Fiscalização da ANPD em 2026: IA, Poder Público e LGPD

A fiscalização da ANPD em 2026 chega com um recado direto para empresas, órgãos públicos e instituições, cumprir a LGPD não é apenas ter documentos guardados na gaveta. É preciso demonstrar, na prática, governança, segurança e responsabilidade no tratamento de dados pessoais.

No Mapa de Temas Prioritários para 2026-2027, a Autoridade Nacional de Proteção de Dados (ANPD) definiu quatro frentes centrais de atuação. Já abordamos os direitos dos titulares e a proteção de crianças e adolescentes em um artigo anterior. Agora, o foco recai sobre dois pontos igualmente estratégicos, o tratamento de dados pessoais pelo Poder Público e o uso de inteligência artificial e outras tecnologias emergentes.

Esses temas comprovam que a LGPD está cada vez mais conectada à vida digital real: serviços públicos, bancos de dados sensíveis, automação, algoritmos, decisões automatizadas, plataformas digitais e uso de IA em processos empresariais.

A pergunta que toda organização precisa responder é simples: se a ANPD pedisse explicações hoje, sua operação conseguiria comprovar conformidade com a LGPD?

a) Poder Público e LGPD: por que os dados de cidadãos exigem mais governança

O tratamento de dados pessoais pelo Poder Público é um dos temas prioritários da ANPD para o biênio 2026-2027 e a lógica por trás dessa escolha é clara.

Órgãos públicos administram bases de dados extensas e, frequentemente, sensíveis. Informações de saúde, educação, assistência social, segurança pública, identificação civil, tributos, benefícios sociais e políticas públicas fazem parte da rotina da Administração Pública.

Quando esses dados são tratados de forma inadequada, o impacto pode atingir milhares, ou milhões, de cidadãos de uma só vez.

Por isso, órgãos públicos precisam observar rigorosamente princípios da LGPD como:

• Finalidade — tratar dados apenas para objetivos específicos e informados;

• Necessidade — coletar somente o que é indispensável;

• Transparência — informar claramente como os dados são usados;

• Segurança — proteger as informações contra vazamentos e acessos indevidos;

• Prevenção — antecipar riscos antes que eles se concretizem;

• Responsabilização (accountability) — comprovar as medidas adotadas.

A responsabilidade também é das empresas parceiras do setor público

Esse tema não se limita ao setor público em si. Empresas privadas que prestam serviços para órgãos públicos, operando sistemas, armazenando bases de dados, realizando atendimento ao cidadão, processando informações ou atuando como parceiras de tecnologia, também estão sujeitas à fiscalização.

Um contrato com o Poder Público não elimina a responsabilidade sobre dados pessoais da empresa contratada.

b) O que órgãos públicos e parceiros devem revisar com urgência

Organizações que tratam dados em contexto público precisam avaliar, entre outros pontos:

1. Bases legais utilizadas para cada tipo de tratamento;

2. Contratos com operadores de dados;

3. Medidas técnicas e administrativas de segurança da informação;

4. Regras de compartilhamento entre órgãos;

5. Práticas de transparência ativa;

6. Planos de resposta a incidentes de segurança;

7. Indicação formal de encarregado (DPO), quando aplicável.

É essencial também revisar o tratamento de dados sensíveis, como informações de saúde, dados biométricos, registros escolares, dados de crianças, informações financeiras e registros administrativos, todos exigem um nível de proteção reforçado.

Se houver incidente de segurança, falha na comunicação aos titulares ou ausência de medidas preventivas, o risco jurídico e reputacional aumenta consideravelmente.

A LGPD exige que o controlador comprove não apenas que trata dados, mas que os trata com responsabilidade.

c) Inteligência artificial: o novo centro de atenção da LGPD

Outro tema prioritário da ANPD para 2026-2027 é a inteligência artificial no contexto do tratamento de dados pessoais — e este pode ser um dos pontos mais relevantes para empresas nos próximos anos.

Hoje, ferramentas de IA são utilizadas para:

• Atendimento ao cliente e chatbots;

• Marketing e recomendação de conteúdo;

• Análise de crédito;

• Seleção de candidatos em processos seletivos;

• Automação de tarefas administrativas;

• Prevenção a fraudes;

• Moderação de plataformas digitais;

• Educação e saúde;

• Análise de comportamento e perfilamento de usuários.

O problema é que muitas empresas usam IA sem entender exatamente quais dados pessoais estão sendo tratados por essas ferramentas.

Perguntas que toda empresa deveria responder sobre o uso de IA

• A ferramenta de IA coleta dados pessoais?

• Ela usa informações de clientes para treinamento de modelos?

• O sistema gera perfilamento de usuários?

• Existem decisões automatizadas sem revisão humana?

• O usuário sabe que está interagindo com uma inteligência artificial?

• Existe contrato adequado de proteção de dados com o fornecedor da tecnologia?

Essas perguntas precisam sair do campo da curiosidade e entrar de vez na governança de dados da empresa.

d) IA não é uma ferramenta neutra perante a LGPD

Do ponto de vista jurídico, a inteligência artificial não pode ser tratada como uma "caixa mágica" isenta de responsabilidade.

Se uma empresa decide adotar uma ferramenta de IA em sua operação, ela precisa avaliar:

• Finalidade do uso;

• Base legal aplicável;

• Segurança da informação;

• Transparência com os titulares;

• Riscos envolvidos;

• Idoneidade dos fornecedores;

• Impacto sobre os titulares dos dados.

Não basta alegar que "a tecnologia é de terceiro". A empresa que escolhe a ferramenta, define sua finalidade e utiliza os resultados no relacionamento com clientes, colaboradores ou usuários pode ser responsabilizada pelo tratamento de dados.

O risco aumenta significativamente quando a IA é usada para decisões de alto impacto, como:

• Negar crédito;

• Selecionar ou descartar candidatos;

• Classificar consumidores;

• Personalizar preços;

• Moderar ou bloquear contas;

• Criar perfis comportamentais.

Quanto maior o impacto sobre o titular, maior deve ser o cuidado da empresa.

e) Adequação à LGPD é prova, não discurso

Um dos maiores erros das empresas é acreditar que a conformidade com a LGPD se resolve apenas com documentos prontos.

Política de privacidade, termos de uso, banner de cookies e cláusulas contratuais são importantes, mas não são suficientes por si só.

A ANPD tende a observar a coerência entre o que a empresa declara e o que ela realmente pratica. Se a política afirma que a empresa protege dados pessoais, mas não existe inventário de dados, treinamento de equipe, controle de fornecedores, plano de resposta a incidentes ou fluxo estruturado para atender titulares, há uma fragilidade evidente.

Adequação à LGPD é prova. A empresa precisa conseguir demonstrar:

• Quais dados coleta;

• Por que coleta esses dados;

• Onde os armazena;

• Com quem compartilha;

• Por quanto tempo mantém;

• Quais medidas de segurança adota.

Como se preparar para a fiscalização da ANPD em 2026

O caminho começa por um diagnóstico real da operação. Empresas devem:

1. Mapear todos os dados pessoais tratados;

2. Revisar as bases legais utilizadas;

3. Atualizar políticas de privacidade;

4. Criar fluxos claros para atendimento aos direitos dos titulares;

5. Avaliar contratos com fornecedores e operadores;

6. Implementar medidas robustas de segurança da informação;

7. Treinar equipes internas sobre boas práticas de proteção de dados.

Também é fundamental revisar ferramentas de inteligência artificial, sistemas automatizados, plataformas de marketing, CRMs, gateways de pagamento, ferramentas de atendimento e qualquer outra tecnologia que trate dados pessoais.

Para empresas que atuam com o Poder Público, a atenção deve ser redobrada em relação a contratos, compartilhamento de dados, tratamento de dados sensíveis e planos de resposta a incidentes.

e) Conclusão: LGPD é reputação, não formalidade

A fiscalização da ANPD em 2026 confirma que a LGPD entrou em uma fase de maturidade regulatória. Poder Público, inteligência artificial e tecnologias emergentes estão no centro da agenda justamente porque envolvem alto impacto sobre titulares e um grande volume de dados pessoais em circulação.

Empresas que tratam a proteção de dados como mera formalidade ficam expostas a riscos jurídicos, financeiros e reputacionais. Já as empresas que transformam a LGPD em governança, segurança e gestão de risco saem na frente — tanto na conformidade legal quanto na confiança de clientes e parceiros.

LGPD não é papel. É responsabilidade, reputação e confiança.

f) Perguntas frequentes (FAQ)

O que a ANPD vai fiscalizar em 2026?

A ANPD priorizará quatro frentes: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo Poder Público e uso de inteligência artificial no tratamento de dados pessoais.

Empresas privadas que prestam serviço ao governo também são fiscalizadas?

Sim. Empresas que operam sistemas, armazenam bases ou processam dados para órgãos públicos continuam responsáveis pelo tratamento adequado desses dados, mesmo com um contrato público vigente.

Usar ferramentas de IA prontas do mercado isenta a empresa de responsabilidade?

Não. A empresa que escolhe, contrata e utiliza os resultados de uma ferramenta de IA pode ser responsabilizada pelo tratamento de dados pessoais realizado por essa tecnologia.

Como comprovar conformidade com a LGPD perante a ANPD?

É necessário demonstrar, com evidências concretas, o mapeamento de dados, as bases legais utilizadas, as medidas de segurança adotadas, os contratos com fornecedores e os fluxos de atendimento aos titulares, não apenas apresentar políticas formais.