A regulação de IA no Brasil não está esperando o marco legal ser aprovado. Enquanto o PL 2338/2023 volta a ser adiado no Congresso — a quarta vez desde dezembro de 2025 —, a Autoridade Nacional de Proteção de Dados (ANPD) já elegeu IA como um dos quatro eixos da própria Agenda Regulatória pra 2026–2027, publicou duas notas técnicas específicas sobre o tema neste ano e virou agência reguladora com mais poder de fiscalizar. Pra quem treina modelo ou opera agente com dado de cliente, a pergunta certa não é mais "quando a lei passa" — é "o que já vale enquanto ela não passa".
É um erro comum tratar lei parada como vácuo regulatório. Não é. A LGPD já se aplica a qualquer tratamento de dado pessoal, treino de modelo incluído, e a ANPD vem demonstrando — com resolução, nota técnica e caso concreto — que não vai esperar um texto novo pra agir sobre o que já tem competência de fiscalizar.
O marco legal trava — pela quarta vez
O Senado aprovou o PL 2338/2023 por unanimidade em dezembro de 2024 e o texto seguiu pra Câmara dos Deputados em março de 2025. A Comissão Especial, presidida pela deputada Luísa Canziani e relatada pelo deputado Aguinaldo Ribeiro, promoveu 12 audiências públicas entre maio e setembro de 2025 — sinal de peso técnico, não de atraso por desinteresse.
O problema está na votação, não na instrução. Ela foi anunciada e adiada pelo menos quatro vezes: dezembro de 2025, fevereiro de 2026, 27 de maio de 2026 e junho de 2026. Com a Câmara entrando em recesso em 18 de julho de 2026, o próprio presidente Hugo Motta condicionou o avanço a um alinhamento prévio com o Senado — o que empurra qualquer votação real pra depois do recesso, sem data nova confirmada até a publicação deste texto.
Parte da complexidade extra vem do PL 6237/2025, projeto do próprio Poder Executivo que cria o Sistema Nacional de IA e foi apensado ao PL 2338 por vício de iniciativa — atribuir competência regulatória à ANPD é matéria exclusiva do Executivo. É esse projeto que define a ANPD como autoridade reguladora residual de IA: quem normatiza, fiscaliza e sanciona nos setores que não têm regulador setorial próprio (finanças com o Banco Central, saúde com a Anvisa, e assim por diante).
O que a ANPD já fiscaliza sem esperar o Congresso
Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários pro biênio 2026–2027 e atualizou a própria Agenda Regulatória. IA e tecnologias emergentes é um dos quatro eixos de fiscalização definidos — ao lado de direitos dos titulares, proteção de crianças e adolescentes online, e tratamento de dado pelo poder público. Do total de ações planejadas pra 2027, 20 são especificamente sobre IA.
Dois documentos técnicos já saíram desse eixo. A Nota Técnica 12/2025 consolidou 124 contribuições de uma tomada de subsídios pública sobre revisão de decisão automatizada (o direito do art. 20 da LGPD) — ainda orientativa, não vira norma vigente sozinha, mas mostra onde a regulamentação está indo. A Nota Técnica 1/2026, publicada em fevereiro, tratou de um caso concreto: conteúdo sintético gerado por IA (deepfake) que identifica uma pessoa é dado pessoal, sujeito aos princípios de finalidade e adequação da LGPD — posição adotada em ação coordenada com o Ministério Público Federal e a Senacon.
Lei parada não é fiscalização parada — a ANPD decidiu isso sozinha, usando a LGPD que já existe.
Nenhum dos dois casos dependeu do PL 2338 sair do papel. A agência está aplicando lei que já está em vigor a um tipo de tratamento de dado — treino e operação de modelo — que ela já considera dentro do próprio escopo.
De autarquia a agência: por que a Lei 15.352/2026 importa
Em fevereiro de 2026, a Lei 15.352/2026 transformou a ANPD de autarquia em agência reguladora, com autonomia funcional, técnica, decisória, administrativa e financeira, além de 200 cargos novos de especialista em regulação. A motivação declarada foi ampla — inclui o Estatuto Digital da Criança e do Adolescente, vigente desde março de 2026 — mas o efeito alcança qualquer eixo de fiscalização da agência, IA incluído: mais gente, mais orçamento, mais autonomia pra abrir processo.
A ANPD também rodou o primeiro sandbox regulatório de IA do país: edital em junho de 2025, fase de nivelamento concluída em fevereiro de 2026, três empresas selecionadas (Metatext, Synapse Artificial Intelligence e IA Greenworld), programa em andamento até dezembro de 2026 com foco em transparência algorítmica e revisão humana de decisão automatizada. Um sandbox regulatório existe justamente pra testar regra antes de publicá-la — o que está sendo avaliado ali hoje é candidato forte a virar norma em 2027.
O Brasil não está sozinho nesse padrão de "fiscalizar com o que já existe, enquanto a lei específica não fecha". A União Europeia tem 2 de agosto de 2026 como data-chave pras obrigações de alto risco do AI Act, apesar de um acordo político recente discutir adiar parte do prazo. Nos Estados Unidos, o vácuo federal segue preenchido por um mosaico de leis estaduais. A lição se repete em qualquer uma dessas geografias: a regra já em vigor pesa mais no curto prazo do que a que ainda está em debate.
O que muda pra quem treina modelo com dado de cliente agora
A régua prática, na ordem em que a ANPD já sinalizou prioridade:
- Base legal documentada por escrito, já. Consentimento, execução de contrato ou interesse legítimo — cada categoria de dado usada em treino ou prompt precisa de base legal registrada, exatamente como já detalhamos na checklist de governança de LLM. Isso não depende do PL 2338; é exigência da LGPD vigente.
- Revisão humana de decisão automatizada é destino certo, não hipótese. A Nota Técnica 12/2025 mostra a ANPD caminhando pra regulamentar o art. 20 da LGPD especificamente pra IA. Quem já tem processo de escalonamento pra humano não vai precisar correr quando a norma sair.
- Conteúdo gerado por IA que identifica uma pessoa é dado pessoal — sem margem pra dúvida. É a posição que a ANPD já aplicou no caso do Grok/X. Vale pra deepfake, mas também vale pra qualquer output de agente que produza algo atribuível a um cliente ou candidato real — como discutimos no risco de triagem de currículo com IA, o dado sensível de uma pessoa identificável não perde proteção só porque passou por um modelo.
- Transferência internacional de dado pra treino segue a regra geral, sem exceção pra "é só treino". A Resolução CD/ANPD 19/2024 já normatiza cláusulas contratuais padrão pra esse tipo de transferência — enviar dado de cliente brasileiro pra treinar modelo em servidor americano entra nessa régua, ponto.
- A ausência de multa nomeada não é ausência de fiscalização ativa. Em junho de 2026, a ANPD abriu 19 novos processos administrativos sancionadores — o maior lote da história da agência — e encaminhou 21 controladores e operadores pra análise da área de sanções. O teto legal de multa é 2% do faturamento, limitado a R$ 50 milhões por infração.
O primeiro caso de multa por IA no Brasil ainda não tem nome. A estrutura pra aplicá-lo já tem.
A ausência de lei específica não é uma folga
O argumento "vamos esperar o marco legal sair" confunde duas coisas que a ANPD já separou na prática: regular IA como categoria nova de tecnologia (depende do PL 2338, ainda vai levar tempo) e fiscalizar tratamento de dado pessoal dentro de um sistema de IA (já acontece, com lei em vigor há anos). Empresa que trata as duas como a mesma coisa adia governança até o dia em que um processo administrativo chegar com o nome dela.
A janela que existe agora não é de "sem regra" — é de "regra geral já valendo, regra específica ainda em rascunho". Quem usa essa janela pra formalizar base legal, desenhar revisão humana e documentar transferência internacional chega em 2027 com processo pronto. Quem trata a lei parada como sinal verde vai descobrir a régua no pior momento possível: quando a ANPD decidir que o próprio caso virou o exemplo que faltava.
Perguntas que sempre voltam
Fechando, as dúvidas mais frequentes sobre o que muda de fato com a ANPD de olho em IA.
O que é a Agenda Regulatória da ANPD?
A Agenda Regulatória é o documento que a ANPD publica periodicamente listando os temas prioritários que a agência vai normatizar e fiscalizar num período determinado — a versão vigente cobre 2025–2026, complementada pelo Mapa de Temas Prioritários pro biênio 2026–2027, publicado em dezembro de 2025. IA e tecnologias emergentes é um dos quatro eixos definidos nesse mapa, ao lado de direitos dos titulares, proteção de criança e adolescente online, e tratamento de dado pelo poder público — com 20 ações de fiscalização específicas sobre IA planejadas pra 2027.
Preciso me preocupar com IA se o marco legal ainda não foi aprovado?
Precisa, porque a LGPD já se aplica independente do PL 2338 sair do papel. A lei específica de IA vai endereçar pontos que a LGPD não cobre bem — classificação de risco por tipo de sistema, obrigação de transparência algorítmica, regime sancionatório próprio. Mas qualquer tratamento de dado pessoal dentro de um sistema de IA — treino, prompt, output que identifica alguém — já está sujeito à LGPD e à fiscalização ativa da ANPD hoje, como mostram as duas notas técnicas publicadas em 2025 e 2026.
Que multa a ANPD pode aplicar por uso indevido de IA com dado pessoal?
O teto legal é 2% do faturamento da empresa no Brasil, limitado a R$ 50 milhões por infração — a mesma régua sancionatória de qualquer violação de LGPD, porque ainda não existe regime de multa específico pra IA (isso depende do marco legal). Não há, até a publicação deste texto, nenhum caso público de multa nomeada especificamente por treino ou operação de modelo de IA no Brasil. Mas em junho de 2026 a ANPD abriu 19 novos processos administrativos sancionadores — o maior lote da história da agência —, o que indica capacidade de fiscalização crescente, não ausência de risco.