Aviso de privacidade e retenção: os dois documentos que a era da IA mandou reescrever
ANPD, ECA Digital e AI Act convergem em 2026 e expõem o pacote documental da adequação à LGPD escrito antes da IA generativa.
A maioria das empresas ainda opera com avisos de privacidade e políticas de retenção redigidos na adequação à LGPD de 2020 e 2021, antes da IA generativa, do ECA Digital e da atual fase de fiscalização da Agência Nacional de Proteção de Dados.
Em 2026, três frentes convergem: o Mapa de Temas Prioritários 2026-2027, que elege inteligência artificial e direitos dos titulares como eixos de fiscalização; o ECA Digital em vigor, com cronograma escalonado de supervisão; e o adiamento do alto risco do AI Act, cujas obrigações de transparência seguem para agosto de 2026.
No Judiciário, o Painel LGPD nos Tribunais mostra a revisão de decisões automatizadas e o ciclo de vida do dado no centro do litígio.
Documento desatualizado deixa de ser detalhe formal e vira agravante na dosimetria da sanção.
A Agência Nacional de Proteção de Dados publicou em 24 de dezembro de 2025 o Mapa de Temas Prioritários para o biênio 2026-2027, que elege quatro eixos de fiscalização: direitos dos titulares; proteção de crianças e adolescentes no ambiente digital; tratamento de dados pessoais pelo Poder Público; e inteligência artificial e tecnologias emergentes. O documento, aprovado pela Resolução CD/ANPD nº 30/2025, veio acompanhado da atualização da Agenda Regulatória.
Segundo a TeleTime, a Agência definiu ao menos 75 ações de fiscalização para o biênio, distribuídas entre esses quatro eixos. É o roteiro que indica onde a fiscalização vai bater primeiro.
O problema para a maioria das empresas antecede esse mapa: o aviso de privacidade e a política de retenção que sustentam a operação foram escritos na adequação original à LGPD, entre 2020 e 2021, antes da adoção massiva de IA generativa, do ECA Digital e desta fase fiscalizatória. Três frentes tornaram esse pacote documental obsoleto ao mesmo tempo.
O que a IA faz e o aviso de 2020 não descreve
Sistemas de IA tratam dados de formas que nenhum aviso de 2020 descrevia. Modelos inferem características que o titular nunca forneceu, reaproveitam no treinamento de um sistema dados coletados para outra finalidade e automatizam decisões que afetam crédito, emprego e acesso a serviços. O aviso antigo silencia sobre tudo isso.
A GDPR Local, consultoria britânica de privacidade, sintetiza o que um aviso na era da IA precisa informar: os tipos e as fontes de dados usados pelos sistemas, quais inferências eles podem produzir, como as decisões automatizadas afetam o titular e por quais canais exercer direitos. O reaproveitamento de dado coletado para uma finalidade e usado para treinar modelo, alerta a consultoria, colide com o princípio da finalidade.
O STJ já traduziu essa exigência em obrigação. No REsp 2.135.783/DF, julgado em junho de 2024 pela Terceira Turma, relatora ministra Nancy Andrighi, a Corte firmou que a plataforma que suspende um perfil por decisão automatizada deve informar ao titular a razão e fornecer, quando solicitados, os critérios e procedimentos utilizados, observados os segredos comercial e industrial. É o que o aviso pré-IA não oferece.
Retenção virou litígio, não teoria
O ciclo de vida do dado, até quando e sob qual base legal ele pode ficar armazenado, saiu da teoria e virou disputa repetitiva no Superior Tribunal de Justiça. No Tema 1.264, afetado sob o rito dos recursos repetitivos, a Corte decide se dívida prescrita pode ser cobrada por via extrajudicial, inclusive com a inscrição do nome em plataformas de renegociação como Serasa Limpa Nome e Acordo Certo.
Em dezembro de 2025, a 2ª Seção afetou também os REsps 2.226.946/SP e 2.226.097/SP, de relatoria do ministro Raul Araújo, para definir se é lícita a disponibilização ou comercialização de dados pessoais não sensíveis por gestor de banco de dados de proteção ao crédito, sem prévia comunicação ou consentimento do cadastrado, e se disso decorre dano moral presumido.
A pergunta de fundo dos dois casos é a mesma que uma política de retenção deveria responder de antemão: por quanto tempo e com que base legal o dado permanece. Onde a política inexiste ou não é aplicada, quem decide caso a caso é o tribunal.
Dosimetria premia quem documenta, pune quem não
O custo de não atualizar aparece no volume de litígio. A 5ª edição do Painel LGPD nos Tribunais, do Jusbrasil com o CEDIS/IDP, contabilizou 24.634 decisões relacionadas à LGPD entre outubro de 2024 e outubro de 2025, cerca de 28,8 vezes o registrado no primeiro ciclo, de 2020-2021.
Das 5.555 decisões analisadas em profundidade, 2.107 (38%) tratam diretamente do exercício de direitos dos titulares. O direito à revisão de decisões automatizadas, do art. 20 da LGPD, consolidou-se como o dispositivo mais explicitamente invocado, usado para exigir transparência sobre critérios algorítmicos e revisão humana, segundo as coordenadoras Laura Schertel Mendes e Mônica Fujimoto. Entre os artigos mais citados aparecem o art. 5º, II, que define dado pessoal sensível, em 21,55% dos casos, e o art. 7º, X, sobre tratamento para proteção ao crédito, em 14,19%.
Do lado da sanção, o Regulamento de Dosimetria (Resolução CD/ANPD nº 4/2023) prevê redução de até 20% da multa para quem comprova política de boas práticas e governança. O documento atualizado funciona como atenuante; o desatualizado, como agravante prático diante da fiscalização.
O calendário: ECA Digital, IA e o alto risco do AI Act
O calendário regulatório aperta em duas frentes. No Brasil, o ECA Digital (Lei nº 15.211/2025) está em vigor desde 17 de março de 2026, com a Agência Nacional de Proteção de Dados como entidade central de regulamentação e fiscalização. A diretora Lorena Coutinho anunciou um cronograma escalonado em três etapas para a aferição de idade: a primeira monitora 37 empresas com papel estruturante na cadeia digital; a ampliação para novos setores está prevista para agosto de 2026; e os ciclos de supervisão, para janeiro de 2027, quando a fiscalização se torna efetiva.
Na Europa, o AI Act mudou de rota. O Digital Omnibus, em acordo político fechado em maio de 2026, adiou as obrigações dos sistemas de alto risco do Anexo III de 2 de agosto de 2026 para 2 de dezembro de 2027, conforme a Gibson Dunn. As obrigações de transparência do art. 50, que exigem informar o usuário quando ele interage com IA ou recebe conteúdo gerado por ela, seguem na data original de agosto de 2026.
Para a empresa brasileira com operação ou clientes na União Europeia, é a transparência, não o alto risco, que cobra o aviso primeiro.
Adiar não é desmontar: a transparência segue de pé
O adiamento europeu abriu debate sobre o alcance da mudança. Escritórios que acompanham o AI Act, como Gibson Dunn e Travers Smith, descrevem o Digital Omnibus como adiamento, não desmonte: a arquitetura baseada em risco e as obrigações centrais permanecem, e a adoção formal ainda depende de publicação no Jornal Oficial da União Europeia. A leitura de que a Europa recuaria na regulação de IA, para esses analistas, não se sustenta — houve fôlego de prazo para o alto risco, com a transparência intacta.
Há ainda a tensão entre avisos cada vez mais longos e transparência efetiva. A GDPR Local registra que 85% dos consumidores, em levantamentos citados pela consultoria, evitam organizações sem clareza sobre o uso de IA, sinal de que excesso de informação e opacidade produzem efeito reputacional semelhante.
O ponto comum às duas frentes é o documento. Seja para cumprir a transparência que continua valendo, seja para responder à fiscalização que se aproxima, o aviso de privacidade e a política de retenção escritos antes da IA são o primeiro ativo a revisar.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 11 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
