LGPD e IA no Brasil: o que revisar antes da fiscalização de 2027

No Brasil, a inteligência artificial que usa dados pessoais já é regulada, embora o país ainda não tenha uma lei de IA. Quem a regula é a LGPD (Lei Geral de Proteção de Dados Pessoais), que é também a base jurídica das competências da ANPD (Autoridade Nacional de Proteção de Dados), e essa Autoridade colocou a IA entre suas quatro prioridades e prevê 20 ações de fiscalização sobre IA em 2027.

Este guia explica o que a ANPD vai fiscalizar, o que o precedente da Meta em 2024 ensinou, o que a Autoridade espera dos sistemas de IA generativa e o que sua empresa deveria conseguir mostrar se for fiscalizada. Serve para empresas brasileiras e para grupos de outros países da região com operação no Brasil.

A lei de IA pode esperar; a LGPD não

O Marco Legal da IA, o PL 2338/2023 (PL é a sigla de projeto de lei), foi aprovado pelo Senado em 10 de dezembro de 2024. No fim de outubro de 2026, a ficha oficial de tramitação da Câmara dos Deputados o registrava na Comissão Especial, à espera do parecer do relator.

As datas mudaram várias vezes. Segundo um acompanhamento publicado em outubro de 2026, as votações previstas para 19 e 27 de maio de 2026 não se concretizaram, e em agosto daquele ano o relator, Aguinaldo Ribeiro, havia adiado a votação para depois das eleições de outubro de 2026. O calendário legislativo não ofereceu, até agora, uma data confiável nem um texto definitivo.

Enquanto isso, a IA que trata dados pessoais já está sob a LGPD. Segundo uma análise especializada, o Mapa de Temas Prioritários da ANPD não cria obrigações novas: indica onde se concentrará a fiscalização do que a lei já exige. Para o conselho de administração, o risco regulatório da IA no Brasil já existe e já tem fiscalizador.

Para um grupo chileno, colombiano, mexicano ou peruano com negócios no Brasil, a pergunta relevante não é o que diz a norma de IA do país de origem. É o que seus sistemas fazem com dados de pessoas no Brasil. Peça à sua assessoria jurídica local que confirme o alcance da LGPD sobre as suas operações.

O que a ANPD vai fiscalizar em 2026 e 2027

A Resolução CD/ANPD 30/2025, do Conselho Diretor da Autoridade, foi publicada em 24 de dezembro de 2025 e aprovou o Mapa de Temas Prioritários para o biênio 2026-2027. Ele tem quatro eixos: direitos dos titulares, crianças e adolescentes no ambiente digital, tratamento de dados pelo Poder Público, e IA e tecnologias emergentes. O fato também foi noticiado em inglês como a definição das prioridades de fiscalização da Autoridade.

No eixo de IA, o Mapa prevê 20 ações de fiscalização em 2027 sobre tratamento de dados pessoais, inclusive de crianças. No mesmo dia, a Resolução 31/2025 atualizou a Agenda Regulatória 2025-2026.

Segundo a análise do escritório Martinelli, a Autoridade dá prioridade a dados biométricos, financeiros e de saúde. Essa leitura é a base da tabela por setor mais abaixo.

O eixo de crianças e adolescentes acrescenta outra camada de exposição. O ECA Digital, a versão para o ambiente digital do Estatuto da Criança e do Adolescente (ECA), tinha entrada em vigor prevista para 17 de março de 2026. Qualquer sistema de IA que recomende conteúdo, reconheça rostos ou verifique a idade de menores fica mais exposto.

A tabela a seguir cruza essas prioridades com os setores. É uma leitura da GAITECX, não uma lista oficial da ANPD.

Setor	Usos de IA mais expostos	Prioridade que o alcança
Bancos, seguros e fintechs	Análise de crédito, prevenção a fraudes, assistentes virtuais	Dados financeiros e IA
Saúde	Apoio ao diagnóstico, triagem, análise de prontuários	Dados de saúde e IA
Varejo e segurança privada	Reconhecimento facial, análise de vídeo, personalização	Biometria e IA
Telecomunicações, mídia, educação e games	Recomendação de conteúdo, verificação de idade	Crianças e adolescentes e IA
Governo e seus fornecedores	Atendimento automatizado ao cidadão, cruzamento de bases de dados	Poder Público e IA

O precedente Meta: suspensão em dias e multa diária

O caso que melhor dimensiona o risco ocorreu em 2024. Em 2 de julho daquele ano, a ANPD abriu uma fiscalização de ofício e suspendeu, como medida cautelar a política de privacidade da Meta que permitia treinar IA generativa com dados de usuários. O motivo central, segundo a Autoridade: a empresa não havia informado de forma adequada os titulares sobre as consequências do tratamento.

A medida alcançou também pessoas que não eram usuárias das plataformas. Fixou prazo de cinco dias úteis para comprovar a suspensão e multa diária de R$ 50.000 por descumprimento.

A ANPD negou o pedido de reconsideração e, em paralelo, o Cade, a autoridade de concorrência, abriu seu próprio procedimento sobre o uso de dados para treinar IA. A Autoridade revogou a medida em 30 de agosto de 2024, depois de aprovar um plano de conformidade com medidas de transparência para os usuários. A fiscalização continuou aberta e sob monitoramento.

Quatro lições para a sua empresa

O gatilho foi a transparência, não um vazamento. Não foi preciso um incidente de segurança para frear o tratamento.
O perímetro inclui quem não é cliente. Se seus modelos usam dados de terceiros, como contatos, imagens ou informações públicas, esses dados também contam.
Pode haver mais de um regulador. Proteção de dados e concorrência atuaram sobre o mesmo fato, com equipes e prazos distintos.
A saída foi documental. A atividade foi retomada com um plano de conformidade aprovado. A ANPD não proibiu o treinamento de IA: exigiu que ele fosse feito com informação clara aos titulares.

O equilíbrio importa. O caso mostra que a ANPD pode agir rápido, mas também que aceita soluções quando a empresa demonstra transparência. O custo para o negócio não foi apenas a multa potencial: pelas datas citadas, a funcionalidade ficou suspensa no Brasil por cerca de dois meses, entre julho e agosto de 2024.

O que a ANPD espera dos sistemas de IA generativa

Além de fiscalizar, a ANPD publica estudos que revelam seu critério técnico. O Radar Tecnológico sobre IA generativa, um estudo preliminar de novembro de 2024, propõe anonimizar os dados e coletar apenas os necessários para treinar modelos. A Autoridade publicou uma versão em inglês do estudo, útil para matrizes e fornecedores estrangeiros.

O estudo também alerta que o risco não termina com o treinamento inicial: continua presente no refinamento do modelo (fine-tuning) e em desenvolvimentos posteriores. Além disso, adverte sobre conteúdo sintético que pode incluir dados de pessoas reais. Isso afeta qualquer empresa que ajuste um modelo de terceiros com dados de seus clientes.

O Radar Tecnológico nº 6, dedicado aos deepfakes, mapeia riscos e boas práticas, e destaca a supervisão humana e a IA explicável. Para o CISO (responsável pela segurança da informação), os deepfakes são ao mesmo tempo um problema de privacidade e um vetor de fraude contra clientes e executivos.

Esses estudos não substituem a lei, mas antecipam as perguntas de um fiscal:

Quais dados pessoais entraram no treinamento ou no ajuste do modelo, e por que eram necessários?
Foram anonimizados ou minimizados antes do uso?
Quem revisa os resultados do sistema que afetam pessoas?
Como se explica uma decisão do sistema a um titular que a contesta?

A ANPD terá mais poder quando chegar a regulação de IA

O fiscalizador também mudou. A Medida Provisória 1.317/2025, de 17 de setembro de 2025, transformou a ANPD na décima segunda agência reguladora do Brasil, sob o regime da Lei 13.848/2019. O Senado aprovou a medida em 24 de fevereiro de 2026: a instituição passa a se chamar Agência Nacional de Proteção de Dados, com 200 novos cargos de especialista em regulação e um órgão de auditoria. A Agência Brasil também registrou a aprovação.

A ANPD terá mais pessoal especializado justamente quando começarem as ações sobre IA programadas para 2027. Mais capacidade técnica permite fiscalizações mais numerosas e mais profundas.

Seu papel pode crescer ainda mais. Em dezembro de 2025, o Governo propôs um projeto de lei para criar um sistema de governança da IA, o SIA. Segundo a Security Leaders, a proposta chegou por mensagem presidencial ao Congresso (a Mensagem 1.845), anexada ao PL 2338. Ela coloca a ANPD como reguladora residual dos setores sem autoridade própria e cria um Conselho Brasileiro de IA (CBIA).

O escritório Baptista Luz explica que o SIA organiza instituições sem impor regras de fundo, e que a ANPD editaria normas gerais vinculantes. O projeto também cria obrigações para os órgãos públicos que usem IA de alto risco, algo relevante para as empresas que lhes prestam serviços.

O CGI.br (Comitê Gestor da Internet no Brasil) apoia que a ANPD coordene a regulação da IA e pede classificação de riscos, transparência e explicabilidade. Enquanto o Congresso não aprovar essas propostas, elas não são lei. Ainda assim, a relação que sua empresa construir com a ANPD provavelmente será a que terá com o futuro regulador de IA.

Lista de verificação: o que sua empresa deveria conseguir mostrar

A pergunta útil para o próximo comitê é simples: “Se a ANPD nos fiscalizar em 2027, quais documentos apresentamos?”. Use esta tabela para respondê-la com evidências, não com intenções.

Os responsáveis sugeridos são o CEO (presidente executivo), o CIO (responsável por tecnologia), o DPO (encarregado de proteção de dados), o CDO (responsável por dados), o COO (responsável por operações), o CMO (responsável por marketing) e o CISO, além das áreas jurídica e de suprimentos.

Pergunta do conselho	Evidência que deveria existir	Responsável sugerido
Sabemos quais sistemas de IA usam dados pessoais?	Inventário com categorias marcadas: biometria, saúde, dados financeiros e menores	CIO e DPO
Nossos avisos de privacidade explicam o uso de dados para IA?	Avisos atualizados, histórico de versões e alcance sobre pessoas que não são clientes	DPO e área jurídica
Minimizamos e anonimizamos os dados de treinamento e ajuste?	Política de minimização e registro dos testes realizados	CDO e DPO
Sabemos o que nossos fornecedores de IA fazem com os nossos dados?	Cláusulas sobre uso para treinamento, fine-tuning e localização dos dados	Suprimentos e CISO
Conseguimos suspender um tratamento em cinco dias úteis sem parar a operação?	Plano de continuidade e custo diário estimado da suspensão	COO e CIO
Há supervisão humana e controles contra deepfakes?	Procedimentos de revisão humana e de verificação de identidade	CISO e CMO
O conselho recebe informações periódicas sobre risco de IA?	Relatório trimestral com inventário, incidentes e situação regulatória	CEO e comitê de riscos

Se alguma linha não tiver evidência, ali está a sua prioridade.

O que fazer nos próximos 90 dias

Semana 1: designe um responsável único (CEO). Nomeie uma pessoa que responda ao conselho pelo risco regulatório da IA, com mandato para coordenar tecnologia, dados, jurídico e segurança.
Dias 1 a 45: conclua o inventário (CIO e DPO). Liste os sistemas de IA próprios e de terceiros que usam dados pessoais. Marque os que tratam biometria, saúde, dados financeiros ou dados de menores, que são as prioridades apontadas para a ANPD.
Dias 15 a 60: revise a transparência (DPO e área jurídica). Verifique se os avisos de privacidade explicam com clareza o uso de dados para treinar ou ajustar modelos. Revise se o tratamento alcança pessoas que não são clientes, como ocorreu no caso Meta.
Dias 30 a 60: exija respostas dos fornecedores (Suprimentos e CISO). Pergunte por escrito se seus dados são usados para treinar modelos, se aplicam anonimização e minimização, e o que acontece com os dados usados no fine-tuning. Leve as respostas aos contratos.
Dias 30 a 75: avalie o impacto dos sistemas mais arriscados (DPO e CDO). Documente um relatório de impacto à proteção de dados para os usos marcados no inventário. Peça à sua assessoria jurídica que confirme em quais casos ele é obrigatório.
Dias 45 a 75: controle o conteúdo sintético (CISO e CMO). Defina supervisão humana para o conteúdo gerado com IA e um protocolo de verificação diante de deepfakes que imitem executivos ou a marca.
Dias 60 a 90: simule uma medida preventiva (COO e CIO). Escolha um sistema crítico e teste se é possível suspender o tratamento e comprová-lo em cinco dias úteis. Estime quanto custaria cada dia de suspensão.
Dia 90: informe o conselho (CEO e comitê de riscos). Apresente o inventário, as lacunas e o plano. Inclua a situação da tramitação do PL 2338 e do SIA, com um responsável definido para o acompanhamento.

Perguntas frequentes

Preciso esperar a aprovação do PL 2338 para agir? Não. A votação na Câmara foi adiada várias vezes ao longo de 2026, enquanto a LGPD já se aplica à IA que usa dados pessoais. A fiscalização sobre IA prevista para 2027 se baseia em obrigações vigentes.

O Mapa de Temas Prioritários cria obrigações novas? Não. Segundo esta análise, o Mapa indica onde se concentrará a fiscalização do que a LGPD já exige. Seu valor para o conselho é antecipar para onde a ANPD vai olhar.

O que a ANPD pode fazer se detectar um problema em um sistema de IA? No caso Meta, em 2024, ordenou uma suspensão cautelar com prazo de cinco dias úteis e multa diária de R$ 50.000. A medida foi revogada após um plano de conformidade aprovado, o que mostra que a documentação define a saída.

Minha empresa não é brasileira. Isso me afeta? Se você trata dados de pessoas no Brasil, provavelmente sim, mas confirme com assessoria jurídica local. Revise também seus fornecedores de IA, porque o risco dos modelos deles se transfere para a sua operação.

A visão do GAITECX

No GAITECX, vemos que o risco da IA no Brasil já não é uma discussão legislativa, e sim operacional: a ANPD tem prioridades, prazos e precedentes. As empresas que chegarem a 2027 com o inventário de IA e os avisos de privacidade em dia transformarão uma fiscalização em um trâmite, e não em uma suspensão. Por isso este tema faz parte do track de Cibersegurança Estratégica, onde CISOs, DPOs e líderes de dados da região comparam como estão se preparando.