ANPD revela critérios para testar IA dentro da lei no Brasil

O 2º relatório do sandbox regulatório mostra como Metatext, Synapse AI e Prevvine Tecnologia estão testando IA sob supervisão da ANPD, e o que esse processo revela sobre as exigências que toda empresa vai enfrentar.

A Agência Nacional de Proteção de Dados (ANPD) publicou em 09/10/2026 o 2º Relatório Parcial de Monitoramento do Sandbox Regulatório em Inteligência Artificial. O documento detalha os resultados de três empresas que testam, sob acompanhamento do regulador, sistemas de inteligência artificial que tratam dados pessoais. Para quem decide onde a IA entra na própria empresa, o relatório funciona como um mapa do que o órgão vai cobrar de qualquer negócio que use IA tratando dados de clientes, pacientes ou usuários.

O que é o sandbox e por que ele interessa a quem decide

Sandbox regulatório é um ambiente controlado em que a ANPD acompanha de perto o desenvolvimento de um produto de IA antes dele chegar ao mercado sem supervisão. A agência faz isso em parceria com o Centro de Inteligência Artificial e Aprendizado de Máquina da Universidade de São Paulo (Ciaam/USP), que desenhou a metodologia de avaliação usada no projeto. Não é um selo de aprovação: é um processo de testagem com ciclos de correção, pensado para gerar evidências que vão virar regra para todo mundo depois.

Esse detalhe importa porque o que está sendo testado hoje dentro do sandbox tende a virar exigência de conformidade amanhã, fora dele. A própria ANPD afirma que o objetivo é produzir informações para a futura atuação normativa e regulatória da agência, garantindo que as ferramentas de IA respeitem a Lei Geral de Proteção de Dados Pessoais (LGPD) e os direitos dos titulares de dados. Quem acompanha o sandbox hoje sabe, com meses de antecedência, o que o regulador vai perguntar na próxima fiscalização.

Três empresas, três setores, o mesmo roteiro de conformidade

As participantes foram selecionadas pelo Edital nº 2/2025, conduzido pela Superintendência de Inovação Tecnológica (Sitec) da ANPD, e começaram as atividades no sandbox em março de 2026.

A diversidade de setores não é acidental: a ANPD quer entender como os mesmos princípios de governança, segurança e transparência se aplicam a contextos regulatórios diferentes, do crédito ao prontuário médico. Para um gestor que avalia fornecedores de IA, o recorte setorial do sandbox é um indicativo de onde a fiscalização vai apertar primeiro.

O que o segundo ciclo testou na prática

Segundo o relatório, este segundo ciclo avaliou cada solução conforme sua maturidade tecnológica, suas especificidades técnicas e o setor de aplicação. As empresas passaram por capacitações em cibersegurança, gestão de riscos e adequação normativa, e seus produtos foram submetidos a testes de segurança e conformidade com a legislação.

O processo segue três etapas, o que permite recomendações graduais, adaptadas à complexidade técnica e regulatória de cada caso:

1. Coleta de evidências sobre o funcionamento real do sistema de IA.
2. Classificação de riscos jurídicos, tecnológicos e operacionais.
3. Elaboração de medidas de mitigação, com ciclos de aprimoramento e retestagem para os pontos críticos identificados.

Esse roteiro em três passos é, na prática, um checklist de governança que qualquer empresa pode adaptar internamente, mesmo sem participar do sandbox: mapear como a IA usa dados pessoais, classificar o risco de cada uso e documentar a correção antes de escalar o produto.

A metodologia que sustenta essa avaliação foi publicada pela ANPD em agosto de 2026, desenvolvida pelo Ciaam/USP e validada pela Comissão de Sandbox da agência. Ela define como a ANPD mede transparência, explicabilidade (a capacidade de explicar por que o sistema tomou uma decisão) e proteção de dados pessoais em sistemas de IA. O primeiro relatório parcial do projeto havia sido divulgado em julho de 2026, o que situa este segundo documento como continuidade do acompanhamento do projeto.

Reconhecimento internacional reforça o peso do modelo

O sandbox regulatório da ANPD é finalista do Global Privacy and Data Protection Awards 2026, prêmio promovido pela Global Privacy Assembly (GPA), o principal fórum internacional de autoridades de privacidade e proteção de dados. O projeto também disputa o Prêmio do Público da premiação, decidido por interação com um vídeo publicado nos canais oficiais da GPA.

A indicação não muda nada na obrigação legal de nenhuma empresa brasileira, mas sinaliza que o modelo de testagem gradual criado pela ANPD está sendo observado por outras autoridades de proteção de dados no mundo. Isso aumenta a chance de esse formato (treinamento, classificação de risco, retestagem em ciclos) virar referência também em outras jurisdições que ainda não regulamentaram IA.

O que muda para quem decide, mesmo fora do sandbox

As três empresas testadas seguem em fase de ajuste dentro do programa, com seus produtos passando por ciclos de capacitação, testagem e retestagem sob supervisão da ANPD. Mas o relatório já entrega, de graça, o roteiro que a ANPD usa para avaliar se uma ferramenta de IA está madura o suficiente para tratar dados pessoais com segurança.

Para quem avalia contratar ou desenvolver uma solução de IA que toca dado de cliente, paciente ou usuário, três perguntas do próprio sandbox valem como critério de due diligence com fornecedor: o sistema tem avaliação documentada de risco jurídico e operacional? Existe plano de mitigação para os pontos críticos identificados? O fornecedor consegue explicar como e por que o sistema decide o que decide? Nenhuma empresa é obrigada a responder isso hoje por lei, mas o sandbox é o melhor indício disponível de qual vai ser a régua de amanhã.

Fonte: GOV.BR