ANPD entra em nova fase: como preparar a empresa para fiscalização, IA, biometria e direitos dos titulares
O segundo semestre de 2026 marca uma mudança importante na atuação da Autoridade Nacional de Proteção de Dados (ANPD). A instituição não está apenas elaborando normas: também intensifica ações de fiscalização, acompanha temas considerados prioritários e começa a estruturar a agenda regulatória dos próximos anos.
Para as empresas, esse novo cenário exige uma mudança de postura. A conformidade com a Lei Geral de Proteção de Dados (LGPD) não pode ficar limitada à existência de políticas, contratos e documentos formais. Será cada vez mais necessário demonstrar, na prática, como os dados pessoais são coletados, utilizados, protegidos, compartilhados e eliminados.
Agenda regulatória entra em fase de execução
Em agosto, a ANPD divulgou o relatório de acompanhamento da Agenda Regulatória referente ao primeiro semestre de 2026. Dos 16 temas previstos para o biênio 2025-2026, oito haviam sido concluídos, seis permaneciam em andamento e dois ainda não tinham sido iniciados no período analisado.
O balanço mostra que a agenda deixou de ser apenas um planejamento institucional. Enquanto algumas regras avançam, a Autoridade já direciona esforços para orientar e fiscalizar organizações em áreas de maior risco.
Outro movimento relevante foi a abertura da tomada de subsídios para a Agenda Regulatória 2027-2028, com participação social prevista até 16 de outubro de 2026. A iniciativa indica que a ANPD já trabalha na próxima etapa de regulamentação e que empresas devem acompanhar não apenas as normas vigentes, mas também os assuntos que poderão ganhar relevância em breve.
A pergunta central para as organizações passa a ser prática: a empresa consegue provar como trata dados pessoais, como responde aos titulares, como avalia riscos e quais controles aplica em tecnologias de alto impacto?
Quatro prioridades de fiscalização
O Mapa de Temas Prioritários 2026-2027 concentra a atuação fiscalizatória em quatro frentes principais:
1. exercício dos direitos dos titulares;
2. proteção de crianças e adolescentes no ambiente digital;
3. tratamento de dados pessoais pelo Poder Público;
4. inteligência artificial e tecnologias emergentes.
A definição dessas prioridades não significa que os demais dispositivos da LGPD serão ignorados. Ela indica, porém, onde a ANPD pretende concentrar atividades de monitoramento, orientação, prevenção e eventual responsabilização.
Empresas que atuam em plataformas digitais, serviços financeiros, educação, saúde, publicidade, recursos humanos e segurança devem avaliar com atenção especial sua exposição a esses temas.
Direitos dos titulares exigem integração entre departamentos
O atendimento aos direitos dos titulares deixa de ser uma tarefa exclusivamente jurídica. Para responder adequadamente a uma solicitação de acesso, correção, eliminação ou informação sobre o tratamento, diferentes áreas precisam trabalhar de forma coordenada.
O setor jurídico ou de privacidade interpreta o pedido e verifica sua validade. O atendimento recebe e registra a demanda. A tecnologia localiza os dados nos sistemas. A segurança confirma a identidade do solicitante. As áreas de negócio e os fornecedores executam as medidas necessárias.
Uma empresa pode possuir um canal formal de atendimento e, ainda assim, apresentar baixa maturidade. Isso ocorre quando os dados estão espalhados em sistemas não integrados, quando as buscas dependem de procedimentos manuais ou quando não há registro confiável das decisões tomadas.
Também é necessário estabelecer prazos internos, critérios de autenticação, modelos de resposta, mecanismos de escalonamento e evidências de cumprimento. A organização deve conseguir demonstrar quando recebeu a solicitação, quem a analisou, quais sistemas foram consultados e qual providência foi adotada.
Inteligência artificial exige controle antes da regulamentação final
A inteligência artificial aparece simultaneamente entre as prioridades de fiscalização e na Agenda Regulatória 2025-2026. O tratamento de dados pessoais por sistemas de IA ainda estava em processo de regulamentação no acompanhamento divulgado pela Autoridade.
Isso significa que as empresas não devem esperar uma regra definitiva para começar a agir. A ausência de uma norma específica não elimina as obrigações já previstas na LGPD, especialmente aquelas relacionadas à finalidade, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização.
Antes de implantar uma solução de IA, a empresa deve mapear quais dados serão utilizados, de onde vieram, para qual finalidade foram coletados e se o uso pretendido é compatível com essa finalidade. Também precisa verificar se haverá treinamento de modelos, criação de perfis, decisões automatizadas, compartilhamento com fornecedores ou transferência internacional.
Outro ponto essencial é estabelecer critérios para supervisão humana. Decisões que afetem crédito, contratação, acesso a serviços, benefícios ou oportunidades profissionais não devem ser tratadas como processos totalmente automáticos quando houver risco relevante para as pessoas.
Governança de fornecedores se torna indispensável
Muitas soluções de inteligência artificial são contratadas como serviços prontos. Isso não elimina a responsabilidade da empresa que define a finalidade do tratamento e utiliza os resultados produzidos pela ferramenta.
Contratos precisam abordar, entre outros pontos, uso dos dados para treinamento, retenção de informações, subcontratação, incidentes de segurança, auditoria, explicabilidade, exclusão de dados e cooperação no atendimento aos titulares.
Além do contrato, é recomendável realizar testes periódicos para identificar resultados discriminatórios, erros sistemáticos, respostas inventadas e comportamentos incompatíveis com o objetivo do sistema. O fornecedor deve apresentar informações suficientes para que a organização compreenda os riscos e monitore o desempenho da tecnologia.
Biometria eleva o impacto de falhas
O uso de reconhecimento facial, impressão digital, voz, íris e outras características biométricas exige atenção reforçada. Dados biométricos estão classificados como dados pessoais sensíveis e, por isso, qualquer falha pode produzir consequências mais graves.
Uma senha pode ser alterada após um vazamento. Uma característica biométrica, em regra, não pode ser substituída. Esse fator aumenta a necessidade de controles técnicos, limitação de acesso, criptografia, segregação de ambientes e definição clara de prazos de retenção.
A empresa também precisa justificar por que a biometria é necessária. Conveniência, redução de custos ou preferência tecnológica não bastam, isoladamente, para demonstrar adequação. É importante avaliar alternativas menos invasivas e registrar os motivos que levaram à escolha do método biométrico.
Nos projetos que envolvem identificação ou autenticação, devem ser considerados falsos positivos, falsos negativos, impactos sobre grupos específicos, acessibilidade e procedimentos para contestação de resultados.
RIPD deve apoiar decisões, não apenas cumprir formalidades
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) tende a ganhar importância no novo ciclo regulatório. O documento não deve ser produzido apenas para arquivamento ou apresentado depois que o projeto já estiver concluído.
Um RIPD útil descreve o tratamento, identifica ameaças, avalia a probabilidade e a gravidade dos danos, aponta medidas de mitigação e registra riscos residuais. Ele também deve indicar responsáveis, prazos e critérios para revisão.
A elaboração deve ocorrer antes da implantação de atividades de alto risco e ser atualizada quando houver mudança significativa na tecnologia, na finalidade, no volume de dados ou no público afetado.
Crianças e adolescentes exigem proteção ampliada
Empresas que oferecem serviços digitais a crianças e adolescentes devem verificar se suas práticas consideram a vulnerabilidade desse público. A análise deve abranger publicidade comportamental, coleta excessiva, mecanismos de recomendação, jogos, redes sociais, educação e plataformas de entretenimento.
A linguagem dos avisos de privacidade precisa ser compreensível. Também devem ser avaliados mecanismos de consentimento, verificação de idade, controles parentais, minimização de dados e prevenção de abordagens comerciais inadequadas.
Não basta declarar que o serviço não foi criado para menores quando, na prática, ele é acessível, atrativo ou amplamente utilizado por esse grupo.
O que preparar imediatamente
As empresas devem iniciar uma revisão estruturada de seus processos. Entre as medidas prioritárias estão:
– atualizar o inventário de tratamentos e sistemas;
– mapear fluxos de dados pessoais e sensíveis;
– testar o atendimento aos direitos dos titulares;
– revisar contratos com operadores e fornecedores de tecnologia;
– identificar usos atuais e planejados de IA;
– avaliar projetos que utilizem biometria;
– elaborar ou atualizar RIPDs;
– revisar políticas de retenção e eliminação;
– reforçar controles de acesso e registros de auditoria;
– capacitar equipes de atendimento, tecnologia, segurança e negócios.
Também é importante criar indicadores de acompanhamento, como tempo médio de resposta aos titulares, quantidade de solicitações pendentes, número de incidentes, percentual de fornecedores avaliados e situação das medidas de mitigação.
Da conformidade pontual à capacidade contínua
A nova fase da ANPD favorece organizações capazes de demonstrar coerência entre políticas, processos e prática operacional. Documentos continuam importantes, mas não substituem evidências de execução.
Uma empresa madura consegue explicar por que coleta determinado dado, quem pode acessá-lo, por quanto tempo ele é mantido, quais riscos foram identificados e como os titulares podem exercer seus direitos. Também consegue interromper ou ajustar um tratamento quando os riscos superam os benefícios.
A preparação para fiscalização, portanto, não deve ser encarada como uma ação emergencial. Trata-se da construção de uma capacidade permanente de governança, segurança e prestação de contas. Quanto antes essa transformação começar, menores serão os custos de adaptação e maior será a capacidade de responder às novas exigências envolvendo IA, biometria, dados sensíveis e direitos dos titulares.