você no plano operacional. Codificada no capítulo 552 do Texas Business & Commerce Code, ela alcança qualquer pessoa que faça negócios no Texas, que produza um produto ou serviço usado por residentes do Texas, ou que desenvolva ou faça deploy de um sistema de IA no Texas. É uma rede jurisdicional ampla, sem limite de receita nem de headcount. O que está dentro da rede é estreito: quatro proibições baseadas em intenção, deveres de divulgação que recaem sobre órgãos públicos e prestadores de saúde em vez de empregadores comuns, e nenhum programa de compliance contínuo de qualquer tipo. O trabalho que a TRAIGA cria para um time de ops é documental — provar por que você fez o deploy de um sistema — e não procedimental.

O que a TRAIGA NÃO é

• Não é uma lei de gestão de riscos. Não há avaliações de impacto, nem auditorias de viés, nem programa de gestão de riscos de IA, nem causa de pedir por discriminação algorítmica. Se você montou um plano de compliance contra a SB 24-205 original do Colorado ou contra o regime de alto risco do EU AI Act, nada dessa arquitetura é exigido aqui.
• Não é uma lei de divulgação para empregadores privados. O aviso prévio de “você está falando com uma IA” recai sobre órgãos públicos; um dever separado recai sobre prestadores de saúde licenciados na data do atendimento. Um empregador privado que faz triagem de candidatos do Texas com uma ferramenta de IA não deve nenhum aviso a eles sob a TRAIGA.
• Não é acionável pelas pessoas que ela protege. O procurador-geral do Texas tem autoridade exclusiva de execução, não existe ação privada, e ordenanças municipais sobre IA ficam afastadas.

Quem é coberto e quem fica de fora

A cobertura se ativa por qualquer um dos três ganchos jurisdicionais acima, aplicados tanto a developers (quem oferece, vende ou fornece um sistema de IA no Texas) quanto a deployers (quem o coloca em uso para fins do Texas). Diferente das regras de sistemas de decisão automatizada da Califórnia, que começam em cinco funcionários, a TRAIGA não depende de porte — um time de RevOps de 12 pessoas rodando um AI SDR contra prospects do Texas é coberto nos mesmos termos que uma grande empresa.

Duas exclusões importam para o comprador: seguradoras reguladas pelo Texas Insurance Code e instituições financeiras com seguro federal que operam sob seus reguladores bancários ficam fora da proibição de discriminação. Distritos hospitalares e instituições de ensino superior estão isentos do dever de divulgação dos órgãos públicos.

As proibições

Quatro se aplicam a qualquer pessoa coberta:

1. Manipulação comportamental — desenvolver ou fazer deploy de um sistema de IA que intencionalmente incite ou incentive automutilação física, dano a outra pessoa ou atividade criminosa.
2. Violação de direitos constitucionais — um sistema desenvolvido com a única intenção de violar os direitos constitucionais de uma pessoa.
3. Discriminação ilegal — desenvolver ou fazer deploy de um sistema de IA com intenção de discriminar ilegalmente uma classe protegida.
4. Material de abuso sexual infantil e deepfakes explícitos de menores.

Outras três se aplicam apenas a órgãos públicos: pontuação social que leve a tratamento prejudicial, identificação biométrica de pessoas a partir de fontes publicamente disponíveis sem consentimento, e o aviso prévio de uso de IA.

O padrão de intenção é a história toda

Para quem usa IA em contratação, outbound ou decisões próximas de crédito, uma frase da lei carrega todo o peso prático: um impacto desproporcional não basta por si só para demonstrar intenção de discriminar. O Texas fechou, sob sua própria lei, exatamente a tese que o Title VII, o ADA e o ADEA continuam permitindo no plano federal, e sobre a qual se apoiam a NYC Local Law 144 e as emendas de Illinois sobre IA em contratação.

É por isso que ler compliance apenas pela ótica do Texas é uma armadilha. A TRAIGA reduziu sua exposição sob lei estadual e não mudou nada da sua exposição federal. Um modelo de triagem que rejeita candidatos acima de 50 anos ao dobro da taxa dos mais jovens continua sendo um problema de ADEA em Dallas; apenas não é um problema de TRAIGA.

Intenção, porém, se prova com documentos. Os artefatos que transformam uma ferramenta neutra em um caso de intenção são os que times de ops geram sem pensar: uma afirmação de marketing do fornecedor sobre filtrar um grupo demográfico, um ticket de configuração especificando um resultado, a ausência total de registro de testes. A TRAIGA recompensa registrar por escrito o propósito legítimo antes do deploy, porque o registro é a defesa.

Porto seguro e execução

A seção 552.105(e) dá defesa a quem descobre uma violação por feedback de stakeholders, red-teaming ou testes adversariais, seguindo orientações de agências estaduais, ou por um processo de revisão interna que cumpre substancialmente um framework reconhecido como o NIST AI Risk Management Framework. O uso indevido do seu sistema por um terceiro também é um escudo. Esta é a única parte da TRAIGA que compensa construir de fato, e não apenas documentar.

A execução passa pelo procurador-geral, que pode emitir uma civil investigative demand sem antes notificar a violação. Uma CID pode alcançar descrições do sistema, propósito pretendido, dados de treinamento, entradas e saídas, métricas de desempenho, limitações conhecidas, monitoramento pós-deploy e salvaguardas do usuário. Após a notificação de violação, você tem 60 dias para sanar. Penalidades: 10.000 a 12.000 USD por violação sanável não sanada, 80.000 a 200.000 USD por violação não sanável, e 2.000 a 40.000 USD por dia em violações continuadas.

A data para colocar na agenda é 1º de setembro de 2026, quando o portal de reclamações online que a lei exige do procurador-geral precisa estar operando. O órgão publicou em julho de 2026 uma página de Consumer AI Rights explicando as proibições e as penalidades; nenhuma ação formal de execução ou CID sob a TRAIGA havia sido reportada publicamente na primeira metade de 2026. A entrada de reclamações, e não uma regulamentação, é o mecanismo que provavelmente vai gerar os primeiros casos.

Sandbox e Conselho

O Texas Department of Information Resources administra um sandbox regulatório — até 36 meses, isenção de exigências estaduais de licença e autorização, relatórios trimestrais sobre desempenho, mitigação de riscos e feedback de stakeholders. As proibições centrais continuam valendo para os participantes do sandbox. Um Texas Artificial Intelligence Council de sete membros fica sob o DIR em papel consultivo e sem poder regulamentar.

Leia isso de forma estrutural: nenhuma agência vai editar regras para preencher as lacunas da TRAIGA. A lei é todo o regime, e continuará assim de enxuta até o legislativo retomá-la.

Pontos de atenção

• Tratar a TRAIGA como teto. O padrão de intenção é uma defesa de lei estadual, não federal. Guarda: continue rodando testes de impacto adverso contra a convenção federal dos quatro quintos independentemente do que o Texas exija, e guarde os resultados.
• Ler “sem dever de divulgação” como “sem aviso em lugar nenhum.” A localização do candidato, e não a sede da empresa, decide qual regra de aviso governa uma vaga. Guarda: mantenha uma matriz jurisdicional cobrindo NYC LL 144, Illinois, Califórnia e o artigo 50 da UE, e amarre o template de aviso à jurisdição do candidato.
• A armadilha biométrica. A TRAIGA alterou a lei CUBI do Texas: material publicamente disponível não constitui consentimento para captura biométrica, salvo se a própria pessoa o publicou. Face-matching numa etapa de verificação de identidade é uma questão de CUBI antes de ser de TRAIGA. Guarda: obtenha e registre consentimento escrito antes de qualquer captura de geometria facial no funil, e confirme no contrato o cronograma de retenção do fornecedor.
• Tomar a admissão no sandbox como credencial de segurança. O sandbox dispensa exigências de licença, não as proibições. Guarda: se um fornecedor cita participação no sandbox numa revisão de segurança, pergunte qual exigência de licença foi dispensada; a resposta costuma ser nada relevante para você.
• Propósito não documentado. Uma CID chega com prazo de resposta, não com janela de pesquisa. Guarda: mantenha uma declaração escrita de uma página com o uso pretendido mais o registro de testes de cada sistema de IA com nexo com o Texas, atualizada a cada renovação.

O que fazer agora

1. Faça o inventário de todo sistema de IA com nexo com o Texas — candidatos, prospects ou clientes do Texas, ou operação sediada lá.
2. Escreva o registro de intenção de cada um: propósito, decisão que ele influencia, quem revisa a saída, quais testes foram feitos.
3. Mapeie seu processo de revisão interna para o NIST AI RMF, já que esse mapeamento é a rota nomeada para o porto seguro.
4. Acrescente uma cláusula de cooperação com CID aos termos com fornecedores de IA. Dentro de uma janela de 60 dias para sanar você vai precisar da documentação de dados de treinamento e limitações conhecidas do fornecedor, e nenhum MSA padrão o obriga a entregá-la.
5. Agende 1º de setembro de 2026 e reveja a postura do procurador-geral nessa data.

Consulte a assessoria jurídica para análise específica por jurisdição.

Relacionado

• Colorado AI Act (SB 24-205, agora SB 26-189) — o modelo de gestão de riscos que o Texas deliberadamente optou por não copiar
• NYC Local Law 144 — o regime de auditoria de viés que continua sendo o piso operacional da IA em contratação
• Política de IA para times jurídicos — o template de governança interna que carrega o registro de intenção que a TRAIGA recompensa
• Viés na triagem com IA — o que o teste de impacto adverso realmente mede, e por que você continua fazendo isso sob uma lei baseada apenas em intenção
• EU AI Act para times jurídicos — os deveres de transparência e de alto risco que continuam valendo para ferramentas voltadas à UE