ANPD e IA: Fiscalização de Dados Pessoais em 2026 | OpenClaw

A ANPD não esperou o Congresso. Enquanto o Marco Legal da IA ainda tramita, a Autoridade Nacional de Proteção de Dados já começou a agir. Em dezembro de 2025, publicou o Mapa de Temas Prioritários para o biênio 2026-2027, colocando a inteligência artificial como um dos quatro eixos centrais de fiscalização.

Para qualquer empresa que usa IA com dados de brasileiros — de chatbots a sistemas de recomendação, de análise de crédito a recrutamento automatizado — as implicações são imediatas e sérias.

O Que a ANPD Está Fiscalizando em 2026

O Mapa de Temas Prioritários para 2026-2027 estabelece quatro eixos de atuação da ANPD. No eixo específico de inteligência artificial, a autoridade deixa claro que sistemas de IA que envolvam dados pessoais estarão sujeitos a avaliação rigorosa nos seguintes critérios:

1. Transparência Algorítmica

A ANPD exige que empresas informem aos titulares de dados:

• Quando seus dados estão sendo processados por sistemas de IA
• Como as decisões automatizadas são tomadas
• Quais dados são utilizados como input para os algoritmos
• Qual é a lógica por trás das recomendações e decisões

Isso vai além do que a LGPD já previa. A fiscalização agora busca garantir que a explicabilidade dos sistemas de IA seja real, não apenas formal.

2. Uso de Dados Pessoais no Treinamento de IA

O Projeto de Lei 2775/24 quer alterar a LGPD para exigir consentimento prévio e expresso do titular antes de qualquer atividade de treinamento de IA com seus dados. Além disso, proíbe o uso de dados pessoais de menores de 16 anos para treinamento.

Mesmo antes da aprovação dessa lei, a ANPD já está investigando:

• Empresas que usaram dados de brasileiros para treinar modelos sem consentimento
• Bases de dados de scraping que incluem informações pessoais
• Datasets comercializados que contêm dados protegidos pela LGPD

3. Decisões Automatizadas com Impacto Significativo

A LGPD já garante ao titular o direito de solicitar revisão de decisões automatizadas (Art. 20). Em 2026, a ANPD está intensificando a fiscalização sobre:

• Análise de crédito — scoring automatizado que nega empréstimos sem explicação clara
• Recrutamento — sistemas de triagem de currículos com viés algorítmico
• Precificação dinâmica — algoritmos que ajustam preços com base em perfis pessoais
• Saúde — sistemas de IA que influenciam diagnósticos ou cobertura de planos

Para cada um desses casos, a empresa precisa demonstrar que existe um processo de revisão humana disponível e acessível.

4. Transferência Internacional de Dados via IA

Muitas empresas brasileiras usam LLMs hospedados no exterior — ChatGPT (EUA), Claude (EUA), Gemini (EUA). Toda vez que dados pessoais de brasileiros são enviados a esses modelos, pode haver transferência internacional de dados sujeita às regras da LGPD.

A ANPD está analisando se as cláusulas contratuais padrão e as políticas de privacidade das big techs realmente protegem os dados de brasileiros conforme a legislação nacional.

Multas e Penalidades: O Que Está em Jogo

A LGPD prevê multas de até 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Mas o impacto vai além do financeiro:

A suspensão do tratamento é particularmente grave para empresas que dependem de IA: pode significar desligar um chatbot de atendimento, parar um sistema de recomendação ou interromper um pipeline de automação empresarial.

Como Preparar Sua Empresa: Guia Prático

Passo 1: Mapeie Seus Sistemas de IA

Faça um inventário de todos os sistemas que usam IA com dados pessoais:

• Chatbots e assistentes virtuais (WhatsApp, Telegram, site)
• Sistemas de CRM com scoring automatizado
• Ferramentas de marketing com segmentação por IA
• Sistemas de RH com triagem automatizada de candidatos
• Análise de dados com modelos preditivos

Passo 2: Avalie a Base Legal

Para cada sistema, identifique a base legal do tratamento de dados:

• Consentimento — mais seguro, mas precisa ser específico e informado
• Legítimo interesse — possível, mas exige Relatório de Impacto (RIPD)
• Execução de contrato — válido quando a IA é parte do serviço contratado
• Obrigação legal — aplicável em setores regulados

A automação de compliance com LGPD pode acelerar significativamente esse processo de mapeamento.

Passo 3: Implemente Transparência Real

Não basta uma política de privacidade genérica. A ANPD espera:

• Avisos claros quando o usuário está interagindo com IA
• Explicações acessíveis sobre como decisões automatizadas são tomadas
• Canal efetivo para solicitar revisão humana de decisões
• Registro auditável de como os dados são usados nos modelos

Passo 4: Documente o Relatório de Impacto (RIPD)

O Relatório de Impacto à Proteção de Dados Pessoais é obrigatório para tratamentos de alto risco. Sistemas de IA que tomam decisões automatizadas se enquadram nessa categoria. O RIPD deve conter:

• Descrição do tratamento e finalidade
• Necessidade e proporcionalidade
• Riscos identificados e medidas de mitigação
• Resultados da avaliação de impacto

Passo 5: Prepare-se Para Fiscalização

A ANPD pode solicitar informações a qualquer momento. Tenha preparado:

• Inventário atualizado de sistemas de IA
• Base legal documentada para cada tratamento
• RIPD elaborado e revisado
• Processos de revisão humana documentados
• Logs de consentimento quando aplicável

IA Local Como Estratégia de Compliance

Uma tendência crescente é o uso de modelos locais de IA para evitar transferência internacional de dados. Quando o modelo roda no servidor da própria empresa, os dados pessoais não saem do Brasil — eliminando uma camada inteira de risco regulatório.

Soluções como Ollama permitem rodar LLMs localmente, e a privacidade com IA local é um diferencial competitivo real em um cenário de fiscalização mais rigorosa.

Essa abordagem se alinha com o conceito de self-hosted vs cloud e pode ser especialmente relevante para setores sensíveis como saúde, finanças e direito.

O Cruzamento Entre ANPD e Marco Legal da IA

É importante entender que a ANPD e o Marco Legal da IA não são esforços isolados. O PL 2338/2023 prevê que a ANPD terá um papel central na fiscalização de sistemas de IA, especialmente quando envolvem dados pessoais.

Na prática, isso significa que empresas precisarão atender a duas camadas de regulação simultâneas:

1. LGPD — para o tratamento de dados pessoais
2. Marco Legal da IA — para a governança dos sistemas de inteligência artificial

Quem já estiver em conformidade com a LGPD terá vantagem na adaptação ao Marco Legal. A governança de IA precisa ser pensada de forma integrada com a proteção de dados desde o início.

Veja também como a Reforma Tributária de 2026 está exigindo automação inteligente — mais uma regulamentação que demanda atenção das empresas neste ano.

Conclusão

A fiscalização da ANPD sobre sistemas de IA não é uma ameaça futura — está acontecendo agora. Empresas que tratam dados pessoais com inteligência artificial precisam agir preventivamente: mapear sistemas, documentar bases legais, implementar transparência real e preparar relatórios de impacto.

O custo de se preparar é significativamente menor que o custo de uma autuação. E no cenário regulatório de 2026, com LGPD, Marco Legal da IA e reforma tributária acontecendo simultaneamente, compliance integrado não é luxo — é sobrevivência.

Este conteúdo é informativo e não constitui aconselhamento jurídico. Consulte um advogado especializado em proteção de dados e direito digital para orientações específicas sobre a situação da sua empresa.