TL;DR
A ANPD fiscaliza o uso de inteligência artificial pela LGPD: quando a IA trata dado pessoal, a empresa precisa provar base legal, transparência, relatório de impacto e segurança. Os erros que mais expõem são não saber quais IAs a equipe usa, não ter registro do que foi enviado aos modelos e não conseguir explicar decisões automatizadas.
A fiscalização de inteligência artificial pela ANPD acontece pela LGPD: sempre que um sistema de IA trata dado pessoal, a Autoridade Nacional de Proteção de Dados pode pedir que a empresa demonstre base legal, transparência, segurança e responsabilização. Na prática, a sanção nasce menos do modelo em si e mais da falta de prova sobre como ele é usado.
Abaixo estão os erros que mais deixam a empresa exposta e o que precisa existir para responder a um pedido da ANPD sem improviso.
O que a ANPD pode cobrar de quem usa IA?
A LGPD já traz os pontos que valem para IA. O titular tem direito de pedir revisão de decisões tomadas só com base em tratamento automatizado (art. 20), a empresa pode ser chamada a apresentar o relatório de impacto à proteção de dados (art. 38) e precisa indicar um encarregado (art. 41). O descumprimento abre espaço para as sanções do art. 52, que vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
Além disso, a ANPD acompanha o tema de IA na sua agenda regulatória e já conduziu um sandbox regulatório sobre inteligência artificial e proteção de dados. O recado é claro: o uso de IA com dado pessoal está no radar.
Quais são os erros mais comuns na fiscalização de IA?
- Não saber quais IAs a equipe usa. Funcionário colando contrato, planilha de cliente ou prontuário em ferramenta pública é tratamento de dado pessoal sem controle. Sem inventário, não há como responder à ANPD.
- Não ter relatório de impacto. Projeto de IA que trata dado sensível ou em grande volume sem RIPD é o primeiro ponto cobrado. Veja quando fazer a DPIA para IA e o que incluir.
- Não registrar o que foi enviado aos modelos. Sem log de quem mandou o quê, para qual modelo e quando, a empresa não consegue provar que mascarou dado pessoal nem investigar um incidente.
- Não explicar decisões automatizadas. Se a IA aprova crédito, filtra currículo ou prioriza atendimento, o titular pode pedir revisão. Sem trilha da decisão, a resposta não se sustenta.
- Não ter plano de resposta a incidente que inclua IA. Vazamento por prompt ou por agente também é incidente de segurança e entra na comunicação à ANPD.
Por que rastreabilidade e auditoria são a defesa da empresa?
Na fiscalização, vale o que a empresa consegue mostrar. Rastreabilidade é ter registro de cada chamada aos modelos de IA: usuário, área, modelo, horário e se houve dado pessoal mascarado. Auditoria é conseguir reconstruir esse caminho quando a ANPD, o titular ou o comitê interno pedir.
É esse o papel de um gateway de IA. O Sinapse Gateway, da Moov2, fica entre a equipe e os modelos, aplica as políticas de uso, protege dado pessoal antes do envio e guarda a trilha auditável de cada interação. Para entender o que medir, veja também observabilidade de IA na empresa.
Como se preparar para uma fiscalização de IA?
- Faça o inventário das ferramentas de IA em uso, inclusive as que a equipe adotou por conta própria.
- Defina uma política de uso de IA com o que pode e o que não pode ir para cada modelo.
- Elabore o RIPD dos projetos que tratam dado pessoal sensível ou em escala.
- Centralize o acesso aos modelos para ter log, mascaramento de dado pessoal e controle por área.
- Inclua IA no plano de resposta a incidentes e no treinamento do encarregado e da equipe.
Setores regulados somam outras exigências à LGPD. No financeiro, por exemplo, a auditoria também olha as regras do BACEN: veja governança de IA no setor financeiro. Para a visão geral, leia governança de IA: o que é e como implementar.
Perguntas frequentes
A ANPD fiscaliza inteligência artificial?
Sim, sempre que a IA trata dado pessoal. A fiscalização usa a LGPD: base legal, transparência, relatório de impacto, segurança e direito de revisão de decisões automatizadas.
Qual a multa da LGPD para uso irregular de IA?
As sanções do art. 52 da LGPD vão de advertência a multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração e bloqueio dos dados.
Preciso de relatório de impacto para usar IA?
Quando o projeto trata dado pessoal sensível ou em grande volume, o relatório de impacto é a forma de mostrar que o risco foi avaliado, e a ANPD pode solicitá-lo.
Como provar conformidade no uso de IA?
Com inventário das ferramentas, política de uso, relatório de impacto e registro auditável das interações com os modelos, incluindo o mascaramento de dado pessoal.
