Uma empresa pode apresentar políticas de privacidade, avaliações de risco e compromissos de segurança sem conseguir demonstrar como essas medidas funcionam no produto. Essa distância entre documentação e implementação está no centro dos resultados divulgados em 16 de outubro pela Agência Nacional de Proteção de Dados (ANPD). O terceiro relatório de seu sandbox regulatório de inteligência artificial e proteção de dados registra avanços e limitações de soluções submetidas a um ambiente experimental supervisionado, desenvolvido em parceria com a Universidade de São Paulo.
O projeto permite acompanhar o desenvolvimento das ferramentas e examinar seus riscos em condições delimitadas. Os resultados, porém, não equivalem a uma certificação de conformidade com a legislação nem a uma autorização irrestrita de uso. Essa distinção é relevante para a comunicação das empresas: participar de uma iniciativa regulatória não permite apresentar o produto como integralmente aprovado pela autoridade.
O relatório reúne situações que ajudam a tornar o debate concreto. Na solução de mobilidade, verificações de segurança e processamento de imagens coexistiram com pendências sobre integrações externas e riscos de identificação indireta. Na ferramenta de apoio à decisão clínica, os testes identificaram respostas incorretas e problemas com referências bibliográficas. Já na solução de segurança de IA, parte das verificações práticas permaneceu prevista para o ciclo seguinte. O estágio de avaliação, portanto, varia conforme a ferramenta e o controle examinado.
Para a gestão empresarial, a principal contribuição está no método de leitura desses resultados. Um controle previsto em uma política, um mecanismo implementado pela equipe técnica e uma proteção efetivamente testada representam situações diferentes. Tratá-las como equivalentes pode produzir uma percepção de segurança superior àquela que as evidências permitem sustentar.
Essa diferença também importa na contratação de fornecedores. Como aplicação prática dos aprendizados do projeto, a análise de uma solução de IA pode considerar quais dados serão utilizados, por quais serviços circularão e que evidências sustentam as afirmações de segurança do fornecedor. As respostas ajudam a definir responsabilidades, condições de uso e procedimentos para lidar com falhas. O contrato ganha utilidade quando corresponde ao funcionamento da ferramenta.
A mesma lógica vale para a transparência com os usuários. Um aviso genérico sobre o uso de inteligência artificial pode esclarecer pouco sobre as consequências de uma interação. Conforme a finalidade do produto, é relevante explicar seus limites, o papel das recomendações automatizadas e os caminhos disponíveis para obter esclarecimentos. A comunicação precisa acompanhar a experiência de uso e as decisões que a tecnologia pode influenciar.
O sandbox oferece, assim, elementos para uma governança apoiada em evidências. Para quem desenvolve ou contrata IA, a questão prática é conseguir relacionar cada compromisso de proteção a uma medida implementada, a um responsável e a uma forma de verificação. Esse acompanhamento permite identificar o que já foi demonstrado e o que ainda precisa ser corrigido antes de ampliar o uso da solução.
Fontes: Notícia oficial da ANPD, de 16/10/2026: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-publica-3o-relatorio-parcial-de-monitoramento-do-sandbox-regulatorio-em-ia | 3º Relatório Parcial de Monitoramento: https://www.gov.br/anpd/pt-br/assuntos/projetos-acoes-iniciativas/sandbox/sandbox-relatorio-parcial-de-monitoramento-ciclo-3-v1-0.pdf/@@display-file/file
