ANPD vira agência reguladora e coloca IA generativa sob monitoramento

De aplicadora de lei a agência reguladora

A Autoridade Nacional de Proteção de Dados deixou de ser apenas o órgão que aplica a LGPD. Com a Lei nº 15.352/2026, que consolidou a Medida Provisória nº 1.317/2025, a ANPD passou a ter status de autarquia especial — a mesma natureza jurídica de agências como Anatel e Aneel — com autonomia funcional, técnica, decisória, administrativa e financeira ampliada.

A mudança institucional não é simbólica. Ela vem acompanhada de estrutura: 213 profissionais temporários contratados por processo seletivo simplificado desde o início do ano, 200 cargos efetivos de Especialista em Regulação criados e o primeiro concurso público autorizado em junho de 2026, com 50 vagas, edital previsto para o fim do ano e provas em 2027. A projeção interna é ultrapassar 400 profissionais em 2027, contra a equipe enxuta que a autoridade manteve desde a criação.

Para o mercado, o recado é simples e desconfortável: a ANPD passou de uma autoridade com mais agenda do que braço para uma agência com capacidade real de fiscalizar em escala.

IA generativa entra no radar de monitoramento

Desde 21 de agosto de 2026, a autoridade passou a monitorar plataformas digitais, lojas de aplicativos e ferramentas de inteligência artificial generativa, verificando a adoção de medidas previstas na legislação atualizada do ambiente digital. A competência sobre deveres de plataformas e direitos de usuários foi atribuída pelos Decretos nº 12.975 e nº 12.976, de maio deste ano.

Vale notar o que a ANPD não fez: ela não criou um regime novo para IA. A posição da autoridade é que sistemas baseados em inteligência artificial já estão sujeitos aos princípios e obrigações da LGPD — com destaque para transparência, o regime de decisões automatizadas e a governança de riscos.

Por que isso importa mais do que uma lei futura

Enquanto o marco legal da IA segue em tramitação na Câmara, sem previsão firme de votação, a base normativa que já vale é a LGPD. Empresa que treina modelo com dado pessoal, que usa IA para decidir crédito, triagem de currículo ou score de risco, e que processa dado de cliente em ferramenta generativa de terceiro, já está dentro do escopo — sem precisar esperar texto novo.

Isso inverte uma aposta comum no mercado brasileiro nos últimos dois anos, a de que dava para adiar a governança de IA até a regulação específica chegar. A ANPD deixou claro que a régua atual já é aplicável, e agora tem gente para aplicá-la.

Onde a fiscalização vai bater primeiro

O Mapa de Temas Prioritários da autoridade para o biênio 2026-2027 coloca inteligência artificial como um dos quatro eixos centrais. Para o segundo semestre de 2026, o planejamento distribui as atividades entre direitos dos titulares, dados sensíveis e proteção de crianças e adolescentes: metade de um bloco de 25 atividades sobre direitos dos titulares, metade de um bloco de 10 envolvendo dados biométricos, de saúde ou financeiros, e 30 atividades voltadas a dados de crianças e adolescentes no ambiente digital.

Os setores sob maior atenção são saúde, biometria, inteligência artificial, serviços financeiros e fintechs. Não é lista aleatória: é onde o dado é sensível, o volume é alto e a automação de decisão já é rotina.

O caso dos encarregados como amostra do método

Um monitoramento já concluído dá a medida do que vem: a ANPD verificou a designação de encarregado de dados em 56 agentes de tratamento — 39 públicos e 17 privados. Vinte e um foram encaminhados para avaliação sancionadora.

É uma taxa alta para uma exigência que existe desde 2020 e que se resolve com uma nomeação e uma página de contato. Se essa é a proporção numa obrigação simples e antiga, é razoável projetar resultado pior em exigências complexas como registro de operações de tratamento, relatório de impacto e explicabilidade de decisão automatizada.

O cronograma que empresas de produto digital precisam ter na parede

Para quem opera plataforma acessada por menores — o que inclui muito mais produto do que os times imaginam —, o calendário do ECA Digital estabelece etapas concretas. Até agosto de 2026, a publicação de orientações definitivas sobre verificação de idade. De agosto a novembro, período de adaptação com monitoramento ampliado. Em novembro, atualização dos regulamentos de fiscalização e sanções. E, a partir de janeiro de 2027, ações estruturadas de fiscalização — com a ressalva expressa de que a autoridade pode atuar antes disso em caso de denúncia ou risco elevado.

A janela de adaptação, portanto, é este semestre. Não o ano que vem.

O que muda na prática para times técnicos

A leitura operacional desse conjunto de mudanças cabe em quatro pontos. Primeiro: inventário de onde dado pessoal encosta em modelo de IA, incluindo integrações com APIs de terceiros que muitos times sequer registraram como tratamento. Segundo: documentação de decisão automatizada, com capacidade real de explicar o critério a um titular que pedir revisão. Terceiro: verificação de idade em produto que alcança menores, com solução proporcional ao risco. Quarto: encarregado designado, acessível e com canal que funcione — a parte mais barata da lista e, pelos números da própria ANPD, a que mais gente ainda erra.

Nada disso depende do marco legal da IA. Depende de uma lei de 2018 e de uma agência que, a partir deste ano, tem estrutura para cobrar.