ANPD e UE avançam regras para IA generativa; veja o que muda na sua empresa
Editais da ANPD, novas diretrizes da UE e o sandbox regulatório redesenham o prazo de adequação da IA generativa à LGPD em 2026.
A Autoridade Nacional de Proteção de Dados (ANPD) e o Programa das Nações Unidas para o Desenvolvimento (PNUD) publicaram, em 7 de julho, cinco editais para contratar consultores que vão produzir estudos técnicos sobre proteção de dados no Brasil. Um deles é dedicado exclusivamente a agentes de inteligência artificial: o profissional selecionado terá até 120 dias para mapear o tratamento de dados pessoais ao longo do ciclo de vida desses sistemas e produzir subsídios técnicos para a regulamentação da agência.
O prazo de inscrição vai até 26 de julho, e a remuneração por consultoria é de R$ 82.846,72. O resultado alimenta diretamente a Agenda Regulatória 2025-2026 da ANPD, que já lista inteligência artificial como um dos quatro eixos prioritários de fiscalização para o biênio 2026-2027.
Para quem já usa ou pretende usar IA generativa em fluxos que tratam dados pessoais, o edital mostra que a ANPD está construindo, com base técnica, os parâmetros que vão orientar a futura regulamentação sobre IA generativa e LGPD — e que o momento de organizar a governança interna é agora, não depois de a norma específica sair.
Caso Grok expõe lacunas das plataformas de IA generativa
Antes de qualquer lei nova, a ANPD já demonstrou como pretende aplicar a LGPD à IA generativa. Na Nota Técnica nº 1/2026, publicada em janeiro após denúncias sobre o Grok, da X Corp, a autarquia definiu que conteúdo sintético gerado por IA e referente a uma pessoa identificada ou identificável constitui dado pessoal — e passa a ser dado sensível quando envolve elementos biométricos.
O entendimento amplia o risco para qualquer empresa que opere ou integre ferramentas de geração de imagem, texto ou vídeo: segundo a própria ANPD, a base legal de legítimo interesse tende a ser insuficiente quando o resultado sintético envolve biometria ou risco à dignidade do titular.
Um estudo da Fundação Getulio Vargas que avaliou a documentação de sete plataformas de IA generativa disponíveis no Brasil concluiu que nenhuma cumpriu integralmente os critérios mínimos de transparência exigidos pela LGPD, com falhas recorrentes na divulgação dos mecanismos de transferência internacional de dados e nos canais de contato com o encarregado.
ANPD se projeta como reguladora residual da inteligência artificial
O Projeto de Lei Complementar 6.237/2025, enviado pelo Executivo ao Congresso, cria o Sistema Nacional para Desenvolvimento, Regulação e Governança de Inteligência Artificial (SIA) e posiciona a ANPD como "autoridade reguladora residual": nos setores sem regulador próprio, será a agência quem vai normatizar, fiscalizar e sancionar o uso de sistemas de IA.
Na prática, isso significa editar normas vinculantes, requisitar informações sobre os dados usados no treinamento de modelos e credenciar instituições de auditoria — atribuições que se somam às obrigações já vigentes hoje, independentemente de lei nova: revisão de decisões automatizadas pelo art. 20 da LGPD, elaboração de Relatório de Impacto à Proteção de Dados (RIPD) e indicação de encarregado com canal ativo.
Quem trata a adequação de IA generativa como projeto à parte, a ser iniciado só quando a lei específica for sancionada, chega atrasado: o Mapa de Temas Prioritários da ANPD para 2026-2027 prevê ao menos 75 ações de fiscalização, com inteligência artificial entre os eixos com mais processos planejados.
Custo de shadow AI já aparece no balanço
Os números por trás do descontrole no uso de IA generativa já têm peso financeiro mensurável. Segundo o relatório Cost of a Data Breach 2025, da IBM, o custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, alta de 6,5% sobre o ano anterior — e o uso não autorizado de ferramentas de IA (shadow AI) adicionou, em média, R$ 591,4 mil a esse valor.
As sanções da própria LGPD reforçam a exposição: multas administrativas podem chegar a 2% do faturamento do grupo econômico no Brasil, limitadas a R$ 50 milhões por infração. Não é risco teórico — a ANPD já aplicou medida cautelar determinando a interrupção do uso de dados pessoais para treinar modelo de IA de uma grande plataforma social.
O Cisco 2026 Data and Privacy Benchmark Study, com mais de 5.200 profissionais de privacidade ouvidos em 12 mercados, mostra o outro lado do problema: 90% das organizações ampliaram seus programas de privacidade por causa da IA e 93% planejam investir ainda mais, mas apenas 12% consideram seus comitês de governança de IA maduros o suficiente para funcionar na prática, mesmo com 75% das empresas já tendo criado esse tipo de comitê.
EDPB e ANPD avançam regras específicas para IA generativa
Na União Europeia, o EDPB adotou, em 8 de julho, diretrizes específicas sobre anonimização e sobre coleta de dados por web scraping no contexto de IA generativa — a consulta pública sobre os dois textos segue aberta até 30 de outubro. Empresas brasileiras que treinam ou contratam modelos com dados de titulares europeus terão nesses documentos o parâmetro prático que ainda falta na regulamentação nacional.
No Brasil, o sandbox regulatório da ANPD segue em fase de testes até dezembro de 2026, com três empresas selecionadas — Metatext, Synapse e IA Greenworld — sob acompanhamento direto da agência. O primeiro relatório parcial de monitoramento do programa foi publicado neste mês de julho, e as conclusões devem alimentar a regulamentação definitiva sobre IA que a ANPD prepara.
No Congresso, o PL 2338/23, que fixa o marco legal geral da inteligência artificial, segue aguardando parecer do relator na Comissão Especial da Câmara dos Deputados, sem data certa de votação. Enquanto isso, a LGPD continua sendo a única norma de aplicação imediata sobre o tratamento de dados pessoais por sistemas de IA generativa no Brasil.
Divergência sobre quem deve regular a IA no Brasil
Nem todos os reguladores concordam com o desenho que coloca a ANPD no centro da governança de IA. A proposta do Sistema Nacional de Inteligência Artificial atribui à agência o papel de "autoridade reguladora residual" nos setores sem regulador próprio, mantendo competência específica para áreas já reguladas, como telecomunicações e setor financeiro.
A Anatel se manifestou formalmente ao Congresso sobre o projeto e endossou a criação do sistema e o papel residual da ANPD, mas pediu ajustes no texto para evitar sobreposição de competências com agências setoriais já estabelecidas.
Já o assessor especial do Gabinete de Segurança Institucional, Marcelo Malagutti, levantou uma reserva diferente durante o Painel Telebrasil 2026: a preocupação não é com a ANPD em si, mas com reduzir a IA a uma questão de dados pessoais, quando riscos como computação quântica e computação de borda também exigem atenção redobrada dos gestores de segurança da informação.
Na data de 4 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
