Uma política interna é um ponto de partida, mas não comprova, sozinha, que os controles funcionam. Empresas que utilizam inteligência artificial com dados pessoais precisam conectar suas regras aos fluxos reais de informação, às responsabilidades e às ações adotadas para reduzir riscos.
O que aconteceu?
Em 9 de outubro de 2026, a ANPD divulgou o segundo relatório parcial de monitoramento do sandbox regulatório de IA, realizado com apoio do CIAAM/USP. O projeto acompanha três soluções em um ambiente experimental supervisionado.
O relatório do Ciclo 2 compara informações declaradas, evidências apresentadas e resultados de testes. Distingue medidas implementadas, em andamento e planejadas. No caso da Synapse, a análise incluiu relatório de impacto, fluxos de dados, bases legais, integrações e arquitetura de pseudonimização. Algumas medidas ainda exigiam comprovação ou testes.
Esse relatório registra um projeto-piloto: não é uma nova norma, certificação nem checklist obrigatório para todas as empresas. A leitura prática proposta aqui é que a governança ganha credibilidade quando as declarações podem ser verificadas. As recomendações a seguir devem ser adaptadas ao contexto de cada organização.
Quem deve prestar atenção?
Desenvolvedores e fornecedores de IA, clínicas, fintechs, startups, pequenos negócios e organizações que automatizam análises, classificações ou atendimento. Gestores, encarregados de dados, equipes jurídicas e de tecnologia precisam compreender o que a ferramenta faz, quem recebe os dados e quais decisões ela influencia.
Uma ferramenta pronta também exige avaliação. O contrato e as configurações podem afetar a retenção das informações, o treinamento de modelos, o uso de fornecedores e o acesso de funcionários. A profundidade dos controles deve acompanhar a escala, a sensibilidade dos dados e os riscos envolvidos.
O que a LGPD exige?
A LGPD prevê prestação de contas e demonstração da eficácia das medidas (art. 6º, X), registros das operações de tratamento (art. 37) e segurança desde a concepção até a execução (art. 46). A ANPD pode determinar a elaboração de relatório de impacto, nos termos do art. 38.
O art. 20 permite solicitar revisão de decisões exclusivamente automatizadas que afetem interesses e informações sobre critérios e procedimentos, respeitados os segredos comercial e industrial. Não estabelece, em sua redação atual, revisão obrigatória por pessoa natural em todos os casos.
Que evidências ajudam a demonstrar governança?
Em uma avaliação jurídica e técnica, pode ser útil organizar os seguintes elementos, conforme o caso:
- Finalidades e dados: inventário dos usos de IA, categorias de informações, justificativas para o tratamento e desenho dos fluxos.
- Fornecedores e contratos: versões dos termos aceitos, obrigações de segurança, integrações, subcontratados e locais de processamento.
- Riscos e aprovações: análises de impacto quando cabíveis, responsáveis, critérios de aprovação e riscos aceitos ou tratados.
- Testes e controles: avaliações de precisão, robustez, vieses, permissões, limites operacionais e procedimentos de supervisão.
- Rastreabilidade: versões de modelos e configurações relevantes, alterações, registros de execução e responsáveis pelas mudanças.
- Direitos e transparência: avisos aos usuários, solicitações recebidas, respostas e providências adotadas.
- Correções e capacitação: falhas identificadas, medidas corretivas, resultados de retestes e orientação às equipes.
Esses elementos são recomendações de organização, sem transformar todo item em obrigação universal. A guarda de evidências também precisa de finalidade, acesso restrito e prazo adequado: criar um arquivo ilimitado de dados pessoais pode ampliar o próprio risco.
Como começar: oito providências preventivas
- Mapeie o uso real. Identifique ferramentas, integrações e usos informais. Veja também os riscos do uso de IA sem autorização.
- Classifique os riscos. Observe dados sensíveis, pessoas vulneráveis, efeitos das decisões e possibilidade de reidentificação.
- Defina critérios de aprovação. Estabeleça responsáveis, usos permitidos, proibições e condições para ampliar a operação.
- Avalie fornecedores. Investigue segurança, retenção, treinamento, subcontratação, transferências internacionais e resposta a incidentes. Confira cuidados com cláusulas de proteção de dados.
- Teste os controles. Verifique se permissões, bloqueios e procedimentos produzem o resultado esperado, incluindo situações de falha.
- Organize supervisão proporcional. Determine quando uma pessoa deve conferir, interromper ou corrigir uma ação. Leia sobre limites de acesso dos agentes de IA.
- Registre mudanças relevantes. Alterações de modelo, instruções, bases, APIs e parâmetros podem exigir nova avaliação.
- Documente decisões. Anote o motivo da aprovação, limitações conhecidas, pendências, prazos e quem acompanha as correções.
O que fazer quando a política não corresponde à prática?
Primeiro, identifique o risco e preserve os registros necessários para entendê-lo. Uma integração problemática pode exigir restrição ou suspensão enquanto a empresa solicita evidências ao fornecedor, ajusta contratos e configurações, revisa avisos e testa novamente os controles.
Monte um plano com prioridades, responsáveis e prazos. Não basta atualizar o documento e deixar o processo funcionando da mesma forma. A correção precisa alcançar o fluxo de dados e as ações realizadas pela ferramenta.
Nem toda lacuna documental configura automaticamente uma infração ou um incidente comunicável. Eventuais comunicações à ANPD e aos titulares dependem da análise dos fatos e dos requisitos aplicáveis. Demandas judiciais exigem avaliação concreta da lesão, do risco, das provas e das medidas disponíveis.
Quando buscar orientação individual?
Uma análise específica é especialmente útil quando a IA influencia crédito, contratação, acesso a benefícios ou cuidados de saúde; envolve dados sensíveis ou de crianças; conecta múltiplos fornecedores; atende ao poder público; ou gera dúvidas sobre transferências internacionais e incidentes.
Também merece atenção a afirmação de que dados são anônimos sem validação técnica. A descrição comercial de um produto não substitui a verificação de seu funcionamento e dos contratos.
Perguntas frequentes
Toda empresa precisa elaborar um RIPD?
Não automaticamente pelo simples uso de IA. Devem ser examinadas determinações da ANPD, normas aplicáveis e riscos do tratamento. Sua elaboração preventiva pode ser adequada ao caso.
Contratar uma plataforma transfere toda a responsabilidade?
Não. A organização precisa avaliar suas próprias decisões, os papéis dos envolvidos e as instruções ao fornecedor.
Pseudonimização significa anonimização?
Não. A possibilidade de identificar alguém com informações adicionais continua relevante para o enquadramento dos dados.
Um teste aprovado resolve a governança para sempre?
Não. Mudanças de ferramenta, integração, público ou finalidade podem alterar os riscos. O acompanhamento precisa incluir os efeitos observados no uso.
O sandbox criou uma política de IA obrigatória para todos?
O relatório descreve avaliações do projeto experimental. Não cria uma obrigação geral de manter um documento com esse nome.
Conclusão
Uma política útil orienta escolhas e pode ser conferida na prática. Para avaliar governança de IA, importa a coerência entre finalidades, contratos, fluxos, controles, testes e informações fornecidas às pessoas afetadas.
Conheça a atuação em governança jurídica de inteligência artificial. Para analisar uma situação específica, é possível solicitar consulta jurídica.
Conteúdo informativo publicado em 10 de outubro de 2026. Não substitui a análise individual do caso e não constitui promessa de resultado.