ANPD reserva 2027 para fiscalizar IA que trata dado pessoal: o que o Mapa de Temas Prioritários já deixa valendo em 2026
A Resolução CD/ANPD nº 30/2025, em vigor desde 24 de dezembro de 2025, elegeu inteligência artificial e tecnologias emergentes como um dos quatro eixos de fiscalização da autoridade para o biênio 2026 e 2027, com ações específicas de IA programadas para 2027. A janela de 2026 é, na prática, o prazo que a própria ANPD está dando para empresa que trata dado pessoal com IA se organizar antes de entrar na mira.
O que a ANPD publicou
Em 23 de dezembro de 2025 o Conselho Diretor da Autoridade Nacional de Proteção de Dados aprovou a Resolução CD/ANPD nº 30/2025, o Mapa de Temas Prioritários de fiscalização para o biênio 2026-2027, publicada em 24 de dezembro de 2025 e em vigor desde então. No mesmo pacote, a Resolução CD/ANPD nº 31/2025 atualizou a Agenda Regulatória 2025-2026 da autoridade.
O Mapa organiza a atuação fiscalizatória da ANPD para os dois próximos anos em quatro eixos, conforme o texto publicado pela própria autoridade: direitos dos titulares, proteção de crianças e adolescentes no ambiente digital, tratamento de dados pessoais pelo Poder Público, e inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.
Esse último eixo é o que interessa a qualquer empresa que use modelo de linguagem, sistema de recomendação, pontuação de crédito automatizada ou chatbot de atendimento que processe dado de cliente brasileiro. Cobertura jurídica especializada que acompanhou o detalhamento do Mapa aponta que as ações de fiscalização do eixo de inteligência artificial estão previstas para o ano de 2027, na mesma linha das ações do eixo de proteção de crianças e adolescentes, também concentradas principalmente naquele ano.
Por que 2026 é a janela, não o ano da fiscalização
O desenho do Mapa separa dois momentos com função diferente. As ações de fiscalização do eixo de Poder Público e parte do eixo de direitos dos titulares começam já em 2026. As ações do eixo de inteligência artificial e do eixo de crianças e adolescentes ficam concentradas em 2027. Na prática, isso funciona como um aviso prévio, a ANPD publicou onde vai olhar antes de começar a olhar.
- Eixo inteligência artificial e tecnologias emergentes: ações de fiscalização previstas para 2027.
- Eixo proteção de crianças e adolescentes: ações concentradas principalmente em 2027, ligadas ao Estatuto Digital da Criança e do Adolescente.
- Eixo tratamento de dados pelo Poder Público e parte do eixo de direitos dos titulares: atuação já iniciada em 2026.
Essa lógica de mapa público e previsível é deliberada. A própria ANPD descreve o instrumento como parte da estratégia de fiscalização baseada em risco, que prioriza temas de maior impacto social e dá à sociedade regulada tempo para se adequar antes da atuação repressiva.
Eixos do Mapa de Temas Prioritários 2026-2027: "direitos dos titulares", "proteção de crianças e adolescentes no ambiente digital", "tratamento de dados pessoais pelo Poder Público" e "inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais". Resolução CD/ANPD nº 30/2025, ANPD
Uma ANPD com mais dente para aplicar o Mapa
O Mapa de dezembro de 2025 ganhou um reforço institucional dois meses depois. Segundo cobertura jurídica especializada sobre a Lei nº 15.352, sancionada em 25 de fevereiro de 2026, a norma transformou a ANPD em autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira, e criou carreira própria de Especialista em Regulação e Fiscalização de Proteção de Dados, com cerca de 200 cargos de nível superior a serem providos por concurso. Um dos motivadores citados por essa cobertura foi a necessidade de estrutura para dar conta da entrada em vigor do Estatuto Digital da Criança e do Adolescente, a Lei nº 15.211/2025.
A leitura direta é que o Mapa de Fiscalização deixou de ser promessa de autoridade com quadro pequeno, para virar plano de trabalho de uma agência reguladora com carreira própria e orçamento definido em lei. É essa combinação, mapa publicado com dois anos de antecedência mais estrutura para executar, que muda o cálculo de risco de quem trata dado pessoal com IA no Brasil.
O que isso costuma exigir de quem usa IA em atendimento e vendas
O eixo de inteligência artificial do Mapa não detalha, no texto publicado pela ANPD, uma lista fechada de produtos vigiados. O que a autoridade já deixou registrado em outro processo, a Tomada de Subsídios sobre Inteligência Artificial e Revisão de Decisões Automatizadas, consolidada na Nota Técnica nº 12/2025/CON1/CGN/ANPD publicada em 15 de maio de 2025 com 124 contribuições recebidas, é que o foco regulatório central é o artigo 20 da LGPD, o direito do titular a solicitar revisão de decisão tomada unicamente com base em tratamento automatizado que afete seus interesses, incluindo definição de perfil pessoal, profissional, de consumo ou de crédito.
Para empresa que usa IA em atendimento, triagem de lead ou concessão de crédito, isso costuma se traduzir em três frentes que a própria ANPD já sinalizou como relevantes nos documentos publicados até aqui: manter governança documentada de como a IA chega a cada tipo de decisão que afeta o titular, garantir canal real de solicitação de revisão dessa decisão, e produzir relatório de impacto à proteção de dados para o sistema que trata dado pessoal em escala. Nenhum desses pontos é ainda regra fechada, o processo regulatório sobre decisões automatizadas segue em curso na Agenda Regulatória da ANPD, mas é a direção que a própria autoridade vem indicando desde a tomada de subsídios de 2025.
Leitura crítica
O ponto que costuma passar despercebido nesse tipo de anúncio é confundir "eixo prioritário" com "regra nova em vigor". O Mapa de Temas Prioritários não cria obrigação além do que a LGPD já prevê, ele organiza onde a ANPD vai concentrar a fiscalização daquilo que já é obrigação desde 2020. Quem já cumpre o artigo 20 da LGPD hoje não ganha uma exigência nova em 2027, ganha mais chance de ser efetivamente checado.
O dado que merece ceticismo é o inverso: um mapa de fiscalização publicado com dois anos de antecedência é também uma declaração de capacidade limitada. Reservar as ações de IA para 2027 sugere que a autarquia calculou não ter estrutura para fiscalizar esse eixo em 2026, mesmo com a criação de 200 cargos pela Lei 15.352/2026, porque concurso público, treinamento e montagem de metodologia de fiscalização de sistema de IA não se resolvem da noite para o dia. Isso não reduz o risco regulatório de médio prazo, mas indica que o risco imediato, em 2026, ainda é mais de exposição a ação individual do titular via artigo 20 da LGPD do que de fiscalização de ofício da autoridade.