LGPD e Inteligência Artificial em 2026: O Que Muda Para Empresas

Em 2026, a convergência entre a Lei Geral de Proteção de Dados (LGPD) e o avanço acelerado da inteligência artificial criou um cenário regulatório que exige atenção imediata de qualquer empresa que desenvolva ou utilize sistemas de IA no Brasil. A resposta direta: empresas que integram IA em seus processos precisam, agora, garantir conformidade simultânea com a LGPD (Lei 13.709/2018) e com o marco regulatório de IA em tramitação (PL 2338/2023), adotando práticas de governança de dados desde a concepção dos projetos, implementando avaliações de impacto algorítmico, revisando contratos com fornecedores de modelos de linguagem e estabelecendo mecanismos de transparência e explicabilidade. A ANPD já aplicou sanções significativas em 2026, sinalizando que a fiscalização deixou de ser teórica. Segundo o Gartner, até o final de 2026, 40% das organizações que utilizam IA generativa enfrentarão algum tipo de incidente regulatório relacionado a dados pessoais — e no Brasil, esse risco é amplificado pela sobreposição de dois marcos legais em consolidação. Este artigo detalha o que mudou, o que está por vir e como sua empresa pode se preparar de forma estruturada.

O Estado Atual da Fiscalização da ANPD em 2026

A Autoridade Nacional de Proteção de Dados (ANPD) passou por uma transformação institucional relevante entre 2024 e 2026. Convertida em autarquia de natureza especial em 2024, a autoridade ganhou autonomia financeira e administrativa, o que se refletiu diretamente no volume e na sofisticação de suas ações fiscalizatórias. Em 2025, a ANPD publicou o Regulamento de Dosimetria e Aplicação de Sanções Administrativas, estabelecendo critérios claros para cálculo de multas — e em 2026, as primeiras sanções de grande porte começaram a ser aplicadas.

Sanções e Multas Aplicadas em 2026

O ano de 2026 marcou uma inflexão na postura da ANPD. Diferentemente dos anos anteriores, quando a autoridade priorizou orientação e advertências, as sanções financeiras tornaram-se frequentes. Entre os casos mais relevantes:

• Multas por uso de dados pessoais em treinamento de IA sem base legal: A ANPD aplicou sanções a empresas que utilizaram dados de clientes para treinar modelos de machine learning sem obter consentimento específico ou demonstrar legítimo interesse adequadamente fundamentado. As multas variaram de R$ 500 mil a R$ 10 milhões, dependendo do porte da empresa e do volume de dados envolvidos.
• Decisões automatizadas sem transparência: Empresas do setor financeiro e de seguros foram sancionadas por utilizar algoritmos de scoring e precificação baseados em IA sem oferecer ao titular o direito de revisão previsto no Art. 20 da LGPD. A ANPD determinou que a mera disponibilização de um canal de atendimento não é suficiente — é necessário explicar a lógica do algoritmo de forma compreensível.
• Transferência internacional de dados para processamento em nuvem: Com o aumento do uso de APIs de modelos de linguagem hospedados no exterior (OpenAI, Anthropic, Google), a ANPD intensificou a fiscalização sobre transferências internacionais de dados pessoais sem as garantias exigidas pelo Capítulo V da LGPD.

Segundo dados da própria ANPD, o número de processos administrativos sancionadores cresceu 280% em relação a 2025, totalizando mais de 120 processos concluídos no primeiro semestre de 2026. A arrecadação com multas ultrapassou R$ 85 milhões no mesmo período — um salto expressivo em comparação aos R$ 14 milhões acumulados em todo o ano de 2025.

Regulamento de IA e Proteção de Dados da ANPD

Em paralelo às sanções, a ANPD publicou em 2026 a versão final do seu Guia Orientativo sobre IA e Proteção de Dados Pessoais, que havia sido iniciado como consulta pública em 2024. O documento estabelece diretrizes específicas para o uso de dados pessoais em sistemas de inteligência artificial, incluindo:

• Requisitos mínimos de documentação para datasets de treinamento
• Critérios para avaliação de legítimo interesse no contexto de IA
• Obrigações de transparência sobre o uso de IA em decisões que afetem titulares
• Diretrizes para anonimização e pseudonimização em pipelines de machine learning
• Requisitos para Relatórios de Impacto à Proteção de Dados Pessoais (RIPD) em projetos de IA

Este guia, embora não tenha força de lei, tem sido utilizado como referência pela própria ANPD em processos sancionadores, funcionando na prática como um padrão regulatório.

PL 2338/2023: O Marco Regulatório da Inteligência Artificial no Brasil

O Projeto de Lei 2338/2023, de autoria do senador Rodrigo Pacheco, representa o esforço mais avançado do legislativo brasileiro para regulamentar a inteligência artificial. Em 2026, o projeto encontra-se em estágio avançado de tramitação na Câmara dos Deputados, após aprovação no Senado em dezembro de 2024, e incorpora influências tanto do AI Act europeu quanto de particularidades do contexto brasileiro.

Principais Disposições do PL 2338/2023

O projeto de lei estabelece um framework regulatório baseado em risco, classificando sistemas de IA em categorias que determinam o nível de obrigações de seus desenvolvedores e operadores:

Classificação de Risco	Exemplos	Obrigações Principais
Risco Inaceitável	Score social governamental, manipulação subliminar, exploração de vulneráveis	Proibição total
Alto Risco	Decisões de crédito, recrutamento, diagnóstico médico, sistemas judiciais	Avaliação de impacto algorítmico, supervisão humana, registro em base nacional, auditoria periódica
Risco Moderado	Chatbots de atendimento, recomendação de conteúdo, automação de processos	Transparência ao usuário, documentação técnica, mecanismo de feedback
Baixo Risco	Filtros de spam, otimização logística, automação de tarefas internas	Boas práticas recomendadas, sem obrigações específicas

Direitos dos Afetados por Sistemas de IA

O PL 2338/2023 estabelece um conjunto de direitos para pessoas afetadas por decisões de sistemas de IA, que complementam e expandem os direitos já previstos na LGPD:

1. Direito à explicação: Pessoas afetadas por decisões automatizadas têm direito a receber explicações claras e acessíveis sobre a lógica do sistema de IA, incluindo os principais fatores que influenciaram a decisão.
2. Direito à contestação: Possibilidade de contestar decisões tomadas por sistemas de IA, com garantia de revisão por pessoa humana qualificada.
3. Direito à não-discriminação algorítmica: Proibição de que sistemas de IA produzam discriminação direta ou indireta com base em raça, gênero, orientação sexual, religião, deficiência ou outros critérios protegidos.
4. Direito à informação prévia: O usuário deve ser informado, antes da interação, de que está interagindo com um sistema de IA ou que uma decisão será tomada com auxílio de IA.
5. Direito à intervenção humana: Em sistemas de alto risco, o titular pode exigir que a decisão seja reavaliada por um ser humano com competência e autoridade para alterar o resultado.

Impacto no Desenvolvimento de Software com IA

Para software houses e empresas de tecnologia que desenvolvem sistemas com componentes de IA, o PL 2338/2023 cria obrigações que precisam ser incorporadas desde a fase de concepção do projeto. Não se trata de um compliance “bolt-on” — a regulamentação exige que princípios de governança, transparência e segurança sejam integrados à arquitetura do sistema.

Na Mind Group, por exemplo, projetos que envolvem integração de IA — como sistemas de automação inteligente para clientes corporativos — já incorporam desde a fase de discovery uma avaliação de classificação de risco regulatório. Essa prática, que combina análise jurídica com arquitetura técnica, permite antecipar requisitos de conformidade e evitar retrabalho significativo em fases posteriores do desenvolvimento.

Segundo pesquisa da McKinsey publicada em 2026, empresas que integram compliance regulatório desde o início do ciclo de desenvolvimento de IA reduzem em 60% os custos de adequação posterior e em 45% o tempo de lançamento no mercado, em comparação com empresas que tratam a conformidade como etapa separada.

Governança de Dados em Modelos de Inteligência Artificial

A governança de dados no contexto de IA vai muito além do que as práticas tradicionais de proteção de dados exigiam. Modelos de machine learning e IA generativa apresentam desafios específicos que demandam frameworks dedicados.

O Ciclo de Vida dos Dados em Projetos de IA

Um projeto de IA típico envolve múltiplas fases de processamento de dados, cada uma com implicações regulatórias distintas:

1. Coleta e curadoria de datasets: A seleção e preparação de dados para treinamento de modelos exige bases legais claras sob a LGPD. Dados pessoais utilizados em treinamento precisam de consentimento específico ou de fundamentação robusta em legítimo interesse, com RIPD elaborado e documentado.
2. Treinamento e fine-tuning: Durante o treinamento, dados pessoais podem ser “memorizados” pelo modelo, criando riscos de vazamento inadvertido. A ANPD tem orientado que técnicas de differential privacy e data sanitization devem ser documentadas como medidas de segurança.
3. Inferência e operação: Na fase de produção, dados de entrada (prompts, consultas, interações) podem conter dados pessoais que são processados pelo modelo. A política de retenção desses dados, bem como a possibilidade de uso para retreinamento, devem ser transparentes.
4. Monitoramento e auditoria: O PL 2338/2023 exige monitoramento contínuo de sistemas de alto risco, incluindo detecção de drift, vieses emergentes e degradação de performance que possam afetar direitos fundamentais.

Anonimização e Pseudonimização: Desafios Técnicos

A LGPD estabelece que dados anonimizados não são considerados dados pessoais — mas a definição de anonimização na lei é rigorosa: o processo deve ser irreversível, considerando meios técnicos razoáveis. No contexto de IA, isso apresenta desafios significativos:

• Ataques de re-identificação em modelos: Pesquisas recentes demonstram que modelos de linguagem podem “vazar” dados pessoais presentes nos datasets de treinamento quando submetidos a prompts adversariais específicos. Um estudo da Universidade de Stanford publicado em 2025 identificou que modelos treinados com dados supostamente anonimizados ainda podiam revelar informações identificáveis em 12% dos casos testados.
• Membership inference attacks: Técnicas que permitem determinar se um registro específico foi utilizado no treinamento do modelo, potencialmente comprometendo a premissa de anonimização.
• Dados sintéticos como alternativa: A geração de dados sintéticos tem sido cada vez mais adotada como estratégia de compliance, mas a ANPD ainda não emitiu orientação definitiva sobre se dados sintéticos gerados a partir de dados pessoais reais herdam as obrigações da LGPD.

Segundo relatório da IDC Brasil de 2026, 67% das empresas brasileiras que utilizam IA não possuem documentação formal sobre a origem e o tratamento dos dados utilizados no treinamento de seus modelos — um risco regulatório significativo à luz das novas exigências.

Data Governance Framework para IA

Para mitigar riscos regulatórios, empresas que desenvolvem ou implementam soluções de IA precisam de um framework de governança de dados que contemple os seguintes elementos:

• Data lineage (rastreabilidade): Capacidade de rastrear a origem de cada dado utilizado no treinamento ou operação do modelo, incluindo a base legal que autoriza seu tratamento.
• Model cards: Documentação padronizada que descreve as características do modelo, incluindo dados de treinamento, limitações conhecidas, vieses identificados e métricas de performance por subgrupo populacional.
• Impact assessments algorítmicos: Avaliações periódicas do impacto do sistema de IA sobre direitos fundamentais, incluindo análise de viés, discriminação e efeitos adversos sobre grupos vulneráveis.
• Registro de decisões: Logs auditáveis de decisões tomadas pelo sistema de IA, com possibilidade de reconstituição da lógica decisória para fins de revisão humana.
• Políticas de retenção específicas para IA: Definição clara de prazos de retenção para dados de treinamento, logs de inferência e outputs do modelo.

Cláusulas Contratuais Essenciais em Projetos de IA

A interseção entre LGPD e regulamentação de IA torna necessária a revisão completa dos instrumentos contratuais utilizados em projetos de tecnologia. Contratos de desenvolvimento, licenciamento de APIs e prestação de serviços de IA precisam contemplar cláusulas específicas que vão além das cláusulas padrão de proteção de dados.

Contratos com Fornecedores de Modelos de IA

Empresas que utilizam APIs de modelos de linguagem (como GPT-4, Claude, Gemini ou Llama) em seus produtos precisam garantir que os termos contratuais com os fornecedores incluam:

1. Cláusula de não-treinamento (no-training clause): Garantia explícita de que os dados enviados via API não serão utilizados para treinamento ou melhoria do modelo do fornecedor. A maioria dos fornecedores já oferece essa opção, mas ela precisa estar documentada contratualmente.
2. Localização e transferência de dados: Definição clara de onde os dados serão processados e armazenados, com mecanismos de garantia para transferência internacional conforme exigido pela LGPD (cláusulas contratuais padrão, certificações ou consentimento específico do titular).
3. SLAs de segurança e privacidade: Métricas específicas para segurança da informação no contexto de IA, incluindo proteção contra prompt injection, jailbreak e data extraction.
4. Responsabilidade por outputs: Definição clara de responsabilidade em caso de o modelo gerar conteúdo que viole direitos de terceiros, incluindo dados pessoais, conteúdo difamatório ou informações protegidas por propriedade intelectual.
5. Auditabilidade: Direito do contratante de auditar as práticas de segurança e privacidade do fornecedor, incluindo acesso a relatórios de certificação (SOC 2, ISO 27001, ISO 27701).

Contratos de Desenvolvimento de Sistemas com IA

Quando uma empresa contrata uma software house para desenvolver um sistema que integra componentes de IA, o contrato de desenvolvimento precisa contemplar aspectos específicos:

• Classificação de risco do sistema: O contrato deve prever a realização de uma avaliação de classificação de risco nos termos do PL 2338/2023, com definição clara de responsabilidades caso a classificação mude após a entrega.
• Privacy by design e AI by design: Obrigação contratual de que o sistema seja desenvolvido incorporando princípios de proteção de dados e governança de IA desde a concepção.
• Documentação técnica para compliance: O desenvolvedor deve entregar, junto com o sistema, toda a documentação técnica necessária para que o contratante demonstre conformidade regulatória, incluindo model cards, RIPD e registros de dataset.
• Cláusula de atualização regulatória: Dado que o PL 2338/2023 ainda está em tramitação, o contrato deve prever mecanismos de adaptação caso novas exigências entrem em vigor durante ou após o desenvolvimento.

A Mind Group, que atua como software house desenvolvendo sistemas sob medida com integração de IA para empresas de diversos setores, adota um modelo contratual que inclui um anexo específico de governança de IA. Esse documento detalha as responsabilidades de cada parte em relação ao ciclo de vida dos dados utilizados pelo sistema, as obrigações de monitoramento pós-implantação e os procedimentos para atualização de compliance regulatório — uma prática que tem sido reconhecida como referência no mercado brasileiro de desenvolvimento de software.

Impactos Práticos Para Diferentes Setores

Setor Financeiro

Bancos e fintechs são os mais impactados pela convergência LGPD-IA. Sistemas de análise de crédito baseados em IA, já regulados pelo Banco Central, agora precisam atender simultaneamente às exigências da LGPD, da Resolução BCB 4.658 (segurança cibernética), do Open Finance e do futuro marco regulatório de IA. Segundo a Febraban, o setor financeiro brasileiro investiu R$ 4,5 bilhões em IA em 2025, e estima-se que 30% desse investimento precisará ser redirecionado para adequação regulatória em 2026-2027.

Setor de Saúde

Sistemas de IA para diagnóstico, triagem e apoio à decisão clínica são classificados como alto risco pelo PL 2338/2023. Hospitais e healthtechs que utilizam IA precisam garantir supervisão humana qualificada em todas as decisões que afetem pacientes, além de manter registros detalhados de acurácia e viés por subgrupos populacionais. A ANVISA, em conjunto com a ANPD, tem trabalhado em diretrizes específicas para IA em saúde, previstas para publicação no segundo semestre de 2026.

Setor Jurídico

O uso de IA em escritórios de advocacia e departamentos jurídicos — para análise de contratos, pesquisa jurisprudencial e predição de resultados — levanta questões específicas sobre sigilo profissional e dados sensíveis. A OAB emitiu parecer em 2026 orientando que dados de processos judiciais não podem ser enviados a APIs de IA hospedadas no exterior sem consentimento específico dos clientes e garantias contratuais robustas de segurança.

Soluções como o LawrAI, desenvolvido pela Mind Group para o setor jurídico, demonstram que é possível construir ferramentas de IA jurídica com governança de dados integrada, processando informações sensíveis de forma segura e em conformidade com a LGPD. Com mais de 20.000 usuários, o caso do LawrAI evidencia que compliance e inovação não são mutuamente exclusivos.

Setor Público

Órgãos governamentais que utilizam IA para tomada de decisão — como sistemas de detecção de fraude, alocação de recursos ou avaliação de benefícios sociais — enfrentam o escrutínio mais rigoroso sob o PL 2338/2023. A lei exige total transparência, possibilidade de revisão humana e proibição de discriminação algorítmica, com sanções que podem incluir, além de multas, a suspensão do uso do sistema.

Checklist de Conformidade: LGPD + IA em 2026

Para empresas que estão avaliando sua posição de conformidade, elaboramos um checklist prático que consolida as exigências atuais da LGPD com as disposições do PL 2338/2023:

Governança e Estrutura Organizacional

• Designação de DPO (Encarregado de Proteção de Dados) com conhecimento em IA
• Criação de comitê de ética em IA ou incorporação da pauta ao comitê de privacidade existente
• Definição de papéis e responsabilidades para governança de IA (AI governance officer ou equivalente)
• Programa de treinamento específico sobre IA responsável para equipes técnicas e de negócios

Documentação e Registros

• Inventário de todos os sistemas de IA em uso na organização, com classificação de risco
• RIPD (Relatório de Impacto à Proteção de Dados) específico para cada sistema de IA de alto risco
• Model cards para todos os modelos de IA desenvolvidos internamente ou customizados
• Registro de datasets de treinamento com documentação de base legal
• Políticas de retenção e descarte de dados específicas para IA

Aspectos Técnicos

• Implementação de mecanismos de explicabilidade (XAI) para decisões automatizadas
• Testes de viés e discriminação algorítmica periódicos
• Mecanismos de supervisão humana para sistemas de alto risco
• Proteção contra prompt injection, data poisoning e adversarial attacks
• Logs auditáveis de decisões do sistema de IA
• Técnicas de privacidade aplicadas (differential privacy, federated learning, dados sintéticos)

Contratos e Fornecedores

• Revisão de contratos com fornecedores de APIs de IA (cláusula de não-treinamento, localização de dados)
• Due diligence de segurança e privacidade em fornecedores de modelos de IA
• Cláusulas de transferência internacional de dados para processamento em nuvem
• Definição contratual de responsabilidade por outputs de IA

Direitos dos Titulares

• Canal de atendimento preparado para solicitações de revisão de decisões automatizadas
• Processo definido para revisão humana de decisões de IA contestadas
• Informação clara e acessível sobre o uso de IA em interações com o titular
• Mecanismo de opt-out do processamento por IA quando aplicável

O Que Esperar do Segundo Semestre de 2026

O cenário regulatório brasileiro para IA está em rápida evolução. Para o segundo semestre de 2026, alguns desenvolvimentos são esperados:

1. Aprovação do PL 2338/2023 na Câmara dos Deputados: Após a aprovação no Senado, o projeto segue em tramitação na Câmara, com expectativa de votação ainda em 2026. A versão final pode incluir alterações significativas em relação ao texto aprovado pelo Senado, especialmente em relação ao modelo de fiscalização e às obrigações para IA generativa.
2. Regulamentação específica da ANPD para IA generativa: A ANPD sinalizou que publicará orientações específicas para o uso de IA generativa, abordando questões como scraping de dados para treinamento, direitos autorais e processamento de dados pessoais em prompts.
3. Sandboxes regulatórios: O governo federal anunciou a criação de ambientes controlados (sandboxes) para teste de soluções de IA em setores regulados, permitindo que empresas desenvolvam e testem inovações com supervisão regulatória flexibilizada.
4. Harmonização internacional: Com o AI Act europeu em plena vigência desde agosto de 2025, espera-se que o Brasil busque algum grau de harmonização para facilitar operações de empresas que atuam em ambos os mercados. Segundo relatório do Banco Mundial, a harmonização regulatória em IA pode gerar um ganho de eficiência de US$ 4,2 bilhões para economias emergentes até 2028.

Como se Preparar: Recomendações Práticas

Com base na análise do cenário atual e das tendências regulatórias, recomendamos as seguintes ações para empresas brasileiras que utilizam ou pretendem utilizar IA:

Curto Prazo (próximos 3 meses)

• Realizar um inventário completo de todos os sistemas de IA em uso na organização
• Classificar cada sistema de acordo com os níveis de risco do PL 2338/2023
• Revisar contratos com fornecedores de APIs de IA, especialmente quanto a cláusulas de não-treinamento e localização de dados
• Atualizar o RIPD para incluir análise específica de riscos relacionados a IA
• Designar um responsável interno pela governança de IA

Médio Prazo (3 a 6 meses)

• Implementar mecanismos de explicabilidade em decisões automatizadas
• Estabelecer processos de revisão humana para sistemas de alto risco
• Desenvolver model cards e documentação técnica para modelos internos
• Capacitar equipes técnicas e jurídicas em IA responsável
• Definir políticas de retenção de dados específicas para IA

Longo Prazo (6 a 12 meses)

• Implementar testes periódicos de viés e discriminação algorítmica
• Integrar avaliação de impacto algorítmico ao ciclo de desenvolvimento de novos projetos
• Estabelecer programa de monitoramento contínuo de sistemas de IA em produção
• Participar de sandboxes regulatórios quando disponíveis
• Revisar e atualizar toda a documentação de compliance após a aprovação do marco regulatório

Para empresas que estão iniciando projetos de desenvolvimento de software com IA, a recomendação mais importante é escolher parceiros de tecnologia que já incorporem essas preocupações regulatórias desde a fase de concepção. A Mind Group, como software house especializada em projetos sob medida com integração de IA, tem observado um aumento significativo na demanda por projetos que nascem com governança de dados e compliance regulatório integrados — uma tendência que reflete a maturidade do mercado brasileiro em relação ao uso responsável de inteligência artificial.

Comparativo: LGPD + PL 2338/2023 vs. GDPR + AI Act (UE)

Para empresas que operam em múltiplas jurisdições, compreender as diferenças e semelhanças entre os frameworks brasileiro e europeu é essencial:

Aspecto	Brasil (LGPD + PL 2338)	UE (GDPR + AI Act)
Classificação de risco	4 níveis (inaceitável, alto, moderado, baixo)	4 níveis (inaceitável, alto, limitado, mínimo)
Multas máximas (proteção de dados)	R$ 50 milhões por infração (LGPD)	4% do faturamento global ou EUR 20 milhões (GDPR)
Multas máximas (IA)	Ainda em definição no PL	Até EUR 35 milhões ou 7% do faturamento global
Autoridade fiscalizadora de IA	Em definição (possivelmente ANPD ou nova agência)	AI Office da Comissão Europeia + autoridades nacionais
Direito à explicação	Art. 20 da LGPD + PL 2338	GDPR Art. 22 + AI Act
IA generativa	Disposições gerais aplicáveis	Categoria específica (GPAI) com obrigações graduais
Sandbox regulatório	Previsto no PL 2338	Obrigatório para cada Estado-membro

A análise comparativa revela que o framework brasileiro, embora inspirado no europeu, apresenta particularidades relevantes — especialmente na definição do órgão fiscalizador de IA e nas sanções aplicáveis. Empresas que buscam conformidade simultânea devem mapear as exigências de ambas as jurisdições e adotar o padrão mais rigoroso como baseline.

O Papel da Software House na Conformidade Regulatória

A escolha do parceiro de desenvolvimento tecnológico tornou-se um fator crítico de compliance. Uma software house que desenvolve sistemas com componentes de IA tem responsabilidade direta sobre a conformidade regulatória do produto entregue. Isso inclui não apenas o código, mas toda a documentação técnica, as avaliações de impacto e os mecanismos de governança integrados ao sistema.

A Mind Group, atuando no desenvolvimento de sistemas sob medida com IA desde 2016, tem acompanhado de perto a evolução regulatória e adaptado suas metodologias de desenvolvimento para incorporar requisitos de conformidade como parte integral do processo — não como uma camada adicional. Projetos recentes para clientes nos setores de energia, jurídico e logística demonstram que essa abordagem integrada resulta em sistemas mais robustos, com menor risco regulatório e maior confiança dos usuários finais.

De acordo com pesquisa da Gartner publicada em 2026, até 2028, 75% das organizações que utilizam IA exigirão de seus fornecedores de tecnologia documentação de conformidade regulatória como requisito contratual obrigatório — um aumento significativo em relação aos 23% registrados em 2024.

Perguntas Frequentes (FAQ)

A LGPD se aplica a dados utilizados para treinar modelos de inteligência artificial?

Sim. A LGPD se aplica a qualquer tratamento de dados pessoais, incluindo a coleta, armazenamento e processamento de dados para treinamento de modelos de IA. Se os dados utilizados no treinamento contêm informações que possam identificar direta ou indiretamente uma pessoa natural, todas as exigências da lei se aplicam — incluindo a necessidade de base legal, finalidade definida, minimização de dados e garantia dos direitos do titular. A exceção ocorre apenas quando os dados são efetivamente anonimizados de forma irreversível, conforme critérios da ANPD, o que na prática é tecnicamente desafiador em modelos de machine learning.

O que é o PL 2338/2023 e quando ele deve entrar em vigor?

O PL 2338/2023 é o projeto de lei que estabelece o marco regulatório para inteligência artificial no Brasil. De autoria do senador Rodrigo Pacheco, o projeto foi aprovado pelo Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados em 2026. O texto classifica sistemas de IA por nível de risco e estabelece obrigações proporcionais, incluindo avaliações de impacto algorítmico, mecanismos de transparência e direitos dos afetados por decisões automatizadas. A previsão é de que seja votado ainda em 2026, com um período de vacatio legis para adaptação das empresas após a sanção presidencial.

Quais são as multas previstas para violações da LGPD envolvendo IA em 2026?

As multas previstas na LGPD podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração. Em 2026, a ANPD tem aplicado sanções significativas em casos envolvendo IA, com multas que variaram de R$ 500 mil a R$ 10 milhões em processos concluídos no primeiro semestre. Os fatores agravantes incluem: uso de dados pessoais sensíveis, alto volume de titulares afetados, ausência de RIPD e falta de base legal documentada para o tratamento. Quando o PL 2338/2023 for aprovado, sanções adicionais específicas para sistemas de IA poderão se somar às da LGPD.

Minha empresa precisa de um DPO com conhecimento em inteligência artificial?

Embora a LGPD não exija formalmente que o DPO (Encarregado de Proteção de Dados) tenha conhecimento específico em IA, na prática isso se tornou essencial para empresas que utilizam sistemas de inteligência artificial. O DPO precisa ser capaz de avaliar riscos específicos de IA, supervisionar a elaboração de RIPDs que contemplem análise algorítmica, interagir com equipes técnicas sobre questões de viés e explicabilidade, e orientar a organização sobre conformidade com o futuro marco regulatório. Muitas empresas estão optando por capacitar seus DPOs em IA ou por designar um “AI governance officer” que trabalhe em conjunto com o DPO.

Como garantir a conformidade de um sistema de IA desenvolvido por terceiros?

A conformidade de um sistema de IA desenvolvido por terceiros depende de três pilares: contrato, documentação e monitoramento. O contrato deve incluir cláusulas específicas sobre governança de dados em IA, classificação de risco, responsabilidade por outputs e obrigações de documentação. A software house contratada deve entregar toda a documentação técnica necessária para o compliance regulatório, incluindo model cards, registros de datasets e avaliações de impacto. Após a implantação, o contratante deve manter um programa de monitoramento contínuo, incluindo auditorias periódicas de viés, performance e conformidade. A escolha de um parceiro de desenvolvimento com experiência comprovada em projetos de IA com governança integrada reduz significativamente os riscos regulatórios.

Dados anonimizados utilizados em IA estão sujeitos à LGPD?

Dados efetivamente anonimizados — ou seja, aqueles que não podem ser revertidos para identificar uma pessoa natural utilizando meios técnicos razoáveis — não estão sujeitos à LGPD, conforme Art. 12 da lei. No entanto, no contexto de IA, a anonimização efetiva é significativamente mais difícil de alcançar do que em outros cenários. Modelos de machine learning podem “memorizar” padrões que permitem re-identificação, e técnicas como membership inference attacks podem revelar se dados específicos foram usados no treinamento. A ANPD adota uma postura conservadora, exigindo que a empresa demonstre que o processo de anonimização é robusto o suficiente para resistir a ataques conhecidos. Recomenda-se tratar dados usados em treinamento de IA como dados pessoais até que se possa demonstrar, com evidências técnicas, que a anonimização é efetiva e irreversível.

Quais cláusulas contratuais são essenciais ao contratar uma API de IA como GPT ou Claude?

Ao contratar APIs de modelos de IA, as cláusulas contratuais essenciais incluem: cláusula de não-treinamento (garantia de que os dados enviados não serão usados para treinar o modelo), definição de localização de processamento e armazenamento de dados, SLAs de segurança e privacidade, responsabilidade por outputs (especialmente se gerarem conteúdo ilegal ou violador de direitos), direito de auditoria, políticas de retenção e eliminação de dados de prompts, conformidade com transferência internacional de dados nos termos da LGPD, e procedimentos para notificação de incidentes de segurança. Essas cláusulas devem ser revisadas periodicamente, pois os termos de serviço dos fornecedores de IA podem mudar com frequência.

O que é uma avaliação de impacto algorítmico e quando ela é obrigatória?

A avaliação de impacto algorítmico é um documento que analisa os riscos que um sistema de IA pode representar para direitos fundamentais, incluindo privacidade, não-discriminação, dignidade e segurança. O PL 2338/2023 prevê que ela será obrigatória para sistemas de IA classificados como de alto risco — ou seja, aqueles utilizados em decisões de crédito, recrutamento, saúde, segurança pública e acesso a serviços essenciais. A avaliação deve incluir descrição do sistema e sua finalidade, análise de vieses potenciais, medidas de mitigação adotadas, mecanismos de supervisão humana e procedimentos para revisão de decisões contestadas. Mesmo para sistemas que não se enquadram como alto risco, a realização voluntária de avaliações de impacto algorítmico é uma boa prática recomendada pela ANPD.