A regulação da inteligência artificial no Brasil já começou — e não foi por lei

A resposta curta é esta: não, tu não precisas esperar o Marco Legal da Inteligência Artificial para ter obrigação sobre o assunto. Em agosto de 2026 a Autoridade Nacional de Proteção de Dados praticou três atos que alcançam diretamente sistemas de inteligência artificial, e nenhum deles invocou lei de IA. Em 29 de julho publicou o Radar Tecnológico nº 6, estudo de 163 páginas sobre deepfakes. Em 12 de agosto determinou, em medida preventiva com prazo de três dias úteis, que o Discord suspendesse as transmissões ao vivo no Brasil. Em 21 de agosto notificou 22 serviços — entre eles ChatGPT, Claude, Gemini, Copilot, Meta AI, Perplexity e DeepSeek — dando dez dias úteis para responder. No mesmo mês, o relator do PL 2338/2023 na Câmara confirmou que a votação fica para depois das eleições de outubro.

Como a ANPD alcança inteligência artificial sem lei de inteligência artificial?

O enquadramento é a chave que abre a porta. A ANPD não regulou a IA por ser IA: aplicou normas que já existiam a um objeto novo.

Os fundamentos declarados são três:

• a LGPD, quando o resultado do sistema se refere a pessoa identificada ou identificável;
• o ECA Digital (Lei 15.211/2025), em vigor desde 17 de março de 2026;
• a regulamentação atualizada do Marco Civil da Internet, pelos Decretos 12.975/2026 e 12.976/2026, em vigor desde 20 de julho.

No caso do Discord, o despacho citou expressamente os artigos 6º, incisos II e III, 10, 17, 28 e 29 do ECA Digital. Não foi sanção da LGPD por incidente de dados. Foi exercício de poder de polícia com base no estatuto de proteção de crianças e adolescentes.

Essa é a lição prática para quem assessora: ausência de lei específica não é ausência de norma aplicável. É ausência de norma específica. Quem esperava o PL 2338 estava tratando a lei futura como se fosse a única fonte, quando ela seria a mais recente entre várias.

O que a autoridade pede das ferramentas de IA generativa?

O pedido é de prova, não de promessa. Das sete ferramentas notificadas, a ANPD exige demonstração de filtros, sistemas de detecção e mecanismos de segurança contra a geração, edição ou manipulação de conteúdo íntimo envolvendo terceiros — com evidência de que funcionam.

A diferença entre exigir evidência e exigir política é a diferença entre um procedimento de fiscalização e um questionário de conformidade. E o objeto da análise não é a publicação individual: a autoridade examina a arquitetura do serviço, incluindo algoritmo de recomendação, modelo de moderação, fluxo de governança e capacidade de resposta do canal de denúncia.

Quem responde exibindo suas políticas de uso entrega exatamente aquilo que não foi pedido. E demonstra, sem querer, que confunde ter regra com fazer cumprir.

O trabalho jurídico aqui é de tradução: converter prática operacional existente em prova documental dentro do prazo. Uma política nova, escrita depois da notificação, prova pouco.

Registre-se o limite, porque ele é real: exigir prova de efetividade sem parâmetro público de aferição transfere ao regulador a definição do que basta. Como advogado que acompanha o tema desde a tramitação do PL 2338, considero essa indeterminação o ponto mais frágil do desenho — e o que será fixado, na prática, pelo primeiro caso concreto.

Por que a competência da ANPD está sob disputa?

A controvérsia é de direito administrativo, e ela é legítima. Especialistas ouvidos pela imprensa em 13 de agosto convergem sobre a existência de base normativa e divergem sobre o limite.

O argumento mais forte contra o ato é o de reserva de jurisdição: se suspender uma funcionalidade equivale, na prática, a suspender atividade, há discussão séria sobre quem pode determiná-lo. O argumento a favor é o desenho clássico do poder de polícia — gravidade, urgência e violação aparente autorizam medida preventiva.

O ponto fraco da objeção não está no mérito. Está no relógio. Mesmo que a controvérsia venha a ser resolvida contra a autoridade, os atos produzem efeito hoje, e é hoje que o prazo corre para quem foi notificado. Aconselhar cliente com base no desfecho de uma controvérsia ainda não julgada é apostar, não assessorar.

Perguntas frequentes

Isso vale para o meu escritório ou só para as big techs?

As 22 notificadas são grandes plataformas e nenhuma banca está na lista. Mas o enquadramento que o procedimento consolida — resultado de sistema de IA referente a pessoa identificável pode ser dado pessoal — vale para qualquer controlador, inclusive o escritório que usa a ferramenta com dado de cliente dentro.

Se eu uso ChatGPT ou Claude no trabalho, devo trocar de ferramenta?

Não. A notificação não indica irregularidade nem suspende nada. O que ela recomenda é gestão de continuidade: saber onde ficam os dados, se há exportação, se existe alternativa configurada e se o contrato trata de indisponibilidade por ato de autoridade.

Onde eu acompanho isso agora?

No site da própria ANPD, não apenas na tramitação legislativa. Os três atos de agosto foram anunciados ali — o Radar Tecnológico, o despacho preventivo e a abertura do monitoramento. Obrigação criada por decreto e concretizada por despacho muda mais rápido que lei.

---

Este conteúdo foi produzido com auxílio de inteligência artificial e revisado por Eduardo Tedesco Castamann, advogado (OAB/RS 81.955).