A inteligência artificial deixou de ser apenas um assunto tecnológico para se transformar definitivamente em uma questão de privacidade, proteção de dados e fiscalização regulatória no Brasil.
A Agência Nacional de Proteção de Dados (ANPD) incluiu formalmente “inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais” entre os quatro temas prioritários de sua fiscalização para o biênio 2026-2027.
A decisão faz parte do Mapa de Temas Prioritários, aprovado pela Resolução CD/ANPD nº 30, de dezembro de 2025, e permanece como referência para o planejamento fiscalizatório da agência neste biênio.
Mas há um detalhe importante na publicação compartilhada:
IA não é o único “eixo prioritário” da ANPD.
Ela é um dos quatro temas prioritários definidos pela autoridade.
E outro deles deverá produzir impactos especialmente relevantes para plataformas digitais:
a proteção de crianças e adolescentes.
Quatro áreas estão no radar da ANPD
O Mapa de Temas Prioritários 2026-2027 estabelece quatro grandes frentes:
- direitos dos titulares de dados pessoais;
- proteção de crianças e adolescentes no ambiente digital;
- tratamento de dados pessoais pelo Poder Público;
- inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.
Isso significa que empresas que utilizam IA para processar informações pessoais passam a estar explicitamente dentro de uma área considerada prioritária para planejamento e atuação fiscalizatória.
Não significa, porém, que qualquer empresa que utilize inteligência artificial será automaticamente investigada ou multada.
O Mapa funciona como instrumento para orientar onde a agência concentrará atenção e recursos.
Por que a inteligência artificial preocupa a ANPD?
Porque praticamente todas as grandes aplicações modernas de IA podem tocar, direta ou indiretamente, em dados pessoais.
Assistentes virtuais.
Sistemas de recomendação.
Reconhecimento facial.
Análise comportamental.
Publicidade personalizada.
Ferramentas de recrutamento.
Sistemas antifraude.
Modelos generativos.
Agentes de IA.
Em diferentes situações, esses sistemas podem receber, inferir, cruzar ou produzir informações relacionadas a pessoas.
E quando há tratamento de dados pessoais no Brasil, entra em cena a Lei Geral de Proteção de Dados — LGPD.
O foco não é “regular o algoritmo” de maneira abstrata
Essa distinção é importante.
A prioridade descrita pela ANPD é:
“inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais”.
Ou seja, o foco atual da autoridade está diretamente relacionado às competências que possui sobre proteção de dados.
A ANPD não declarou que fiscalizará indiscriminadamente todo software de inteligência artificial utilizado no país.
O ponto de conexão é o tratamento de informações pessoais e os riscos relacionados aos direitos dos titulares.
Empresas terão de pensar cada vez mais sobre os dados utilizados pela IA
Imagine uma empresa que cria um assistente baseado em inteligência artificial.
Algumas perguntas começam a se tornar essenciais:
Quais informações dos usuários são coletadas?
Por quanto tempo são armazenadas?
São utilizadas para treinamento?
São compartilhadas com terceiros?
Existem dados sensíveis?
O usuário consegue exercer seus direitos?
Existe transparência sobre o tratamento?
Há medidas adequadas de segurança?
Essas perguntas deixam de ser exclusivamente técnicas.
Tornam-se questões de governança e compliance.
IA pode criar dados que o usuário nunca forneceu diretamente
Existe ainda uma característica particularmente importante.
Sistemas de inteligência artificial não apenas recebem informações.
Eles podem:
inferir informações.
Imagine que uma plataforma conheça:
localização;
compras;
horários;
pesquisas;
conteúdos visualizados.
Individualmente, esses dados podem parecer relativamente comuns.
Com algoritmos sofisticados, entretanto, eles podem revelar ou sugerir características muito mais sensíveis sobre uma pessoa.
É por isso que o poder de inferência da IA cria novos desafios para proteção de dados.
Decisões automatizadas também permanecem relevantes
Outro tema sensível é quando algoritmos influenciam decisões que afetam pessoas.
Crédito.
Seguro.
Emprego.
Preços.
Detecção de fraude.
Moderação.
Recomendação.
Quanto maior o impacto de uma decisão automatizada, maior tende a ser a preocupação com questões como:
transparência;
discriminação;
qualidade dos dados;
segurança;
responsabilidade.
É justamente nesse ponto que IA, proteção de dados e governança começam a se encontrar.
Mas crianças e adolescentes são uma prioridade ainda mais concreta
O segundo grande ponto da publicação compartilhada também está correto.
A ANPD colocou proteção de crianças e adolescentes no ambiente digital entre suas prioridades para 2026 e 2027.
E a importância dessa área cresceu substancialmente após a entrada do ECA Digital no arcabouço regulatório brasileiro.
A agência estruturou um cronograma específico de implementação.
Entre agosto e novembro de 2026, está previsto um período de adaptação e monitoramento das soluções de aferição de idade.
Depois, a partir de janeiro de 2027, começam ações de fiscalização previstas no Mapa de Temas Prioritários para assegurar a adequação dos agentes regulados às disposições do ECA Digital.
Aferição de idade será uma das grandes discussões
A questão parece simples:
como uma plataforma sabe que determinado usuário possui 12, 15 ou 25 anos?
Na prática, é extremamente complicada.
Uma solução poderia pedir documento.
Mas isso aumenta a coleta de dados pessoais.
Poderia utilizar reconhecimento facial.
Mas isso pode envolver biometria.
Poderia estimar idade utilizando inteligência artificial.
Mas a estimativa pode errar.
Poderia depender apenas da idade declarada.
Mas uma criança consegue simplesmente informar uma data falsa.
É um problema técnico, jurídico e de privacidade ao mesmo tempo.
Proteger crianças sem coletar dados demais
Existe um paradoxo.
Para proteger menores, plataformas precisam descobrir se o usuário é menor.
Para descobrir isso, podem precisar coletar mais informações sobre ele.
Ou seja:
uma tecnologia criada para aumentar a segurança pode aumentar o tratamento de dados pessoais.
A regulamentação precisa encontrar um equilíbrio.
É justamente por isso que a ANPD optou por uma implementação gradual, começando com regulamentação, orientação e período de adaptação antes de intensificar a fiscalização.
Privacidade por padrão entra no radar
A fiscalização prevista pela agência também envolve verificar a adoção, por design e por padrão, da configuração mais protetiva disponível para privacidade e proteção de dados.
Esse conceito é extremamente importante.
Em vez de colocar todas as opções invasivas ativadas e esperar que uma criança descubra como desligá-las, a lógica se inverte.
O padrão deve favorecer:
proteção.
Depois, configurações podem ser ajustadas conforme regras aplicáveis e contexto.
Supervisão parental também aparece
Ferramentas de supervisão parental estão entre os elementos considerados no planejamento.
Isso pode envolver mecanismos que permitam aos responsáveis acompanhar ou administrar determinados aspectos da experiência digital de menores.
Mas novamente existe uma tensão.
Supervisão não pode simplesmente significar vigilância ilimitada.
Crianças e adolescentes também possuem direitos relacionados à privacidade, desenvolvimento e autonomia progressiva.
Por isso, desenho de produto passa a ser parte importante da discussão regulatória.
A fiscalização pode chegar ao próprio design das plataformas
Esse talvez seja um dos movimentos mais relevantes em andamento.
A ANPD está olhando cada vez mais para a forma como plataformas são projetadas.
Não apenas para:
“quais dados você coleta?”
Mas também:
“como seu produto influencia o comportamento do usuário?”
A diretora Lorena Giuberti Coutinho afirmou recentemente que a agência está estruturando um centro de inteligência artificial para aumentar sua capacidade técnica de analisar algoritmos e tecnologias utilizadas por plataformas.
Entre os elementos sob atenção estão mecanismos como rolagem infinita e excesso de notificações, especialmente quando crianças e adolescentes estão envolvidos.
Rolagem infinita parece simples, mas é poderosa
Abra uma rede social.
Deslize a tela.
Surge outro vídeo.
Deslize.
Outro.
Outro.
Outro.
Não existe uma página final.
Esse design reduz os pontos naturais em que uma pessoa poderia decidir:
“vou parar agora.”
Para adultos, já pode ser difícil interromper.
Quando falamos de crianças e adolescentes, a preocupação regulatória aumenta.
Notificações também influenciam comportamento
“Você recebeu uma mensagem.”
“Seu amigo publicou algo.”
“Veja o que você perdeu.”
“Seu vídeo está recebendo curtidas.”
Cada notificação funciona como um convite para retornar.
Individualmente parecem triviais.
Em conjunto, podem formar mecanismos sofisticados de retenção.
É por isso que autoridades ao redor do mundo começam a olhar não apenas para o conteúdo das plataformas, mas também para sua:
arquitetura de engajamento.
IA torna tudo isso ainda mais sofisticado
Antes, uma plataforma poderia recomendar conteúdos utilizando regras relativamente simples.
Agora sistemas de IA conseguem analisar enormes quantidades de sinais.
Quanto tempo você assistiu.
Onde pausou.
O que repetiu.
O que ignorou.
O que compartilhou.
Quem segue.
Qual horário utiliza o aplicativo.
Com isso, algoritmos conseguem personalizar feeds de maneira extremamente precisa.
Quando o usuário é uma criança, surge uma questão delicada:
até onde uma empresa pode otimizar algoritmos para maximizar o engajamento de um menor?
Essa discussão deverá ganhar cada vez mais espaço.
IA e proteção infantil começam a convergir
Os dois temas prioritários da ANPD não estão isolados.
Eles se cruzam.
Um adolescente utiliza uma plataforma.
A plataforma coleta dados.
IA analisa o comportamento.
Um algoritmo cria um perfil.
Outro sistema recomenda conteúdo.
Outro determina quais notificações enviar.
Outro pode gerar conteúdo.
E um sistema adicional tenta estimar a idade do usuário.
Ou seja:
IA + dados pessoais + design de plataforma + proteção infantil
podem fazer parte do mesmo problema regulatório.
Conteúdo gerado por IA também entra na discussão
A proposta de Agenda Regulatória 2027-2028 apresentada recentemente pela ANPD reforça essa convergência.
Entre os eixos colocados em consulta estão:
uso de IA por crianças e adolescentes;
design seguro;
supervisão parental;
transparência das plataformas;
prestação de contas;
combate à geração de conteúdos ilícitos por ferramentas de inteligência artificial.
Isso mostra que o debate está avançando rapidamente.
Deepfakes serão cada vez mais importantes
A combinação entre IA generativa e imagens de pessoas criou uma categoria completamente nova de riscos.
Uma fotografia comum publicada em uma rede social pode ser utilizada para criar:
montagens;
vídeos falsos;
conteúdo íntimo artificial;
imitações.
Quando isso envolve menores, as consequências podem ser especialmente graves.
A ANPD já prevê monitoramento contínuo de riscos digitais associados a deepfakes e novas tecnologias dentro de sua ampliação de competências.
2027 deverá marcar uma mudança importante
Até o final de 2026, parte importante do trabalho está concentrada em:
regulamentação;
orientação;
adequação;
monitoramento.
Mas o cronograma do ECA Digital estabelece que, a partir de janeiro de 2027, começam ações de fiscalização para verificar efetivamente a adequação dos agentes regulados.
Isso significa que empresas não deveriam interpretar 2026 como um período de espera.
É justamente o período para:
mapear riscos;
adaptar sistemas;
revisar produtos;
criar processos;
documentar decisões.
A ANPD não olha apenas para Big Techs
Outro erro seria imaginar que as regras dizem respeito exclusivamente a Google, Meta, TikTok ou outras gigantes.
A LGPD alcança uma variedade enorme de organizações.
Startups.
Fintechs.
Healthtechs.
Edtechs.
E-commerce.
Aplicativos.
Empresas de RH.
Plataformas SaaS.
Serviços de IA.
Empresas tradicionais utilizando sistemas automatizados.
A pergunta relevante não é apenas:
“somos uma empresa de IA?”
A pergunta é:
“utilizamos IA em processos que envolvem dados pessoais?”
Uma empresa pode estar usando IA sem perceber o impacto regulatório
Imagine um departamento de RH utilizando uma plataforma de IA para selecionar currículos.
Ou um e-commerce utilizando algoritmo para prever comportamento.
Uma empresa utilizando IA para analisar chamadas de atendimento.
Um sistema de segurança usando reconhecimento facial.
Uma fintech utilizando modelos para detectar fraude.
Nenhuma dessas empresas precisa desenvolver seu próprio modelo.
Mesmo utilizando tecnologia fornecida por terceiros, continuam existindo questões relacionadas ao tratamento dos dados.
Contratar OpenAI, Google ou Microsoft não transfere automaticamente a responsabilidade
Esse ponto deverá ganhar importância nas empresas.
Imagine uma organização contratando um serviço externo de IA.
Ela envia informações de clientes para esse sistema.
A primeira pergunta não deveria ser apenas:
“a IA funciona?”
Também deveria ser:
Que dados estamos enviando?
Existe informação pessoal?
Existe dado sensível?
Onde será processado?
Quanto tempo será armazenado?
Será utilizado para treinamento?
Quem possui acesso?
Quais são as medidas de segurança?
Como atenderemos solicitações dos titulares?
A governança precisa acompanhar a adoção tecnológica.
Shadow AI pode virar problema de proteção de dados
Existe ainda o chamado:
Shadow AI.
É quando funcionários utilizam ferramentas de IA sem autorização ou supervisão formal da empresa.
Por exemplo:
um colaborador copia uma planilha com dados de clientes e envia para um chatbot para gerar uma análise.
Tecnicamente, a ferramenta resolveu o problema.
Mas juridicamente podem surgir vários outros.
Havia autorização para enviar esses dados?
Qual era a base legal?
Onde foram armazenados?
Havia dados sensíveis?
A empresa sabe que isso aconteceu?
Por isso governança de IA está virando governança de dados
Durante algum tempo, muitas empresas trataram inteligência artificial como um projeto separado.
Equipe de inovação de um lado.
DPO e jurídico do outro.
Segurança da informação em outro departamento.
Essa separação tende a ficar cada vez mais difícil.
Um programa maduro de IA precisará envolver:
tecnologia;
privacidade;
segurança;
jurídico;
compliance;
negócio.
O Mapa não cria uma nova multa específica para IA
Também é importante não exagerar o efeito jurídico da decisão.
O Mapa de Temas Prioritários é um instrumento de planejamento da fiscalização. A própria regulamentação da ANPD determina que ele seja elaborado considerando critérios como risco, gravidade, atualidade e relevância.
Colocar IA no Mapa não significa criar automaticamente:
uma nova infração;
uma nova alíquota;
uma nova multa específica para inteligência artificial.
As obrigações concretas precisam estar sustentadas na legislação e nos regulamentos aplicáveis.
Mas ser prioridade muda o risco regulatório
Para uma empresa, existe diferença entre um tema simplesmente existir na legislação e ele estar formalmente incluído entre as prioridades de fiscalização do regulador.
A inclusão sinaliza onde a agência pretende concentrar:
monitoramento;
orientação;
fiscalização preventiva;
eventuais ações repressivas.
A própria ANPD explica que pode adotar medidas preventivas ou repressivas dependendo das circunstâncias do caso concreto.
O Brasil está entrando em uma nova fase da governança digital
Durante os primeiros anos da LGPD, grande parte das empresas concentrou esforços em:
cookies;
políticas de privacidade;
bases legais;
consentimento;
contratos.
Esses elementos continuam importantes.
Mas o cenário está mudando.
Agora entram com força:
IA generativa;
agentes autônomos;
biometria;
deepfakes;
verificação de idade;
design de plataformas;
algoritmos de recomendação;
proteção infantil.
A proteção de dados está deixando de ser percebida apenas como um assunto documental.
Ela começa a influenciar diretamente:
como produtos digitais são construídos.
A imagem está correta, mas merece uma correção de precisão
A publicação compartilhada está correta ao dizer que a inteligência artificial entrou no radar prioritário da fiscalização da ANPD até 2027.
Também está correta ao destacar a proteção de crianças e adolescentes.
Mas a formulação mais precisa é:
IA e tecnologias emergentes são um dos quatro temas prioritários do Mapa de Fiscalização 2026-2027 da ANPD.
E crianças e adolescentes formam outro eixo independente — embora os dois estejam cada vez mais conectados.
Para empresas brasileiras, a mensagem é importante.
A discussão sobre inteligência artificial deixou de ser apenas:
“qual ferramenta devemos adotar?”
Agora também precisa incluir:
“quais dados essa IA utiliza, quais riscos cria e como conseguimos demonstrar que seu uso respeita os direitos das pessoas?”
Em 2027, essa pergunta poderá deixar de vir apenas do DPO, do jurídico ou do conselho de administração.
Ela poderá vir diretamente do regulador.
