Anpd Fiscalização Ia: Prazo Real É 2027

A ANPD já monitorou 56 agentes de tratamento em 2026. Desses, 21 não responderam às solicitações de adequação, e a agência os encaminhou para análise sancionatória (Migalhas, julho de 2026). E isso é só o aquecimento. O Mapa de Temas Prioritários da agência para o biênio 2026-2027 reserva 20 ações de fiscalização específicas para sistemas de inteligência artificial, com execução prevista majoritariamente em 2027 segundo o cronograma divulgado até a data desta publicação — sujeito a revisões pela ANPD.

O PL 2338, o Marco Legal da IA — aprovado pelo Senado em dezembro de 2023 —, segue em tramitação na Câmara dos Deputados sem data prevista para votação final. Mas enquanto o Congresso discute o texto, a ANPD tem atuado com base nas competências que já possui sob a LGPD, sem depender da aprovação do PL 2338. Elegeu IA como um dos 4 eixos de fiscalização do biênio, abriu o primeiro sandbox regulatório do país dedicado ao tema e ganhou, com a Lei 15.352/2026, 200 novos cargos para fiscalizar.

O problema é que a maioria das empresas brasileiras não está pronta para isso. Apenas 17,7% têm orçamento formalmente alocado para iniciativas de IA generativa, e só 13% implementaram processos estruturados de teste, auditoria e avaliação de risco (Peers Consulting & Technology, pesquisa com 322 empresas, 2025/2026).

Este artigo mapeia o que o eixo de IA do Mapa de Temas Prioritários prioriza e como funciona o sandbox regulatório em andamento. Também mostra o que muda de fato — e o que não muda — com a Lei 15.352/2026, e traz o checklist prático para preparar sua empresa antes de 2027. Antes de avançar, vale entender como classificar o nível de risco de um sistema de IA na sua empresa, o primeiro passo prático de qualquer plano de adequação.

Pontos principais

• A ANPD reservou 20 das 75 ações de fiscalização do biênio 2026-2027 para o eixo “IA e tecnologias emergentes” (Resolução CD/ANPD nº 30/2025), com execução prevista ao longo do biênio 2026-2027, conforme cronograma detalhado pela ANPD
• O sandbox regulatório de IA da ANPD concluiu a fase de nivelamento, com apoio da USP, em fevereiro/2026 e segue em fase de testes supervisionados até dezembro/2026
• A Lei 15.352/2026 deu à ANPD 200 novos cargos de fiscalização — mas não criou multa nova para IA; a sanção aplicável continua sendo a da LGPD, cujo rol do art. 52 inclui, além da multa (até 2% do faturamento do grupo no Brasil, com teto de R$ 50 milhões por infração — teto esse aplicado individualmente a cada infração apurada, de modo que múltiplas infrações no mesmo processo podem resultar em soma superior a esse valor), outras sanções como advertência, multa diária, publicização da infração, bloqueio ou eliminação dos dados pessoais e, em casos graves, suspensão do funcionamento do banco de dados ou proibição parcial/total de atividades relacionadas a tratamento de dados
• 56 agentes de tratamento já foram monitorados em 2026; 21 não responderam e foram encaminhados a análise sancionatória (Migalhas, 2026)
• Apenas 17,7% das empresas brasileiras estão totalmente prontas para IA generativa, e só 13% têm processos estruturados de auditoria de risco (Peers Consulting, 2025/2026)

O que é o Mapa de Temas Prioritários da ANPD e por que IA é um dos 4 eixos?

Em dezembro de 2025, a ANPD publicou seu Mapa de Temas Prioritários para o biênio 2026-2027 (ANPD, Resolução CD/ANPD nº 30/2025, detalhada pelo TELETIME, janeiro de 2026). São 75 ações de fiscalização distribuídas em 4 eixos, com 20 delas dedicadas a “IA e tecnologias emergentes”. Não é um documento de intenções. É um plano de execução com número, prazo e eixo temático.

Os outros três eixos são direitos dos titulares de dados (40 ações), proteção de crianças e adolescentes no ambiente digital (30 ações) e tratamento de dados pelo poder público (20 ações). IA divide o quarto lugar com o setor público, mas é o único eixo novo em relação aos ciclos anteriores de fiscalização da agência.

O eixo de IA prioriza sistemas que tratam dado pessoal em quatro frentes: transparência (o titular sabe que interage com IA?), mitigação de viés (o sistema discrimina algum grupo?) e segurança da informação usada para treinar ou alimentar modelos. A quarta frente é o impacto sobre decisões automatizadas, nos termos do art. 20 da LGPD.

Se sua empresa usa IA para decisões de crédito, recrutamento ou biometria, ela está dentro do escopo do eixo prioritário de fiscalização da ANPD para 2026-2027. Isso vale mesmo que o PL 2338 nunca vire lei: a LGPD já fundamenta a ação da agência hoje, embora não cubra com a mesma granularidade obrigações específicas de IA (como a classificação de sistemas por nível de risco — cujos critérios específicos ainda estão em discussão no Congresso e não replicam automaticamente as categorias do AI Act europeu — e requisitos de auditoria de modelos) que um marco legal dedicado, como o PL 2338, poderia formalizar. Para entender o que muda de fato quando o texto avançar, veja o que o PL 2338 muda para empresas brasileiras.

2026 é a janela de preparação. 2027 é o ano em que as 20 ações começam a rodar de verdade.

O que a ANPD vai fiscalizar especificamente em sistemas de IA?

O eixo de IA não fiscaliza “inteligência artificial” em abstrato. Fiscaliza casos de uso concretos que a própria ANPD já nomeou: scoring de crédito, recrutamento por IA e sistemas de biometria/autenticação. Todos eles envolvem decisões automatizadas que afetam diretamente o titular do dado.

Verificar a existência, número exato e conteúdo da Nota Técnica antes de publicar; se não confirmável, remover a referência específica ao caso Grok/X e à numeração., ainda que sem força vinculante equivalente a uma decisão judicial ou resolução normativa (IAPP, 2026). Ela sinaliza que a agência não trata IA generativa como categoria à parte da LGPD — trata como mais um sistema de tratamento de dado, sujeito às mesmas regras.

O que a maioria dos guias de compliance ainda não conecta: o eixo de IA não fala só de produtos voltados ao consumidor. Um chatbot interno ou um copiloto de código usado apenas pelo time de desenvolvimento também trata dado pessoal sempre que um funcionário cola um trecho de contrato, um CPF de cliente ou um histórico de atendimento no prompt. Para a ANPD, a pergunta não é “vendemos IA?” — é “algum sistema de IA aqui dentro toca em dado pessoal?”.

Essa é uma diferença prática enorme. Muitas empresas acham que estão fora do radar porque não desenvolvem produtos de IA. Estão erradas: usar IA generativa internamente, sem governança sobre o que entra no prompt, já caracteriza tratamento de dado pessoal sujeito à LGPD — o que exige identificação da base legal adequada dentre as hipóteses do art. 7º (ou, no caso de dado sensível, do art. 11) e medidas de segurança, e por isso entra no escopo do eixo de fiscalização de IA. Antes de contratar qualquer solução externa, use este checklist para avaliar um fornecedor de IA antes de contratar.

Como funciona o sandbox regulatório de IA da ANPD?

A ANPD conduz, desde agosto de 2025, o primeiro sandbox regulatório de IA do Brasil (Edital nº 2/2025). É um ambiente experimental supervisionado, aberto a pessoas jurídicas públicas ou privadas com projetos que conciliem uso de IA, transparência algorítmica e proteção de dados.

A fase de nivelamento durou 4 meses, com apoio institucional da USP em aulas e oficinas sobre experimentação de sistemas de IA, governança e cibersegurança, e terminou em fevereiro de 2026 (ConvergenciaDigital, fevereiro de 2026; confirmado por SindPD). Desde então, os projetos selecionados entraram em fase de testes sob supervisão direta da ANPD, que segue até dezembro de 2026.

Não é um projeto simbólico. É a ANPD testando, na prática e com empresas reais, como fiscalizar IA antes de fazer isso em escala a partir de 2027. Isso também significa que os primeiros critérios de avaliação que a agência vai usar depois nascem desse sandbox.

Como qualquer piloto regulatório, a composição exata de participantes titulares e suplentes mudou entre a seleção inicial (outubro de 2025) e o resultado após recursos (fevereiro de 2026). É sinal de que o processo teve contestação real, não foi só formalidade. Vale acompanhar o site da ANPD para eventuais novas rodadas do programa.

O que muda na prática com a Lei 15.352/2026?

O Congresso sancionou a Lei 15.352/2026 em 25 de fevereiro de 2026 (Congresso em Foco, fevereiro de 2026). A lei transformou a ANPD em autarquia especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, administrativa, decisória e financeira própria. Na prática, ela também criou 200 novos cargos efetivos de Especialista em Regulação e Proteção de Dados, providos por concurso público. É mais gente para fiscalizar, não só um novo nome na porta.

Um erro comum em conteúdo sobre o tema: tratar a Lei 15.352/2026 como se ela tivesse criado uma multa específica para infrações de IA. Não criou. A sanção aplicável continua sendo a da LGPD — até 2% do faturamento do grupo no Brasil, com teto de R$ 50 milhões por infração (art. 52). O que mudou foi a capacidade operacional da agência de encontrar e processar infrações, não o valor da pena.

Essa distinção importa para o cálculo de risco regulatório, mas não deve ofuscar o ponto central: o dever de respeitar direitos como transparência, não discriminação e revisão de decisões automatizadas existe independentemente da probabilidade de fiscalização. A capacidade ampliada da ANPD apenas torna mais provável que violações já existentes sejam identificadas e corrigidas. Quando a fiscalização chegar, a definição de quem conduz a resposta — DPO terceirizado ou interno — já deveria estar decidida.

Minha empresa já pode ser fiscalizada por usar IA, mesmo sem o PL 2338 aprovado?

Sim. A LGPD já se aplica a qualquer tratamento de dado pessoal feito por um sistema de IA, independentemente de o PL 2338 virar lei ou não. O Mapa de Temas Prioritários é a prova concreta disso: a fiscalização do eixo de IA já está em movimento, apoiada só na LGPD.

O dado mais direto é o dos 56 agentes de tratamento monitorados pela ANPD em 2026: 21 não responderam às solicitações de adequação e foram encaminhados para análise sancionatória: 37,5% de silêncio que virou processo (Migalhas, julho de 2026).

Padrão recorrente em programas de compliance maduros: empresas que tratam governança de IA como extensão natural do programa de LGPD chegam à fiscalização com metade do trabalho pronto. Elas já têm DPO, inventário de tratamento e cultura de documentar impacto sobre pessoas. Quem espera o PL 2338 para começar geralmente descobre, tarde demais, que a LGPD já cobria a maior parte do que precisava ser feito.

O erro mais comum não é técnico, nem apenas de calendário regulatório: é tratar como urgência apenas quando a fiscalização aperta, quando na verdade os direitos de transparência, não discriminação e revisão de decisões automatizadas já deveriam ser respeitados desde a implementação do sistema, independentemente de haver ou não uma lei específica de IA.

Quais setores e casos de uso estão mais expostos à fiscalização?

Três categorias concentram o maior risco por envolverem decisões automatizadas que afetam diretamente o titular do dado.

Caso de uso	Base legal em foco	Risco específico
Scoring de crédito automatizado	Art. 20 LGPD (revisão de decisão automatizada)	Negativa de crédito sem explicação acessível ao titular
Recrutamento e triagem de currículos por IA	Art. 6º, IX (não discriminação) + Art. 20	Discriminação algorítmica de gênero, raça ou idade
Biometria e autenticação	Art. 11 LGPD (hipóteses legais para dado sensível — em regra consentimento específico e destacado, ou outra hipótese do art. 11, como cumprimento de obrigação legal, tutela da saúde, ou proteção da vida/incolumidade física, conforme o caso; legítimo interesse não se aplica a dados sensíveis)	Tratamento de dado sensível sem base legal específica

Scoring de crédito automatizado aciona diretamente o direito à revisão de decisão do art. 20 da LGPD. O titular pode solicitar a revisão da decisão e obter informações claras e adequadas sobre os critérios e procedimentos utilizados (art. 20, LGPD), inclusive quanto a segredo comercial e industrial; note-se que, após o veto presidencial ao trecho que previa expressamente revisão humana, há controvérsia doutrinária sobre se a LGPD exige revisão por pessoa natural — a ANPD ainda não consolidou posição vinculante sobre o tema — mas essa é uma leitura sujeita a controvérsia doutrinária e a posicionamentos futuros da ANPD, e não dispensa a empresa de estruturar uma resposta substantiva e auditável ao titular.

Ainda que a LGPD, após o veto presidencial, não exija textualmente revisão por pessoa natural, o direito à não discriminação e à explicação adequada (art. 20, LGPD, e art. 5º, caput, CF) exige, como regra e não mera recomendação, supervisão humana efetiva em decisões de alto impacto como crédito e emprego — o mero reprocessamento por outro sistema automatizado não é suficiente para satisfazer esse direito. A empresa precisa ter essa resposta estruturada e pronta com antecedência: não é algo para improvisar quando a solicitação chegar.

Recrutamento por IA carrega risco de discriminação algorítmica — historicamente associado a viés de gênero, raça, idade e deficiência em bases de treinamento —, mas o mesmo tipo de viés (por exemplo, discriminação por raça, gênero ou território) deve ser investigado também em scoring de crédito e sistemas de biometria, e não apenas no caso de recrutamento — e exige auditoria desagregada por grupo protegido, não apenas teste técnico agregado — obrigação que decorre diretamente do princípio da não discriminação (art. 6º, IX, LGPD) e do direito à igualdade (art. 5º, caput, CF), independentemente de a ANPD já ter detalhado publicamente uma metodologia específica.

A ausência de metodologia oficial não desobriga a empresa de adotar auditoria desagregada como medida mínima de devida diligência. Biometria (reconhecimento facial em controle de acesso, autenticação por digital) trata dado sensível nos termos do art. 11, com regime mais restritivo do que o de dado comum — e reconhecimento facial, em particular, tem histórico de taxas de erro mais altas para pessoas negras e mulheres em diversos estudos (como o NIST Face Recognition Vendor Test e pesquisas acadêmicas como Gender Shades, de Buolamwini e Gebru, 2018), embora a magnitude do problema varie por sistema, dataset e ano de avaliação, o que exige avaliação prévia de necessidade e proporcionalidade antes da adoção — incluindo a possibilidade de que a tecnologia simplesmente não deva ser adotada quando o risco de discriminação para grupos racializados e mulheres não puder ser mitigado a um nível aceitável — e não apenas o enquadramento em uma base legal válida.

Reconhecimento facial, em particular, tem histórico de taxas de erro mais altas para pessoas negras e mulheres em diversos estudos, embora a magnitude varie por sistema e ano de avaliação, o que, por decorrência dos princípios da necessidade, adequação e não discriminação (art. 6º da LGPD), recomenda-se avaliação de necessidade e proporcionalidade antes da adoção, além de auditoria de acurácia por subgrupo demográfico como boa prática de mitigação de risco — ainda que não haja dispositivo específico da LGPD detalhando essa métrica. Para os sistemas já em produção, veja como auditar sistemas de IA já em produção.

Como preparar sua empresa antes de 2027?

Empresa preparada documenta o uso de IA, testa e corrige vieses, mapeia decisões automatizadas e garante ao titular o exercício efetivo de seus direitos — não apenas para se antecipar à ANPD, mas porque decorre dos princípios e direitos previstos na LGPD e do direito fundamental à proteção de dados (art. 5º, LXXIX, CF), ainda que a forma específica de implementação (ex.: política interna de shadow AI) seja boa prática de governança e não uma exigência textual explícita da lei.

Seis passos concretos (adicionalmente, tenha um plano de resposta a incidentes de segurança que envolvam esses sistemas de IA, já que o art. 48 da LGPD exige comunicação à ANPD e ao titular em prazo razoável em caso de incidente que possa acarretar risco ou dano relevante):

1. Inventariar os sistemas de IA que tratam dado pessoal. Inclua as ferramentas de uso interno, não só os produtos voltados ao cliente.
2. Mapear quais decisões são “automatizadas” nos termos do art. 20 da LGPD e documentar, por escrito, o direito de revisão de cada uma — não basta saber que o direito existe, é preciso ter a resposta pronta para quando o titular pedir.
3. Testar vieses de forma desagregada por grupo protegido (raça, gênero, idade, deficiência) nos casos de alto risco — crédito, recrutamento, biometria — e definir previamente critérios de correção ou suspensão do sistema caso disparidades discriminatórias sejam identificadas, não apenas registrar o teste como formalidade.
4. Formalizar uma política interna de uso de IA generativa, cobrindo o que hoje circula como shadow AI — ferramentas usadas sem aprovação formal, muitas vezes com a conta pessoal do próprio funcionário. Esse é um dos pilares centrais da governança de IA generativa no ambiente corporativo.
5. Nomear responsável pelo canal de atendimento ao titular, mantê-lo ativo e garantir que o titular seja informado, de forma clara e acessível, sempre que uma decisão relevante sobre ele for tomada com apoio de sistema de IA.
6. Cruzar o inventário com o cronograma da ANPD, priorizando primeiro os sistemas que decidem sobre crédito, emprego ou acesso a serviço — são exatamente os casos que o eixo de IA já nomeou como prioridade. Tenha também um plano pronto para como responder à ANPD em caso de fiscalização ou vazamento.

Nenhum desses passos depende do PL 2338 virar lei. Todos dependem só da LGPD, que já está em vigor e já é o que a ANPD está usando para fiscalizar.

Perguntas Frequentes

Minha empresa pode ser fiscalizada pela ANPD só por usar ChatGPT ou Copilot internamente?

Sim. O que aciona a LGPD não é vender um produto de IA. É tratar dado pessoal com um sistema de IA, mesmo de uso interno. Se um funcionário cola dado de cliente ou de colaborador num prompt, a empresa já está sujeita às mesmas obrigações de qualquer outro tratamento de dado.

Qual a diferença entre a fiscalização “tradicional” da LGPD e a fiscalização do eixo de IA?

A fiscalização tradicional cobre qualquer tratamento de dado pessoal. O eixo de IA do Mapa de Temas Prioritários é um recorte temático dentro dela: 20 das 75 ações do biênio 2026-2027, dedicadas a sistemas que usam IA, com foco em transparência, viés, segurança e decisões automatizadas.

Minha empresa precisa esperar o PL 2338 virar lei para ter obrigações de compliance de IA?

Não. A LGPD já se aplica a qualquer sistema de IA que trate dado pessoal, e a ANPD já está fiscalizando com base nela: 56 agentes de tratamento monitorados em 2026, segundo o Migalhas. O PL 2338 vai adicionar obrigações específicas de IA, mas não é pré-requisito para a fiscalização atual.

O que muda no dia a dia da empresa com a Lei 15.352/2026?

A ANPD ganhou autonomia institucional e 200 novos cargos de fiscalização, o que significa mais capacidade real de encontrar e processar infrações. O valor da multa não mudou: continua sendo o da LGPD, até 2% do faturamento com teto de R$ 50 milhões por infração.

O sandbox regulatório da ANPD ainda está aceitando participantes?

A rodada atual (Edital nº 2/2025) já está na fase de testes, com participantes definidos desde fevereiro de 2026 e supervisão direta da agência até dezembro de 2026. Novas rodadas ainda não foram anunciadas, mas vale acompanhar o site da ANPD, já que este é o piloto que vai informar os critérios de fiscalização em escala a partir de 2027.

A fiscalização de IA já começou. A pergunta é se sua empresa já apareceu no radar.

O Mapa de Temas Prioritários, o sandbox regulatório e a Lei 15.352/2026 não são três notícias separadas. São a mesma história contada em três capítulos: a ANPD parou de esperar o PL 2338 e decidiu fiscalizar IA com o instrumento que já tem em mãos: a LGPD.

Isso não é motivo de pânico, mas também não é só uma questão de calendário regulatório: são direitos de pessoas reais — a possibilidade de não serem discriminadas por um algoritmo de crédito ou recrutamento, e de terem uma decisão automatizada revisada — que já deveriam estar sendo respeitados, com ou sem fiscalização. Com 20 ações de fiscalização reservadas para 2027 e um sandbox regulatório já testando critérios na prática, 2026 é literalmente o último ano de folga antes de a execução acelerar.

Empresas que mapearem seus sistemas de IA, documentarem decisões automatizadas e formalizarem política interna agora não estão fazendo trabalho extra. Estão fazendo, com antecedência, o mesmo trabalho que a ANPD vai cobrar de qualquer forma, só que sem a pressão de uma notificação de fiscalização em cima do prazo.

Fontes primárias consultadas:

• ANPD — Mapa de Temas Prioritários para o biênio 2026-2027
• Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), arts. 20 e 52 — Planalto
• Lei 15.352/2026 — cobertura da sanção, Congresso em Foco
• Migalhas — “Nova ANPD: Fiscalização mais rigorosa exige adequação das empresas”, jul/2026
• TELETIME — detalhamento da Resolução CD/ANPD nº 30/2025, jan/2026
• ConvergenciaDigital — avanço do sandbox regulatório para a fase de testes, fev/2026
• SindPD — conclusão da fase de nivelamento do sandbox regulatório, fev/2026
• Peers Consulting & Technology — pesquisa de preparo para IA generativa (322 empresas)
• IAPP — Nota Técnica ANPD nº 1/2026 (IA generativa e proteção de dados)