Inteligência artificial e LGPD: o que esperamos para 2027

Por Bruno Aghazarm* – O Brasil vive um momento de mudanças muito relevantes no ambiente regulatório digital, com impactos diretos para cidadãos e empresas.

Como toda empresa estruturada planeja e se programa para os anos vindouros, é fundamental observar o cenário atual e vislumbrar as novas medidas que estão por vir.

Atualmente a LGPD está vigente, mas com mudanças institucionais importantes.

A mais relevante ocorreu em 25 de fevereiro de 2026, quando a Lei nº 15.352/2026 transformou a ANPD em agência reguladora, incorporando-a ao regime da Lei das Agências Reguladoras.

A estrutura foi posteriormente regulamentada pelo Decreto nº 12.881/2026.

Os dados pessoais e a IA passaram a ser um dos quatro temas prioritários de fiscalização da ANPD para 2026/2027. Ainda não há uma lei específica sobre IA no Brasil – o PL de IA continua em discussão.

Esta é, provavelmente, a novidade mais importante para quem trabalha com LGPD e inteligência artificial que utiliza dados pessoais.

Isso é relevante para empresas que utilizam: ChatGPT, Gemini, Claude e similares; IA generativa própria; sistemas de RH com IA; scoring e profiling; sistemas de recomendação; reconhecimento facial; análise automatizada de candidatos; sistemas antifraude; IA treinada com bases de clientes; agentes autônomos que acessam dados pessoais.

ECA Digital e Marco Civil

O ECA Digital (Lei nº 15.211/2025) já entrou em vigor e trouxe novas obrigações para plataformas e serviços digitais, como: aferição de idade; proteção de dados de crianças e adolescentes; supervisão parental; publicidade; jogos; avaliação de riscos e mecanismos de proteção nas plataformas.

O Marco Civil da Internet também mudou em 2026, através dos Decretos nº 12.975/2026 e nº 12.976/2026, de maio de 2026, que ampliaram as competências da ANPD relacionadas ao “ambiente digital”.

Cria-se, portanto, uma área comum entre LGPD + Marco Civil + ECA Digital + IA. É mandatório que uma empresa que desenvolve ou utiliza IA no Brasil não analise apenas a LGPD isoladamente.

A Lei nº 15.504/2026 para Data Centers/IA criou incentivos fiscais para infraestrutura de processamento de dados e IA, ou seja, o Regime Especial de Tributação para Serviços de Datacenter, conhecido como “Redata”.

O que fazer para 2027 – Recomendações operacionais

Face ao quadro jurídico e político a ser vivenciado pelas empresas em 2027, sugerimos algumas recomendações operacionais, considerando a interação entre LGPD, ANPD, IA generativa, ECA Digital, Marco Civil da Internet e a futura evolução do Marco Regulatório de IA.

Ressaltamos que estas recomendações não substituem uma análise jurídica específica do negócio.

Utilizamos as normas nacionais e internacionais da família ABNT, ISO, COSO e leis brasileiras voltadas ao mundo digital como base para nosso roteiro.

a) Inventário de IA: Criar um inventário formal de tecnologia, com mapeamento completo dos ativos onde a empresa utiliza IA. Verificar quais e quantos dados são armazenados ou manipulados pela IA e classificar cada fluxo.

b) Governança de uso: Inibir a inserção de dados sensíveis ou pessoais nos Chats (GPT, Gemini etc). Avaliar cada fornecedor de IA e cada projeto que trate de dados pessoais. Não assumir que “legítimo interesse” resolve automaticamente o uso de IA.

c) Riscos de Agentes Autônomos: Atenção especial para dados utilizados para treinamento, decisões automatizadas e segurança, com foco em agentes de IA que leem e-mails, acessam bancos de dados, executam código, enviam e-mails, fazem compras ou alteram sistemas. O risco é muito maior do que em um simples chatbot. Elaborar um Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

d) Comitê de IA: Caso a empresa não possua, crie uma estrutura de governança corporativa, como “Comitê de IA”, envolvendo as áreas Jurídica, DPO/Privacidade, Segurança, TI, Compliance, RH e Negócio. Revisar todos os contratos existentes.

Portanto, não basta verificar apenas se a empresa tem uma política de privacidade adequada para IA. É necessário começar a implementar também a governança corporativa do modelo a ser adotado em 2027, focando sempre na finalidade, dados de treinamento, decisões automatizadas, explicabilidade, supervisão humana e gestão de riscos corporativos.

Após detectadas as vulnerabilidades e estabelecido o plano de ação, as ações e metas devem ter adesão da alta direção, ser divulgadas, com tarefas e datas definidas, nomeando responsabilidades e gols respectivos.

*Bruno Aghazarm é advogado, consultor de direito digital e governança do Henneberg Ferreira Marques Advogados