Introdução
A discussão sobre inteligência artificial generativa deixou de ser apenas sobre produtividade. Para empresas que treinam, ajustam, integram ou simplesmente utilizam modelos, a pergunta decisiva é de onde vêm os dados, como entram no fluxo, o que pode ser reproduzido e quais controles existem sobre informações pessoais. O Radar Tecnológico da ANPD sobre IA generativa ajuda a organizar esse problema em termos práticos.
O que mudou e por que importa
Em julho de 2026, a ANPD voltou a destacar o estudo ao lançar sua versão em inglês. O documento trata de temas como raspagem de dados da web, conteúdos sintéticos e relação entre tratamento de dados pessoais e sistemas generativos. Isso é relevante mesmo para quem não desenvolve modelos: uma empresa pode expor dados ao colar documentos em assistentes, automatizar atendimento, conectar bases internas a APIs ou contratar serviços que usam informações para melhoria de modelos.
Onde está o risco para as empresas
Há três riscos recorrentes. O primeiro é considerar que informação disponível na internet está automaticamente livre para qualquer tratamento. O segundo é inserir dados internos, pessoais ou confidenciais em ferramentas sem conhecer retenção, treinamento e suboperadores. O terceiro é aceitar saídas sintéticas como se fossem fatos, reproduzindo dados pessoais incorretos, inferências ou conteúdo que pode afetar pessoas. Em todos os casos, a cadeia de responsabilidade começa antes do prompt.
Controles que precisam sair do papel
O controle mínimo é mapear o ciclo da informação: origem, finalidade, base legal, transferência, retenção, exclusão e possibilidade de uso para treinamento. Contratos e configurações devem esclarecer se prompts e arquivos são usados para melhorar modelos. Integrações empresariais precisam separar ambientes de teste e produção, limitar dados sensíveis, registrar versões de modelos e manter revisão humana para decisões relevantes. Para scraping, deve existir análise específica de finalidade, proporcionalidade, expectativa do titular e minimização.
Como transformar o tema em rotina de governança
Crie um inventário de IA com quatro campos obrigatórios: ferramenta, dados enviados, decisão apoiada e responsável. Classifique usos como baixo, médio ou alto risco. Bloqueie dados sensíveis em ferramentas não aprovadas; disponibilize alternativas corporativas; defina procedimento para novos casos de uso; e documente exceções. Para sistemas com recuperação de informação em bases internas, aplique controle de acesso na fonte — a IA não pode transformar um usuário comum em administrador informal de toda a base.
O que a diretoria deve perguntar
A diretoria deve perguntar se a organização sabe quais ferramentas generativas estão em uso, quais delas recebem dados pessoais, que contratos autorizam ou limitam treinamento, quais bases alimentam integrações e como erros ou alucinações são detectados antes de gerar efeito sobre clientes, colaboradores ou terceiros. A ausência dessas respostas revela Shadow AI e risco contratual, não inovação.
Conclusão
Governar IA generativa começa por governar dados. O ganho de produtividade é real, mas só se sustenta quando origem, finalidade, acesso, retenção e revisão estão claros. A empresa que entende o fluxo da informação consegue adotar IA com velocidade sem transformar cada nova ferramenta em uma nova superfície de exposição.