LGPD faz 6 anos: IA e os desafios para empresas

Em 3 de novembro de 2026, o Valor International publicou uma reportagem sobre os seis anos da Lei Geral de Proteção de Dados (LGPD) e sobre o desafio que a inteligência artificial traz para a lei. O texto reúne números da Autoridade Nacional de Proteção de Dados (ANPD) e opiniões de advogados da área. Para quem toma decisão em tecnologia, o recado é prático: governança de IA deixou de ser tema de jurídico e virou tema de operação.

Em resumo

O fato: segundo a reportagem do Valor International de 03/11/2026, os incidentes de segurança comunicados à ANPD passaram de 186 em 2021 para 599 até outubro de 2026, alta de 222%.
O risco: agentes de IA acessam sistemas, leem documentos e agem em nome da empresa. Cada acesso é um tratamento de dados pessoais sob a LGPD.
O que fazer: mapear onde a IA toca em dado pessoal, limitar o que cada agente pode acessar, registrar o que ele faz e manter uma pessoa responsável pela decisão.
Por onde começar: pelo inventário de dados do ERP, do CRM e dos canais de atendimento, antes de ligar qualquer agente a eles.
Aviso: este artigo é informativo e não substitui parecer jurídico. A interpretação da lei deve passar pelo seu advogado ou pelo encarregado de dados (DPO).

O que aconteceu: a LGPD faz seis anos e a ANPD ficou mais forte

A reportagem lembra que a LGPD (Lei 13.709, de 2018) já faz parte da rotina das empresas, mas que a fiscalização entrou em outra fase. Os advogados ouvidos pelo jornal descrevem uma ANPD que deixou de ser uma estrutura enxuta e passou a ser uma agência reguladora com mais poderes. A própria ANPD informou ao Valor que a Lei 15.352, de 2026, criou carreira própria e reforçou sua autonomia, e que há autorização para concurso com 50 vagas imediatas.

Alguns números da reportagem ajudam a dimensionar o momento. Todos vêm da fonte citada e estão com a data dela:

Incidentes comunicados: 186 casos em 2021 e 599 até outubro de 2026.
Causas mais frequentes em 2026: exploração de vulnerabilidades em sistemas de informação (142 casos), roubo de credenciais (107) e acesso não autorizado a sistemas (89).
Processos administrativos: 111 abertos entre 2021 e 2026 para investigar incidentes, dos quais 58 seguem pendentes.
Multas: podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Em agosto, a ANPD multou a ByteDance, dona do TikTok, em R$ 153,7 milhões por irregularidades no tratamento de dados de crianças e adolescentes.

Repare no padrão das causas. Vulnerabilidade, credencial roubada e acesso indevido são problemas de controle de acesso. É exatamente o ponto em que um agente de IA mal configurado pode piorar o cenário, porque ele recebe permissões e as usa sem cansar.

Por que isso importa para quem usa IA na empresa

Agentes de IA são programas que recebem um objetivo e executam passos para chegar a ele: consultar o ERP, abrir um chamado, responder um cliente no WhatsApp, conciliar um pagamento. Para funcionar, precisam de acesso a dados. Boa parte desses dados é pessoal: nome, CPF, telefone, histórico de compra, endereço.

A ANPD já tratou o tema de forma direta. No comunicado da ANPD de 05/11/2025, a diretora Lorena Giuberti afirmou que a transparência é um princípio internacional para uma IA confiável e que a regulamentação de sistemas de IA no âmbito da LGPD é prioridade da agenda da agência para os próximos anos. Ela citou o Sandbox Regulatório, um ambiente de teste para discutir soluções de transparência algorítmica. Esse comunicado é de 2025, mas segue válido como indicação de direção.

No texto de novembro de 2026, o Valor registra ainda que a ANPD deve ganhar novas atribuições com o marco legal da IA, que continua em discussão no Congresso, e que a agência contratou, com apoio do Programa das Nações Unidas para o Desenvolvimento (PNUD), consultores para estudos sobre IA e proteção de dados pessoais. Ou seja, a regra ainda está sendo escrita, e a empresa que se organiza antes paga menos para se adaptar depois.

O que a LGPD já exige, mesmo sem uma lei específica de IA

Você não precisa esperar o marco legal da IA para agir. Princípios que já estão na LGPD se aplicam a qualquer sistema que trate dado pessoal, inclusive um agente de IA. Os mais relevantes para o dia a dia são:

Finalidade e adequação: o dado só pode ser usado para o motivo informado ao titular. Um agente criado para cobrança não deve ser reaproveitado para marketing sem uma nova base legal.
Necessidade: o agente deve acessar o mínimo de dado para cumprir a tarefa. Se ele só precisa do status do pedido, não precisa ler o cadastro completo.
Transparência: a pessoa deve saber que está falando com uma IA e como seus dados são usados.
Segurança e prevenção: medidas técnicas e administrativas para evitar acesso indevido e vazamento.
Responsabilização: a empresa precisa conseguir demonstrar o que fez para cumprir a lei.
Revisão de decisões automatizadas: o titular pode pedir revisão de decisões tomadas apenas por tratamento automatizado que afetem seus interesses.

Em conversa com seu jurídico, vale checar também a comunicação de incidentes à ANPD, o relatório de impacto à proteção de dados pessoais para tratamentos de maior risco e as regras para envio de dados a provedores no exterior, caso o modelo de IA rode fora do Brasil.

Onde o agente de IA costuma esbarrar na LGPD

Na prática, os problemas aparecem em poucos lugares. Veja a comparação abaixo, que organiza os pontos de atenção mais comuns. Ela é uma orientação de trabalho, não um parecer jurídico.

Ponto de atençãoO que costuma dar erradoControle recomendadoAcesso ao ERP e ao CRMO agente recebe um usuário com permissão ampla, igual à de um administrador.Perfil exclusivo para o agente, com acesso só às telas e campos necessários.Atendimento por WhatsApp e chatO cliente não sabe que fala com IA e o histórico fica sem prazo de guarda.Aviso claro no início da conversa, política de retenção e opção de falar com uma pessoa.Documentos enviados à IAContratos e planilhas com dados pessoais são colados em ferramentas sem acordo com a empresa.Regra interna sobre o que pode ser enviado e uso de ferramentas contratadas formalmente.Registro de açõesNinguém consegue dizer o que o agente fez, quando e com quais dados.Log de cada consulta e de cada ação, guardado e revisado.Decisão automáticaO agente aprova, nega ou prioriza algo sem revisão humana.Pessoa responsável na decisão final e canal para o titular pedir revisão.Dados fora do BrasilO modelo de IA processa informação em servidor no exterior sem análise prévia.Avaliação jurídica da transferência e contrato com o fornecedor.

Passo a passo para colocar governança em um agente de IA

Este roteiro serve para a empresa que já testa IA ou que pretende começar. Ele não depende de uma ferramenta específica.

Faça o inventário de dados. Liste onde há dado pessoal: ERP, CRM, planilhas, e-mail, WhatsApp, sistemas de atendimento. Anote quem acessa e por quê. É o trabalho mais demorado e o que mais rende.
Defina o objetivo do agente em uma frase. Se a frase não cabe em uma linha, o escopo está grande demais. Escopo pequeno facilita limitar acesso.
Escolha a base legal com o jurídico. Execução de contrato, obrigação legal, legítimo interesse ou consentimento. Cada uma pede cuidados diferentes.
Crie um perfil de acesso próprio. O agente não deve usar o login de uma pessoa. Dê a ele apenas as permissões que a tarefa exige, e revise a cada mudança de escopo.
Integre com controle. A ligação entre o agente e os sistemas deve passar por uma camada que registra e limita as chamadas. Isso é trabalho de integração de ERP, e não de improviso com planilhas.
Informe o titular. Avise que há IA no atendimento, explique para que os dados são usados e ofereça um caminho para falar com uma pessoa.
Registre e revise. Guarde o log das ações. Defina quem revisa, com que frequência e o que fazer quando algo foge do esperado.
Teste com dados fictícios antes. Rode o agente em ambiente de teste, simule tentativas de acesso indevido e só depois libere para produção.
Tenha um plano de incidente. Se algo vazar, quem avisa quem, em quanto tempo e por qual canal. O plano precisa existir antes do problema.
Revise periodicamente. A lei, os modelos e os processos mudam. Marque uma revisão recorrente, por exemplo a cada trimestre.

O papel do ERP e dos dados na governança de IA

Um agente de IA é tão seguro quanto os sistemas que ele toca. Se o ERP tem usuários compartilhados, perfis desatualizados e campos livres com dado pessoal digitado à mão, o agente herda esses problemas. Por isso a conversa sobre governança começa na base: cadastro limpo, perfis revisados e trilha de auditoria.

Quando a empresa já tem esse alicerce, a IA entra com mais segurança. Os artigos como a inteligência artificial pode acelerar processos no seu ERP e IA e o futuro dos ERPs: desafios e transformações mostram onde a IA agrega valor na gestão e quais desafios aparecem no caminho.

Se o ponto fraco é a qualidade e a organização dos dados, o trabalho de consultoria em dados, analytics e BI ajuda a mapear, padronizar e documentar o que existe. Se a infraestrutura está em transição, a consultoria em cloud entra na discussão sobre onde os dados ficam e quem tem acesso.

Agentes de IA no atendimento: um exemplo de aplicação

O atendimento ao cliente é uma das portas de entrada mais comuns para IA, porque envolve volume, repetição e dado pessoal. O IAQFaz, agente de IA da DKP para atendimento e operações, é descrito pela empresa como uma solução integrada a WhatsApp, CRM e ERP. Esse tipo de integração é justamente o que pede as regras da tabela acima: aviso ao cliente, perfil de acesso limitado e registro das conversas.

A mensagem aqui não é que a tecnologia seja arriscada por si só. É que o projeto precisa nascer com o controle desenhado, e não adicionado depois que o primeiro problema aparece.

Curiosidades e contexto sobre a LGPD

Aprovação e vigência: segundo o Valor International (03/11/2026), a LGPD foi aprovada em agosto de 2018 e a maior parte dos dispositivos entrou em vigor em setembro de 2020.
Comparação com a Europa: o advogado Renato Opice Blum, ouvido pelo jornal, afirma que a lei brasileira se parece com o regulamento europeu de proteção de dados (GDPR), mas que o Brasil tem mecanismos de aplicação prática mais fortes. É uma opinião do entrevistado, não um dado oficial.
Opiniões divergentes: outro advogado citado, Felipe Carteiro Moreira, considera que a fiscalização ainda é lenta e que as sanções ficaram aquém do necessário diante do aumento de fraudes digitais.
Reputação pesa: para o advogado Matheus Puppe, em alguns setores o dano de imagem por tratar dados de forma irresponsável pode ser maior do que a multa.

As duas últimas observações mostram que há debate sobre a efetividade da lei. Para a empresa, a conclusão prática é a mesma: não vale apostar em fiscalização fraca.

Erros comuns ao adotar agentes de IA

Liberar o agente com o usuário de um administrador para "funcionar logo".
Usar a ferramenta de IA gratuita de um colaborador com dados de clientes, sem política interna.
Não registrar as ações do agente, o que impede explicar um erro depois.
Tratar a LGPD como projeto de uma vez só, quando ela exige revisão contínua.
Deixar o jurídico de fora até o dia da assinatura do contrato com o fornecedor.

Como a DKP pode ajudar

A DKP atua com consultoria, integração e desenvolvimento em ERP, cloud, dados e automação. Em projetos de IA, o trabalho costuma começar por entender o processo, mapear os sistemas e os dados envolvidos e só então desenhar a integração. Para a parte jurídica, a recomendação é sempre contar com advogado ou encarregado de dados da própria empresa.

Se você quer organizar o terreno antes de colocar um agente em produção, a página de consultoria de processos é um bom ponto de partida para entender como mapeamos a operação.

Perguntas frequentes

A LGPD se aplica a agentes de IA?

Sim. Sempre que o agente trata dado pessoal, como nome, telefone, CPF ou histórico de compra, as regras da LGPD valem para a empresa que o usa, independentemente da tecnologia.

Existe uma lei específica de IA no Brasil?

Segundo o Valor International (03/11/2026), o marco legal da inteligência artificial ainda está em análise no Congresso. Enquanto isso, a LGPD e as demais leis em vigor se aplicam.

Qual é a multa máxima da LGPD?

De acordo com a reportagem do Valor, as multas podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Há também sanções que não são multa, como a proibição de atividades.

Preciso avisar o cliente que ele está falando com uma IA?

A transparência é um princípio da LGPD e foi destacada pela ANPD como base de uma IA confiável. Avisar de forma clara é a prática mais segura. Confirme o texto com seu jurídico.

Posso colar dados de clientes em uma ferramenta de IA pública?

Não é recomendável. Defina uma regra interna, use ferramentas contratadas formalmente e consulte o jurídico sobre contrato e transferência de dados.

Quem deve ser responsável pelo agente de IA dentro da empresa?

Defina uma pessoa ou equipe dona do agente, com apoio do encarregado de dados e da área de TI. Sem um responsável nomeado, ninguém responde pelos erros.

Por onde começo se nunca fiz nada de LGPD?

Pelo inventário: liste onde há dado pessoal e quem acessa. Depois, trate os pontos de maior risco primeiro, como acessos amplos e dados em planilhas soltas.

A DKP faz parecer jurídico?

Não. A DKP atua na parte técnica, como processos, integração e dados. A interpretação da lei cabe ao advogado ou ao encarregado de dados da empresa.

Fontes

Valor International: "LGPD turns six amid artificial intelligence challenges", 03/11/2026.
Agência Nacional de Proteção de Dados: "ANPD destaca transparência em IA e prioridade regulatória em Fórum Empresarial", 05/11/2025.
Dados de volume de busca: Semrush, Brasil, setembro de 2026, consultados via Glasser.

LGPD faz 6 anos: o que muda para empresas que usam IA