Governança de IA vira condição de crescimento, não barreira burocrática
Com o eixo de IA na fiscalização da ANPD e o AI Act europeu em nova fase, controle sobre dados separa quem escala IA de quem acumula passivo.
A governança de IA deixou de ser tema futuro e entrou no calendário regulatório: a Agência Nacional de Proteção de Dados colocou inteligência artificial entre os eixos de fiscalização de 2026-2027 e o AI Act europeu inicia nova fase em 2 de agosto.
Pesquisas mostram adoção de IA em disparada e governança estagnada, com projetos que não chegam à produção e uso sem política definida.
O risco maior não é usar IA, mas usá-la sem controle sobre dados pessoais.
Finalidade clara, minimização, contrato com o operador, supervisão humana e RIPD são o que transforma a tecnologia em fator de proteção, não de passivo.
A governança de IA saiu da lista de intenções e entrou no calendário regulatório. A Agência Nacional de Proteção de Dados incluiu inteligência artificial e tecnologias emergentes entre os quatro eixos prioritários de fiscalização do biênio 2026-2027, ao lado de direitos dos titulares, dados de crianças e adolescentes e tratamento pelo Poder Público — definição publicada em resolução de dezembro de 2025.
Na Europa, 2 de agosto de 2026 marca a entrada em vigor dos poderes de fiscalização da Comissão Europeia sobre modelos de IA de propósito geral e das obrigações de transparência do AI Act, que exigem identificar conteúdo sintético e avisar o usuário quando ele interage com uma máquina.
O ponto que separa quem cresce de quem acumula passivo não é usar IA, e sim usar IA sem controle sobre os dados pessoais que a alimentam. Quando finalidade, minimização, contrato com o operador — o fornecedor que trata dados em nome da empresa —, supervisão humana e documentação de risco andam juntos, a tecnologia tende a virar fator de defesa, não de exposição.
Adoção dispara, governança fica para trás
O descompasso entre uso e controle está medido. Pesquisa anual do SANS Institute, divulgada em 15 de julho, mostra que o uso ativo de IA em cibersegurança saltou de 50% para 78% em um ano — mas a maturidade da governança quase não se moveu: 43% das organizações ainda descrevem sua gestão de risco de IA como incipiente e só 36% relatam um programa formal.
O uso informal agrava o quadro. Apenas 41% dos entrevistados operam IA generativa sob política rígida, enquanto 39% admitem uso sem qualquer política definida. E 63% já relatam falhas relevantes quando a IA detecta ou responde a ameaças, ante 45% em 2025 — de falsos positivos a respostas erradas apresentadas com confiança, o que se conhece como alucinação.
O custo aparece também no retorno. Estudo global da IDC encomendado pela Everpure, noticiado em 10 de julho, aponta que 54% dos projetos de IA em prova de conceito não chegam à produção, gerando retorno zero; 60% das empresas dizem precisar modernizar a infraestrutura de dados para sustentar cargas de IA.
O que a ANPD já sinaliza sobre decisões automatizadas
Antes de qualquer regra nova, a Agência Nacional de Proteção de Dados já mapeou o terreno. Ao concluir a Tomada de Subsídios sobre IA e tratamento de dados pessoais, consolidada na Nota Técnica nº 12/2025, a Agência reuniu 124 contribuições sobre o direito à revisão de decisões automatizadas — previsto no art. 20 da LGPD, que garante ao titular pedir a reavaliação de decisões tomadas apenas por sistemas, como negativa de crédito ou triagem em processos seletivos.
Houve consenso em pontos que já orientam a governança: transparência e explicabilidade dos sistemas, salvaguardas técnicas como anonimização e o Relatório de Impacto à Proteção de Dados Pessoais (RIPD), e revisão humana nos usos de alto risco. Persistiu a divergência sobre a base legal para treinar modelos — consentimento ou legítimo interesse — e sobre a raspagem de dados, o chamado scraping.
"Foram recebidas 124 contribuições com pontos de alta complexidade e relevância", afirmou o conselheiro Arthur Sabbat ao apresentar o resultado. A Agência também abriu um Sandbox Regulatório para testar, junto com as empresas, soluções de transparência algorítmica, segundo a diretora Lorena Coutinho.
RIPD: o documento que vira defesa, não papelada
No centro da governança de dados em IA está uma peça que a Agência Nacional de Proteção de Dados detalha em suas orientações: o Relatório de Impacto à Proteção de Dados Pessoais. O RIPD descreve os tratamentos que podem gerar alto risco aos direitos dos titulares e registra as medidas, salvaguardas e mecanismos para mitigar esse risco, com base nos arts. 5º, inciso XVII, e 38 da LGPD.
A Agência recomenda elaborá-lo antes de iniciar o tratamento, justamente para avaliar o risco de antemão. Considera-se alto risco, pelos critérios da Resolução CD/ANPD nº 2/2022, o tratamento que combine um critério geral — larga escala ou impacto relevante a direitos dos titulares — com um específico, como uso de tecnologias emergentes, decisões automatizadas ou dados sensíveis e de crianças. Projetos de IA sobre dados pessoais quase sempre cruzam esses limites.
O encarregado deve ser consultado na elaboração, e a Agência pode requerer o relatório a qualquer momento no exercício da fiscalização. Documentar finalidade, base legal e fluxo de dados deixa de ser formalidade e passa a ser o que separa o uso defensável do passivo diante de um incidente de segurança.
Brinquedo com IA acende alerta sobre dados de crianças
O elo mais frágil da cadeia apareceu num pedido concreto. Em nota técnica de julho de 2026, a Secretaria Nacional de Direitos Digitais (Sedigi), do Ministério da Justiça e Segurança Pública, pediu à Senacon e à Agência Nacional de Proteção de Dados que fiscalizem brinquedos com IA vendidos no país, como o robô de companhia EMO e o educativo Miko 3.
Elaborado com pesquisadores da UFRPE, o estudo aponta que esses dispositivos captam biometria facial, voz e até características do ambiente doméstico enquanto simulam emoções, o que pode favorecer manipulação emocional e expor dados sensíveis de crianças a terceiros em caso de falha de segurança. O documento lembra o caso da boneca My Friend Cayla, proibida na Alemanha após ser tratada como instrumento de espionagem.
O risco do fornecedor não se restringe a brinquedos. A pesquisa do SANS mostra que, embora 69% das organizações avaliem o risco de IA de seus fornecedores, 47% confiam que eles gerenciam esse risco sozinhos, sem auditoria — salto ante os 27% de um ano antes. Contrato e verificação do operador deixam de ser detalhe formal.
O relógio de 2 de agosto e o que a ANPD prepara
O calendário aperta a partir de agosto. Com a entrada em vigor dos poderes de fiscalização da Comissão Europeia sobre modelos de IA de propósito geral em 2 de agosto de 2026, provedores passam a responder — inclusive com multas — pelas obrigações do AI Act, enquanto as regras para sistemas de alto risco do Anexo III foram adiadas para dezembro de 2027 pelo pacote Digital Omnibus, segundo análise do escritório Gibson Dunn.
O efeito alcança empresas brasileiras que fornecem ou integram esses modelos para o mercado europeu, obrigadas a documentar dados de treinamento, avaliação de risco e transparência sobre o conteúdo gerado por IA.
No Brasil, a Agência Nacional de Proteção de Dados mantém em sua agenda regulatória o item dedicado à IA e às decisões automatizadas, que deve resultar em orientações e eventual norma — sinal de que o padrão de governança está sendo desenhado antes de virar obrigação formal. Quem estrutura finalidade, supervisão humana e RIPD agora chega à regra já adiantado.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 25 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
