O que a ANPD colocou no radar para 2026-2027 e por que interessa a quem recruta

Inteligência artificial entrou na lista de prioridades de fiscalização da autoridade brasileira de proteção de dados. Este texto descreve o que os documentos dizem — e o que eles não dizem.

8 de agosto de 2026

Em 24 de dezembro de 2025, a Autoridade Nacional de Proteção de Dados publicou o Mapa de Temas Prioritários para a fiscalização no biênio 2026-2027, aprovado pela Resolução CD/ANPD nº 30, e uma atualização da Agenda Regulatória 2025-2026, pela Resolução CD/ANPD nº 31. O anúncio saiu na semana do Natal e circulou pouco.

Um dos quatro temas é inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais. Abaixo está o que os documentos e a lei dizem, com as fontes no final. Nada aqui é parecer jurídico: o que isso significa para um contrato específico é leitura do advogado de cada agência.

O que o Mapa é

O Mapa não cria obrigação nova. É um documento de planejamento: diz onde a ANPD pretende concentrar a atividade de fiscalização nos próximos dois anos. Segundo a própria autoridade, os temas foram definidos a partir do que ela acumulou no período anterior — petições de titulares, comunicados de incidente de segurança e as ações de fiscalização já realizadas.

A utilidade prática de um documento assim é previsibilidade. Ele indica para onde a atenção do órgão está apontada. Nada mais que isso, e nada menos.

Os quatro temas

  1. Direitos dos titulares.
  2. Proteção de crianças e adolescentes no ambiente digital.
  3. Tratamento de dados pessoais pelo Poder Público.
  4. Inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais.

Vale registrar o que o Mapa não faz: ele não organiza a fiscalização por setor. Não existe um item “recrutamento”, nem “RH”, nem “triagem de currículo”. Quem for procurar essas palavras no documento não vai encontrar. A ligação com quem recruta é outra, e vem da lei.

Onde a triagem de currículo entra nessa conta

A ponte é o art. 20 da LGPD, que trata de decisões automatizadas. O caput:

O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

“Perfil profissional” está escrito ali, entre os exemplos, no texto da lei. Triagem de currículo produz exatamente isso: uma leitura do perfil profissional de uma pessoa, com efeito direto sobre um interesse dela. Não é preciso interpretação criativa para chegar ao assunto.

Duas outras peças do mesmo artigo costumam ser menos citadas. O § 1º diz que o controlador fornecerá, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial. O § 2º prevê que, se essas informações forem negadas com base em segredo comercial ou industrial, a autoridade nacional poderá realizar auditoria para verificação de aspectos discriminatórios.

“Unicamente” é a palavra que faz o trabalho

O caput não fala em decisão automatizada. Fala em decisão tomada unicamente com base em tratamento automatizado. A diferença é onde dois desenhos de produto se separam.

De um lado, um sistema que recebe os currículos, aplica uma regra e devolve uma lista de aprovados e reprovados sem que ninguém olhe caso a caso. Quem decidiu foi o sistema; o operador executou o resultado.

Do outro, um sistema que lê, ordena e explica o que encontrou, e entrega isso a uma pessoa — que concorda, discorda ou pede mais informação, e responde pelo que ficou decidido.

A distinção não é retórica, mas também não é automática. Colocar alguém no fluxo só muda a natureza da decisão se essa pessoa puder efetivamente alterar o resultado, com tempo e informação para isso. Revisão que existe só para constar é um tema que aparece com frequência no debate regulatório em curso. Onde exatamente fica essa linha num caso concreto é discussão jurídica — e é justamente o tipo de pergunta que vale levar ao advogado da agência antes de assinar um contrato de software, e não depois.

Um detalhe histórico ajuda a entender por que o assunto continua em aberto. O texto do art. 20 aprovado originalmente no Congresso previa revisão “por pessoa natural”. A expressão não consta do texto em vigor: ela saiu na alteração promovida pela Lei nº 13.853/2019. O direito de solicitar revisão permaneceu na lei; a exigência explícita de que essa revisão fosse feita por uma pessoa, não.

O que ainda não está escrito

A regulamentação do art. 20 é um dos itens da Agenda Regulatória da ANPD. O órgão realizou uma tomada de subsídios sobre inteligência artificial e revisão de decisões automatizadas entre novembro de 2024 e janeiro de 2025 e recebeu 124 contribuições, vindas de empresas, academia, entidades da sociedade civil, agentes públicos e especialistas. O resultado foi consolidado na Nota Técnica nº 12/2025, publicada em 2025, que reúne o que foi levantado sobre transparência algorítmica, o procedimento de revisão, governança de IA e uso de dados pessoais no treinamento de modelos.

Ou seja: a norma específica ainda não existe. O que existe é o art. 20 como está na lei, o sinal de prioridade dado pelo Mapa e um processo regulatório em andamento. Quem oferecer certeza sobre o desenho final da regra está vendendo alguma coisa.

O que dá para observar sem sair do descritivo

Nada disso vira lista de tarefas, e vale desconfiar de quem transformar em uma. O que se pode dizer, olhando para o texto da lei e para a direção apontada pelo Mapa, é que três perguntas ficam mais baratas de responder quando a resposta já existe:

  • Existe uma pessoa identificável por trás de cada decisão que afeta um candidato?
  • Dá para descrever, em linguagem comum, os critérios que levaram àquele resultado?
  • Sobrou registro suficiente para reconstruir um caso específico meses depois?

São perguntas de operação antes de serem de conformidade. Elas já apareciam muito antes de qualquer agenda regulatória — toda vez que um cliente ou um candidato pediu explicação e alguém precisou dar.

Fontes

Aquelas três perguntas do fim do texto têm resposta escrita do nosso lado: onde os dados são processados, quem são os subprocessadores e o que fica registrado em cada decisão. Segurança e privacidade.