Em três frases
Q4 não espera o PL 2338. A ANPD já priorizou inteligência artificial no Mapa de Temas Prioritários 2026–2027 (Tema 4) e avança parâmetros do Art. 20 da LGPD via agenda regulatória e insumos públicos (incluindo a NT 12/2025, que não é norma final). O briefing útil ao CIO/CISO/DPO é um backlog de evidências, não uma previsão de voto no Congresso.
Tom deste texto: conformidade sob LGPD vigente + preparação para supervisão/fiscalização. Zero hype de “marco da IA salvando ou matando o mercado”.
O que mudou no radar do comprador (fontes oficiais)
Tema 4 — Mapa 2026–2027 (Res. CD/ANPD nº 30/2025)
- Resolução CD/ANPD nº 30/2025 (publicação DOU 24/12/2025): aprova o Mapa de Temas Prioritários 2026–2027.
- Tema 4: “Inteligência Artificial e tecnologias emergentes no contexto do tratamento de dados pessoais”.
- Objetivo declarado: intensificar supervisão de tecnologias emergentes, especialmente sistemas de IA.
- Atividade citada no mapa: cerca de 20 fiscalizações relacionadas a tratamento de dados pessoais (inclusive crianças e adolescentes) no contexto de IA/tecnologias emergentes (texto da Res. 30/2025 / DOU 24/12/2025).
- Cronograma no mapa: 50% até o 1º semestre/2027 e 50% até o 2º semestre/2027 (mesmo ato).
Para o comprador: IA com dados pessoais entra na lente de supervisão com horizonte multi-ano. “Vamos esperar o marco” não remove o Tema 4.
Art. 20 LGPD — agenda e parâmetros em construção
- A Agenda Regulatória (Res. nº 23/2024, Agenda 2025–2026; alterações posteriores, inclusive Res. 31/2025) inclui projeto de Inteligência Artificial com foco em parâmetros interpretativos do Art. 20 (revisão de decisões tomadas unicamente com base em tratamento automatizado), além de direitos, princípios, hipóteses legais e governança.
- Leitura operacional para a empresa: mapear decisões “unicamente automatizadas”, canais de atendimento ao titular, documentação de critérios e o equilíbrio transparência × segredo comercial (parágrafos do Art. 20).
NT 12/2025/CON1/CGN/ANPD — insumos, não regulamento final
- Nota técnica de consolidação da Tomada de Subsídios (processo 00261.006920/2024-46).
- Não é norma final do Art. 20. Serve como leitura de convergências e debates em aberto.
- Convergências recorrentes úteis ao backlog interno: LGPD aplica-se ao tratamento (não “à IA em si”); RIPD/avaliações de impacto; transparência/explicabilidade; salvaguardas (anonimização, governança, logs); debates ainda abertos sobre revisão humana, exclusão pós-treino e bases legais.
Use a NT para priorizar perguntas internas e de vendor. Não cite como se fosse resolução vinculante de mérito.
PL 2338/2023 — só calendário (caveat)
- Cobertura de calendário (Mobile Time, 24/08/2026; outras matérias de rotina legislativa podem ecoar a mesma janela): relator Aguinaldo Ribeiro indica expectativa de votação no final de 2026, após as eleições de outubro; expectativa anterior apontava para até maio.
- Este brief não opina sobre mérito, voto ou probabilidade. Registra apenas que há calendário legislativo paralelo à agenda ANPD sob LGPD já vigente.
- PL 2338 ≠ pré-requisito para inventário, RIPD, Art. 20 operacional, Shadow AI e RFP de control plane.
Backlog Q4 acionável (empresa BR)
Priorize evidência. Donos sugeridos entre parênteses.
1. Inventário de sistemas de IA que tratam dados pessoais
Liste copilots SaaS, LLMs, agents, fine-tunes, RAG e automações com PII. Para cada item: dono de negócio, finalidade, base legal (a validar com privacidade/jurídico), dados sensíveis/vulneráveis, ambiente (piloto/prod).
(Negócio + plataforma + privacidade)
2. RIPD / avaliação de impacto onde couber
Alto risco, decisões com efeito sobre titulares, PII em escala, canal externo, perfilagem, crianças/adolescentes: trate RIPD (e avaliações correlatas) como artefato de go-live, não cosmética. Art. 38 LGPD + sinalização Tema 4 / NT 12.
(Privacidade / DPO + negócio)
3. Revisão operacional do Art. 20
Quais fluxos são “unicamente automatizados”? Há canal de revisão? Critérios documentados? Transparência vs. segredo comercial endereçada? HITL operacional não substitui automaticamente o direito do Art. 20.
(Privacidade + jurídico + owners de processo)
4. Due diligence de vendors
LLM, gateway/control plane, agent platform, CASB/DLP: subprocessamento, logs, localização, suporte a direitos do titular, treino com dados do cliente (contrato vigente). Amarre ao checklist RFP de control plane.
(Compras + CISO + privacidade)
5. Shadow AI
Descobrir e classificar apps/agentes não sancionados (stack tipo Purview + Defender for Cloud Apps + Entra + Intune, ou equivalente). Política approved vs blocked com alternativa oficial. Gateway sozinho não resolve colar no ChatGPT pessoal.
(CISO + workplace + privacidade)
6. Control plane como evidência de accountability
Gateway/control plane com policy inline + audit + identidade de agente + tool ACL é artefato técnico para demonstrar governança perante supervisão (Tema 4). Não substitui base legal nem RIPD. Ver guia de compra.
(Arquitetura + CISO + plataforma)
Ritual sugerido para o Q4 (90 dias)
| Janela | Entrega |
|---|---|
| Dias 0–15 | Inventário v0 + donos; lista de decisões candidatas ao Art. 20 |
| Dias 16–45 | RIPD priorizados; questionário vendor nos top 5 sistemas; Shadow AI discovery inicial |
| Dias 46–75 | PoC/deny de control plane ou gap analysis; canais de revisão Art. 20 operacionais nos fluxos críticos |
| Dias 76–90 | Dossiê de evidências (o que existe / o que falta / risco residual); agenda 2027 alinhada ao cronograma Tema 4 |
Sem percentuais de “maturidade de mercado”. Só o que a empresa consegue provar.
O que não fazer neste Q4
- Parar compras e governança “até o PL”;
- Tratar NT 12/2025 como regulamento final;
- Editorializar voto ou mérito do PL 2338 em comunicação interna como se fosse fato regulatório;
- Confundir agent platform sem enforcement com control plane;
- Inventar ROI de conformidade ou rankings de “prontidão ANPD”.
FAQ
A ANPD já pode fiscalizar IA sem o PL 2338?
A supervisão de tratamento de dados pessoais (inclusive com IA) apoia-se na LGPD vigente. O Tema 4 do Mapa 2026–27 deixa a prioridade explícita. Detalhe de cada fiscalização é caso a caso. Este brief não substitui assessoria jurídica.
NT 12/2025 obriga minha empresa a X?
É consolidação de contribuições da tomada de subsídios, não norma final. Use como radar de temas (RIPD, transparência, logs, revisão). Obrigações concretas continuam na LGPD e nas resoluções aplicáveis.
Art. 20 exige humano em todo bot?
Exige desenho adequado quando há decisão unicamente automatizada com efeitos previstos na lei. HITL de processo e direito à revisão do titular não são sinônimos. Mapeie os dois.
Control plane resolve a fiscalização Tema 4?
Ajuda na evidência técnica (quem chamou, o que foi permitido, tool ACL). Não elimina inventário, base legal, RIPD nem canais Art. 20.
O que dizer ao board sobre o PL?
Calendário paralelo (cobertura jornalística de expectativa de votação pós-eleições / fim de 2026, sujeita a mudança). Programa de conformidade sob LGPD/ANPD segue independentemente.
Fontes
- Res. CD/ANPD nº 30/2025 — Mapa de Temas Prioritários 2026–2027 (DOU 24/12/2025)
- Res. nº 23/2024 — Agenda Regulatória 2025–2026 (e alterações, incl. Res. 31/2025)
- NT 12/2025/CON1/CGN/ANPD — consolidação da Tomada de Subsídios
- Portal ANPD — atos normativos / regulamentações
- Mobile Time (24/08/2026) — calendário PL 2338 / expectativa de votação (só calendário)
- Série Semana 1 iab2b.site — guia control plane + checklist RFP
Confira textos oficiais na data da decisão. Publicações no DOU e PDFs da ANPD prevalecem sobre este resumo.
Disclaimer editorial
Brief informativo da iab2b.site. Não constitui aconselhamento jurídico, de compliance ou parecer de privacidade. Adapte à estrutura e ao apetite a risco da organização com DPO/jurídico. Calendário legislativo e interpretações regulatórias mudam; verifique fontes oficiais antes de decisões materiais. Sem preços, sem Gartner, sem métricas inventadas.