A Autoridade Nacional de Proteção de Dados publicou o Mapa de Temas Prioritários para o biênio 2026 e 2027, e colocou inteligência artificial entre os quatro eixos centrais de fiscalização. São 20 fiscalizações específicas de IA programadas para o período. Registro em análise do Data Guide e em levantamento do Plugged Ninja.
Os outros três eixos são direitos dos titulares, crianças e adolescentes no ambiente digital, e tratamento de dados pelo setor público. IA entrou junto com esses, o que diz algo sobre o peso que a autoridade está dando ao tema.
O ponto que interessa a quem dirige empresa é que isso não depende de lei nova. A ANPD não está esperando o marco legal de IA ser votado. Ela está aplicando a LGPD, que já vale, sobre sistemas de IA que já existem.
O que a ANPD colocou na mira?
A autoridade sinalizou que sistema baseado em IA precisa observar os princípios e obrigações que a LGPD já prevê. Quatro deles aparecem citados com mais frequência.
Transparência, ou seja, a pessoa saber que existe um sistema automatizado tratando o dado dela. Decisão automatizada, que dá ao titular o direito de pedir revisão. Tratamento de dado sensível, com exigência maior. E governança com gestão de risco, que é a parte que quase ninguém tem documentada.
Em junho de 2026 a ANPD concluiu o monitoramento de 56 agentes de tratamento, entre órgãos públicos e empresas privadas, para verificar obrigações elementares. Nomear encarregado e ter canal de atendimento ao titular estavam entre os itens conferidos. Não é fiscalização sofisticada, é o básico.
Quem está mais exposto
- Comece perguntando se algum processo da empresa usa IA hoje, inclusive ferramenta contratada de terceiro.
- Verifique se esse processo toca dado de pessoa identificável, o que inclui cliente, candidato e funcionário.
- Se o sistema apenas organiza informação sem decidir nada sobre alguém, a exposição é menor.
- Se ele decide, ordena, pontua ou recomenda sobre uma pessoa, a exposição é alta e a documentação precisa existir.
A autoridade sinalizou que empresas com maior exposição são as que tratam dado biométrico, financeiro ou de saúde, as que oferecem produto ou serviço digital para menores de 18 anos, as que prestam serviço ao setor público, e as que usam sistemas de IA no tratamento de dado pessoal.
| Perfil da empresa | Por que entra na lista | Prioridade |
|---|---|---|
| Trata dado biométrico, financeiro ou de saúde | Categoria sensível na LGPD | Alta |
| Oferece produto digital a menores de 18 anos | Eixo próprio no mapa da autoridade | Alta |
| Usa IA que decide ou pontua sobre pessoas | Direito de revisão de decisão automatizada | Alta |
| Presta serviço ao setor público | Eixo próprio no mapa da autoridade | Média |
| Usa IA apenas para organizar informação interna | Trata dado, mas não decide sobre ninguém | Menor |
Repare que a categoria de uso de IA é ampla. Um agente que qualifica lead trata dado pessoal. Uma triagem de currículo trata dado pessoal e ainda decide sobre a pessoa, o que a coloca no topo da lista.
O que muda na prática
Três coisas mudam para uma empresa de 10 a 500 funcionários que já usa IA em algum processo.
Você precisa saber o que tem. A pergunta mais provável numa fiscalização é qual sistema de IA a empresa usa, para quê, e com que dado. Empresa que não sabe responder isso não tem problema de conformidade, tem problema de gestão, e o primeiro vira consequência do segundo.
Decisão automatizada precisa ter revisão. Se o sistema recusa, ordena ou pontua alguém, o titular tem direito de pedir que uma pessoa revise. Isso precisa existir como processo, não como boa intenção.
Ferramenta de terceiro também conta. Usar uma solução pronta não transfere a responsabilidade. Quem trata o dado é a sua empresa, e a autoridade vai perguntar para você, não para o fornecedor.
Se o seu caso envolve dado sensível, vale conferir o estado das suas bases antes de qualquer outra coisa, com o roteiro de como preparar os dados da empresa antes de usar IA.
Como usamos isso na Blue Labs
Trilha de auditoria e permissão mínima já eram regra nossa antes desse anúncio, e a razão original não era conformidade, era operação. Sistema sem registro não dá para consertar quando erra, só desligar, que é exatamente o que a maioria das empresas acaba fazendo, como mostram os dados em o estudo sobre reversão de implementações de IA no Brasil.
O que mudou com o mapa da ANPD foi o peso de duas práticas específicas.
A primeira é registrar o motivo, não só o resultado. Quando um agente ordena, pontua ou recusa, guardamos qual critério levou àquilo. Sem isso não existe revisão possível, existe só um número sem explicação.
A segunda é declarar o que o agente não faz. Todo sistema nosso tem escopo escrito, e o que está fora vai para uma pessoa. Isso serve de controle operacional e serve de resposta quando alguém pergunta até onde a máquina decide.
Vale o recorte honesto. Não somos escritório de advocacia e nada aqui é orientação jurídica. O que fazemos é a parte de sistema, que é deixar rastro suficiente para a área jurídica trabalhar. A leitura legal do seu caso é com quem é da área.
Esse trabalho entra no pilar de tecnologia e automação.
Onde o alarme está exagerado
Nada disso quer dizer que empresa pequena vá ser fiscalizada amanhã. São 20 fiscalizações em dois anos, e o volume sugere foco em casos de maior impacto, não varredura de mercado.
Também não é motivo para parar projeto de IA. A leitura de que o certo é esperar a regulação assentar ignora que a LGPD já vale desde 2020 e que os requisitos citados são os mesmos de sempre. Quem já trata dado pessoal com cuidado tem pouco a mudar.
E não vale contratar consultoria de conformidade antes de ter o inventário. Sem saber o que a empresa usa, qualquer diagnóstico externo começa cobrando para descobrir o que você poderia ter levantado em uma tarde.
Perguntas frequentes
Preciso esperar o marco legal de IA ser aprovado?
Não. A fiscalização anunciada se apoia na LGPD, que já está em vigor. O marco legal em tramitação acrescenta obrigações, mas não é ele que sustenta o que a ANPD está fazendo agora.
Usar ChatGPT ou ferramenta parecida no trabalho conta?
Conta se dado pessoal de cliente, candidato ou funcionário for colado ali. O uso individual e informal costuma ser o ponto mais desprotegido da empresa, justamente porque ninguém registrou que ele existe.
O que a empresa precisa ter pronto primeiro?
O inventário dos sistemas de IA em uso, com finalidade, dado tratado e responsável. É a resposta para a primeira pergunta de qualquer fiscalização e é o item mais rápido de produzir.
Fornecedor de software resolve isso para mim?
Ele resolve a parte dele. A responsabilidade pelo tratamento continua com quem decide usar o dado, que é a sua empresa. Contrato bom ajuda, mas não transfere a obrigação.
Próximo passo
Peça ao seu time uma lista simples de onde a empresa usa IA hoje, incluindo ferramenta contratada e uso informal. Se a lista vier maior do que você esperava, isso já é o resultado do exercício.
Se quiser discutir a parte de registro e rastreabilidade, fale com a gente no WhatsApp. A conversa é sobre sistema, e a parte jurídica fica com quem é da área.
1 comentário