Regras de IA: sandbox da ANPD, PL 2338 e o AI Act europeu

Resposta curta

Em 3 de novembro de 2026, a ANPD, a agência brasileira de proteção de dados, publicou os três últimos relatórios parciais do seu sandbox de IA, um ambiente de teste acompanhado pelo regulador. Isso não cria regra nova: a própria ANPD diz que o trabalho não tem fins fiscalizatórios diretos. No Brasil, não há lei geral de IA em vigor, e o PL 2338/2023 segue aguardando o parecer do relator na Câmara. Para a empresa que usa IA com dado pessoal, o que vale hoje é a LGPD; em produto voltado a crianças e adolescentes, ou de acesso provável por eles, vale também o Decreto 12.880/2026, do ECA Digital; para quem vende à União Europeia, vale ainda o calendário do AI Act.

O que aconteceu: três frentes, um mesmo assunto

A notícia da ANPD, de 03/11/2026, traz o 4º, o 5º e o 6º relatórios de monitoramento, feitos em parceria com o CIAAM, da USP. Participam três empresas selecionadas por edital, nos setores financeiro, de mobilidade e de saúde. A ANPD descreve o trabalho como “estritamente experimental, preventivo e voltado ao aprendizado institucional”, com o objetivo de embasar futuras orientações dela sobre IA. Os temas testados foram:

• Financeiro: explicar decisões automatizadas de bloqueio preventivo e reforçar a segurança dos sistemas antifraude.
• Saúde: avisar com clareza os limites das recomendações clínicas automatizadas e rastrear as fontes que a IA consulta.
• Mobilidade: dados compartilhados com parceiros de mapa e auditoria da anonimização de localização.

A notícia não fala em relatório final nem dá prazo para a próxima etapa.

Na ficha de tramitação da Câmara, o PL 2338/2023, que veio do Senado, aparece aguardando parecer do relator na Comissão Especial sobre Inteligência Artificial, em regime de prioridade. A ementa fala em desenvolvimento, fomento e uso ético e responsável da IA, com base na centralidade da pessoa humana. Os registros mais recentes, de 27/10 e de 11/11/2026, são de projetos apensados, ou seja, juntados para tramitar em conjunto. Nenhum muda a situação do projeto principal.

O que já vale no Brasil está na LGPD. O art. 20 dá à pessoa o direito de pedir a revisão de decisões tomadas só com base em tratamento automatizado, inclusive as que definem perfil de consumo e de crédito. O § 1º obriga a empresa a dar, quando pedidas, informações claras sobre os critérios e os procedimentos dessa decisão, ressalvados os segredos comercial e industrial.

Na Europa, a página da Comissão Europeia, atualizada em 19/10/2026, traz o calendário do AI Act:

Data	O que passa a valer
01/08/2024	Entrada em vigor da lei
02/02/2025	Práticas proibidas e alfabetização em IA
02/08/2025	Regras para modelos de uso geral
Agosto de 2026	Regras de transparência e aplicação geral, com exceções
02/12/2027	Alto risco em áreas sensíveis (Anexo III)
02/08/2028	Alto risco em produtos regulados (Anexo I)

As duas últimas datas foram adiadas pelo pacote de simplificação que entrou em vigor em 27/07/2026. Pela regra de transparência, a pessoa deve ser avisada quando conversa com uma máquina, como um chatbot, e o conteúdo gerado por IA precisa poder ser identificado.

Por que importa para a empresa brasileira

Para a empresa pequena e média que só opera no Brasil, nenhuma obrigação nova nasceu em novembro. Mas um dos temas do sandbox, explicar uma decisão automatizada, se aproxima do que o art. 20 da LGPD já pede: informar, quando a pessoa solicita, os critérios e os procedimentos da decisão.

Na prática, o ponto de atenção é onde a IA decide, e não onde ela ajuda. Resumir uma reunião ou rascunhar um e-mail não define perfil de ninguém. Aprovar crédito, bloquear um cadastro ou escolher quem é atendido primeiro pode definir. Nesses casos, a empresa precisa saber explicar o critério quando o cliente pedir.

Quem vende para a União Europeia, mesmo pequeno, tem ainda a regra de transparência do AI Act. Um chatbot que atende cliente europeu precisa dizer que é uma máquina. E quem compra ferramenta de IA de fornecedor estrangeiro pode ver mudanças de produto feitas para cumprir a regra europeia.

Como pode se desdobrar

• Se a ANPD transformar o que aprendeu em orientação, explicabilidade e transparência podem virar pontos cobrados, porque são os temas centrais dos relatórios. A notícia não dá data nem diz o formato.
• Se o PL 2338/2023 receber parecer e for votado, o texto pode mudar. A ficha registra que o projeto chegou à Câmara para revisão, nos termos do art. 65 da Constituição; por essa regra, se a Câmara alterar o texto, ele volta ao Senado. Se não houver parecer, a situação segue como está.
• Se fornecedores globais aplicarem a regra europeia em todos os países, o aviso de que se fala com uma máquina pode chegar ao Brasil pelo produto, antes de uma regra brasileira geral. A página da Comissão Europeia lista a regra de transparência para agosto de 2026. Se não aplicarem, a diferença fica por país.

O que fazer agora

1. Liste onde a IA decide sobre uma pessoa. Crédito, cadastro, prioridade de atendimento, triagem de currículo. Separe do que é só apoio.
2. Escreva o critério em uma página. Para cada decisão da lista, como você explicaria ao cliente o que pesou. É o que o art. 20 da LGPD pede quando a pessoa pergunta.
3. Avise que é IA. Se um cliente conversa com um assistente digital, diga isso no começo, com ou sem cliente europeu. Em produto usado por crianças e adolescentes, o art. 11 do Decreto 12.880/2026 já pede transparência sobre o caráter sintético e automatizado da interação; a ANPD vai regulamentar e fiscalizar esse ponto.
4. Acompanhe as fontes oficiais. A ficha do PL 2338/2023 e a página da Comissão Europeia mostram a situação; decida com o texto aprovado, não com a manchete.

O que fazemos com os dados de cada empresa está na página sobre seus dados e a LGPD.

A visão do Ubi

O Ubi é o condutor da Ubiquo, a plataforma de IA que a AdsClinic implementa. Esta seção é a leitura da casa e é publicidade: vendemos a implementação da Ubiquo.

Como o Ubi vê. A regra geral de IA no Brasil ainda está em discussão, mas a regra de dados já existe e vale hoje. Esperar a lei nova para arrumar a casa pode sair caro, porque os temas que o regulador testa já aparecem na lei em vigor.

Como o Ubi reage. Pela regra que já vale, sem esperar a próxima. Não usamos a IA contra as políticas de uso do provedor, não descumprimos a LGPD em nenhuma etapa e não contornamos as políticas de anúncio das plataformas.

Onde se diferencia. No caminho que o dado faz. De uma empresa para outra vai o método, nunca o dado. Nenhum dado da sua empresa passa por servidores da Ubiquo: a conversa vai direto ao provedor de IA da conta da empresa.