← Voltar pra home

IA e LGPD: o que muda com a regulamentação brasileira de 2026

·7 min de leitura·Por Equipe GetBio

A regulamentação brasileira de inteligência artificial avançou em 2025-2026 e PMEs que usam ChatGPT, Claude, Gemini ou qualquer IA precisam se adequar. Este post é um guia prático: o que muda, o que é obrigatório, e como implementar sem virar refém de burocracia.

Não é análise jurídica formal. Pra decisão final, consulte advogado especializado. Mas pra entender o cenário e fazer o mínimo essencial, este post cobre 90% do que você precisa.

O que tá valendo em 2026

Três normativos principais:

  1. PL 2338/2023 (projeto de lei do Senado) — marco regulatório de IA no Brasil. Aprovado em 2024 no Senado, em tramitação avançada na Câmara em 2026. Estabelece categorias de risco (inaceitável, alto, médio, baixo) e obrigações por categoria.

  2. Resolução CD/ANPD nº 15/2024 — primeira resolução específica da ANPD sobre IA. Entra em vigor em 2026. Exige avaliação de impacto algorítmico (AIA) para sistemas de IA que processam dados pessoais.

  3. LGPD (Lei 13.709/2018) — já em vigor. Continua aplicando. IA que processa dados pessoais segue LGPD integralmente, com base legal específica (consentimento, legítimo interesse, execução de contrato, etc).

A União Europeia também aprovou o EU AI Act (em vigor 2024-2026), que afeta empresas brasileiras que processam dados de cidadãos europeus (raro em PMEs BR, mas vale saber se você atende turistas europeus ou tem operação na Europa).

Categorias de risco (PL 2338/2023)

O PL classifica sistemas de IA em 4 categorias de risco, com obrigações proporcionais:

Risco inaceitável (proibido)

Sistemas que manipulam comportamento de forma subliminar, exploram vulnerabilidades de grupos específicos, fazem scoring social, ou vigilância biométrica em massa. Proibidos em qualquer caso.

Para PMEs brasileiras: improvável de cair aqui, mas cuidado com:

Risco alto (regulamentado)

Sistemas que afetam direitos fundamentais:招聘, credit scoring, educação, justiça, saúde. Obrigações pesadas:

Para PMEs: cuidado se você usa IA pra:

Risco médio (transparência)

Sistemas que geram conteúdo, fazem recomendação, ou interagem com humanos. Obrigações de transparência:

Para PMEs: isso te afeta. Se você usa ChatGPT pra gerar copy de email, posts de blog, ou atendimento, você precisa avisar. Pode ser uma nota no rodapé ("Conteúdo assistido por IA") ou um aviso explícito no chat.

Risco baixo (sem obrigação específica)

Sistemas com impacto mínimo (filtro de spam, recomendação de produto não-sensível, autocomplete). Sem obrigação nova além da LGPD geral.

Para PMEs: a maioria dos usos básicos (autocomplete de email, geração de relatório de vendas, autocomplete de código) cai aqui.

O que é OBRIGATÓRIO fazer agora

Em ordem de prioridade:

1. Atualizar política de privacidade

Adicionar seção específica sobre uso de IA, dizendo:

2. Marcar conteúdo gerado por IA

Se você publica conteúdo assistido por IA, marque. Google não penaliza IA per se, mas penaliza conteúdo 100% IA sem revisão humana. Boas práticas:

3. Implementar opt-out quando viável

Se você usa IA em atendimento ou suporte, ofereça opção de falar com humano. Padrão: "Pressione 0 para falar com atendente" em chat, ou email de contato visível.

4. Avaliação de Impacto Algorítmico (AIA)

Obrigatório para risco alto. Não é trivial — precisa de documentação técnica, jurídica e de gestão de risco. Pra PMEs em risco baixo/médio, a obrigação é mais simples (registro de uso + revisão periódica).

5. Contratos com fornecedores de IA

Verifique se você tem DPA (Data Processing Agreement) assinado com cada fornecedor de IA que usa. Em 2026:

Não usar IAs sem DPA em qualquer contexto que processe dados pessoais.

Checklist prático pra PMEs

Aqui está o que sua empresa brasileira precisa fazer AGORA pra estar em conformidade (versão simplificada, não substitui advogado):

O que NÃO fazer

Erros comuns em PMEs:

  1. Achar que IA é "zona cinzenta" — não é. LGPD aplica integralmente. Tratamento de dados via IA = tratamento de dados, mesma base legal.

  2. Usar IA sem DPA — se vazar dados pessoais via OpenAI e você não tiver DPA, a responsabilidade é sua.

  3. Criar perfil comportamental sem consentimento explícito — score de "risco de churn" via análise de uso é perfilamento, exige consentimento específico (LGPD art. 7, II e §4º).

  4. Enviar dados sensíveis pra IA sem anonimizar — saúde, orientação sexual, dados de crianças. Anonimize antes ou use IA local (Llama, Mistral, DeepSeek self-hosted).

  5. Confiar 100% em auditorias automatizadas — IA toma decisões que precisam de humano no loop em contextos de risco.

Cenários práticos

Cenário 1: e-commerce usa IA pra recomendar produtos

Cenário 2: fintech usa IA pra aprovar crédito

Cenário 3: startup usa IA pra atendimento WhatsApp

Cenário 4: empresa usa IA pra gerar posts de blog

Cenário 5: empresa usa IA pra triagem de currículo

Sanções em 2026

A ANPD pode aplicar:

Em 2026, a tendência é começar com advertência pra PMEs, mas o cenário vai endurecer. Adeque-se agora.

Conclusão

IA em 2026 não é mais "zona cinzenta" regulatória. LGPD aplica, ANPD fiscaliza, e o PL 2338/2023 endurece ainda mais. Pra PMEs brasileiras, o caminho é:

  1. Comece pelo checklist básico
  2. Documente uso de IA
  3. Avise usuário quando usar IA
  4. Tenha DPA com fornecedores
  5. Consulte advogado pra casos de risco alto

Em troca, IA reduz 30-50% do custo operacional médio. O investimento em conformidade é menor que a economia obtida.

Fontes

Nota: Este post é informativo, não substitui consulta jurídica formal. Pra decisão final, consulte advogado especializado em proteção de dados e direito digital.