O panorama da governança de IA no Brasil em 2026

O Brasil consolidou-se como a jurisdição mais ativa da América Latina na fiscalização da governança de IA, impulsionado por uma autoridade de proteção de dados fortalecida e por um compromisso regulatório explícito de supervisionar sistemas de IA. Compreender o arcabouço de governança de IA do Brasil exige compreender três camadas: a LGPD como lei vinculante fundamental; a postura de fiscalização da ANPD, em rápida evolução; e o Projeto de Lei federal de IA que continua pendente no Congresso.

A LGPD e a IA: obrigações vinculantes já em vigor

A Lei Geral de Proteção de Dados do Brasil aplica-se a qualquer tratamento de dados pessoais de indivíduos localizados no Brasil, independentemente de onde o tratamento ocorra ou de onde a organização esteja sediada. Esse alcance extraterritorial significa que organizações internacionais com usuários ou clientes brasileiros estão dentro do escopo. Os princípios da LGPD, limitação de finalidade, minimização de dados, transparência e responsabilização, aplicam-se aos sistemas de IA que tratam dados pessoais com a mesma força que a qualquer outra atividade de tratamento de dados.

A tomada de decisão automatizada é tratada especificamente no artigo 20 da LGPD, que confere aos titulares dos dados o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Isso cria uma obrigação direta para as organizações que utilizam IA em decisões de grande impacto, como crédito, emprego, seguros e acesso a serviços, de estabelecer mecanismos de revisão. Dois limites importam na prática. Primeiro, a LGPD não exige que a revisão seja feita por um ser humano: o parágrafo que exigia revisão por pessoa natural foi vetado quando a Lei nº 13.853/2019 alterou a LGPD, e o Congresso manteve esse veto em 2 de outubro de 2019, de modo que, pelo texto da lei, uma nova revisão automatizada pode satisfazer o artigo 20. Segundo, o direito que o acompanha é o direito a informações claras e adequadas sobre os critérios e os procedimentos utilizados na decisão automatizada, e o artigo 20 o submete expressamente aos segredos comercial e industrial. O artigo 20 continua sendo uma das obrigações de governança de IA mais relevantes do ponto de vista operacional no Brasil, mas é mais restrito do que a disposição do artigo 22 do GDPR da UE com a qual costuma ser comparado.

A ANPD: nova independência, novos poderes

Em setembro de 2025, a Medida Provisória nº 1.317/2025 transformou a ANPD em uma agência reguladora plenamente independente, a Autoridade Nacional de Proteção de Dados, com patrimônio próprio, autonomia administrativa e poderes de fiscalização significativamente ampliados. Essa medida foi convertida na Lei permanente nº 15.352/2026, sancionada em 25 de fevereiro de 2026, que agora estabelece formalmente o status de agência reguladora da ANPD. A ANPD pode agora determinar que estabelecimentos interrompam suas operações, apreender bens e solicitar auxílio policial em casos de obstrução. Isso representa uma mudança fundamental de uma postura consultiva para uma postura voltada à fiscalização.

O Mapa de Temas Prioritários 2026-2027 da ANPD, publicado em dezembro de 2025, lista a IA e as tecnologias emergentes no tratamento de dados pessoais como um dos quatro temas prioritários de igual peso para 2026-2027, ao lado dos direitos dos titulares de dados, da proteção de crianças e adolescentes, e do tratamento de dados pessoais pelo setor público. Entre as áreas supervisionadas estão os sistemas de reconhecimento facial, os algoritmos de recomendação e de ordenação e os sistemas de tomada de decisão automatizada, sobretudo quando envolvem dados de crianças. As organizações que utilizam IA para tratar dados pessoais de brasileiros devem interpretar isso como um sinal de atividade de fiscalização iminente.

O Estatuto Digital da Criança e do Adolescente (ECA Digital)

A Lei 15.211/2025, sancionada em setembro de 2025 e em vigor a partir de março de 2026, cria amplas novas obrigações para plataformas e sistemas de IA que possam alcançar crianças e adolescentes no Brasil. O estatuto introduz requisitos de privacidade por padrão, obrigações de verificação de idade e uma competência ampliada da ANPD sobre a proteção de dados de crianças no ambiente online. Os sistemas de IA, em especial os algoritmos de recomendação, as IAs de moderação de conteúdo e os sistemas de personalização, que possam ser usados por menores brasileiros ou afetá-los, enfrentam significativas novas obrigações de conformidade.

O Projeto de Lei federal de IA proposto no Brasil

O Projeto de Lei federal PL 2338/2023 propõe um marco regulatório dedicado à IA no Brasil, inspirado de maneira geral na abordagem baseada em risco do EU AI Act. O projeto tramitava no Congresso brasileiro no início de 2026, com a expectativa de que a ANPD seja designada como a principal autoridade de supervisão. O cronograma de adoção e de implementação plena permanece incerto, mas a direção é clara: o Brasil caminha para um marco dedicado de governança de IA que se somará às obrigações já existentes da LGPD. As organizações que estruturam sua conformidade para os requisitos atuais da LGPD estão construindo a base que o Projeto de Lei de IA proposto irá expandir.

Leitura complementar: NIST AI RMF

Leitura relacionada

Leitura complementar: NIST AI RMF