A ANPD já multa por causa de IA — e sua empresa nem sabe se está exposta

Muita liderança ainda trata regulação de IA no Brasil como conversa de "quando o projeto de lei for aprovado". O problema é que parte dessa regulação já está em vigor, já gerou multa e já suspendeu operação de empresa grande — sem que o Marco Legal da IA tenha saído do papel.

O Brasil já tem um precedente real de punição por IA mal regulada

Em julho de 2024, a Autoridade Nacional de Proteção de Dados determinou que a Meta suspendesse a atualização de sua política de privacidade que autorizava usar dados de Facebook, Instagram e Messenger para treinar sistemas de IA generativa. A decisão aplicou multa diária de R$ 50 mil por descumprimento e afetou o tratamento de dados de cerca de 102 milhões de usuários ativos de Facebook no Brasil, segundo reportagem do Meio & Mensagem.

A base legal não foi um marco específico de IA — foi a LGPD, aplicada diretamente sobre uso de dado pessoal para treinar modelo. Essa é a primeira coisa que qualquer empresa brasileira usando IA generativa precisa entender: a ausência de lei específica de IA não é escudo. A lei de proteção de dados já cobre boa parte do risco.

PL 2338: o que muda quando o Marco Legal da IA passar na Câmara

O PL 2338/2023 foi aprovado pelo Senado em dezembro de 2024 e aguarda votação na Câmara dos Deputados. O projeto adota classificação de sistemas por nível de risco, no molde do AI Act europeu, com um diferencial: inclui capítulo específico dedicado aos direitos das pessoas afetadas por decisões tomadas com apoio de IA — não apenas obrigação para a empresa, mas direito exigível para quem é impactado pelo sistema.

O texto também define autoridades competentes por setor, com a ANPD funcionando como reguladora residual nos casos sem órgão setorial específico, segundo o guia da Confidata sobre regulação de IA no Brasil.

A ANPD virou a autoridade central de IA no Brasil — mesmo sem lei aprovada

Independentemente do calendário do Congresso, a ANPD já foi posicionada como coordenadora do Sistema Nacional de Inteligência Artificial. Na prática, isso significa competência para impor sanções e multas por uso inadequado de IA, expedir normas de certificação de sistemas, regulamentar avaliação de impacto algorítmico e coordenar diretrizes entre reguladores setoriais como Banco Central, Anatel e ANS.

Em dezembro de 2025, a autarquia publicou seu Mapa de Temas Prioritários, colocando IA e tecnologias emergentes como um dos quatro eixos de fiscalização para o biênio — com foco declarado em transparência, mitigação de viés, segurança de dados e conformidade com o artigo 20 da LGPD, que trata do direito à revisão de decisões automatizadas.

O que é a Avaliação de Impacto Algorítmico, e por que ela lembra o RIPD da LGPD

Quem já passou pelo processo de adequação à LGPD reconhece o formato. A Avaliação de Impacto Algorítmico funciona como um entregável obrigatório para sistemas de IA de alto risco — parecido com o Relatório de Impacto à Proteção de Dados que a LGPD já exige, mas focado especificamente em viés algorítmico, transparência de decisão e efeito sobre grupos protegidos.

Setores como saúde, crédito, recursos humanos, justiça e educação concentram as obrigações mais imediatas, justamente por lidarem com decisão automatizada de alto impacto sobre a vida das pessoas.

Três empresas testam as regras antes de todo mundo ter que cumprir

A ANPD já colocou o modelo regulatório em teste prático. Pelo Edital nº 2/2025, selecionou três empresas — Metatext, Synapse AI e Prevvine Tecnologia — para participar de um sandbox regulatório iniciado em março de 2026, em parceria com o grupo CIAAM da USP. O primeiro relatório parcial de monitoramento, publicado em 2 de julho de 2026, conforme divulgado pela própria ANPD, já identificou necessidade de aprimorar protocolos de dado sintético e a comunicação entre as empresas participantes e a equipe técnica.

Esse não é um exercício acadêmico distante da realidade das empresas. É o rascunho ao vivo das regras que, em algum momento próximo, vão valer para qualquer companhia operando sistema de IA de risco relevante no Brasil.

Vinte fiscalizações de IA em 2026-2027 não é ameaça distante

O Mapa de Temas Prioritários da ANPD prevê fiscalizações específicas de IA para o biênio, priorizando direitos de titulares, proteção de crianças e uso de IA por autoridades públicas. Some isso ao precedente Meta, ao sandbox em andamento e à obrigatoriedade crescente de avaliação de impacto, e o quadro fica claro: regulação de IA no Brasil não é hipótese para 2027. É operação em curso agora, com múltiplas frentes avançando em paralelo — independente da data final de aprovação do PL 2338.

Sua empresa já sabe responder: quais sistemas de IA usam dado pessoal, e sob qual base legal?

É a pergunta que separa companhia preparada de companhia que vai descobrir a resposta durante uma fiscalização. Mapear sistema de IA com dado pessoal, classificar risco, documentar base legal de treinamento de modelo e estruturar governança de IA deixaram de ser exercício de compliance de longo prazo — são obrigação prática, com precedente de punição real. É esse tipo de preparo institucional, que atravessa jurídico, tecnologia e liderança executiva, que o AI FIRST ajuda empresas brasileiras a estruturar antes que a próxima rodada de fiscalização bata na porta.