Sandbox de IA da ANPD: o que é, o que testou e o que muda

O sandbox de IA da ANPD é um ambiente experimental e controlado, conduzido pela Autoridade Nacional de Proteção de Dados com o Centro de Inteligência Artificial e Aprendizado de Máquina da USP. Nele, empresas testam soluções de IA com supervisão do regulador, que usa o que aprende para orientar regras futuras. A participação não gera multa nem funciona como certificado.

Em 16/10/2026, a ANPD publicou o 3º relatório parcial de monitoramento desse sandbox, com os testes de três soluções reais. A notícia parece distante do dia a dia, mas mostra como o Brasil está construindo, na prática, as regras de uso de IA com dados pessoais. Este texto explica o que é o sandbox, o que o relatório encontrou, o que ele não significa e o que você, como usuário ou dono de negócio, pode fazer agora.

O que é um sandbox regulatório de IA?

Sandbox, em tradução livre, é uma caixa de areia: um espaço em que se pode testar sem o risco de quebrar o mundo real. Em regulação, é um programa em que o órgão responsável acompanha uma empresa testando uma tecnologia nova, dentro de limites combinados. A empresa ganha orientação. O regulador ganha evidência para decidir como escrever regras que funcionem.

Segundo a página da ANPD sobre o 3º relatório, consultada em 28/10/2026, o Sandbox Regulatório em Inteligência Artificial e Proteção de Dados é supervisionado pela Agência e realizado com o CIAAM/USP. O objetivo é conhecer riscos e benefícios da IA e produzir evidências que podem orientar futuras diretrizes. A mesma página informa que o programa não restringe as empresas participantes nem tem efeito sancionador.

Isso importa para entender a natureza do exercício: não é fiscalização, é aprendizado. Quem participa abre informações técnicas e de governança para a ANPD e para a universidade, e em troca recebe recomendações específicas. Para o público, o valor está em ver, antes da lei, quais perguntas o regulador considera importantes.

O que o 3º relatório parcial testou

O relatório cobre três soluções baseadas em IA, selecionadas pelo Edital nº 2/2025 da Superintendência de Inovação Tecnológica da ANPD. Cada uma representa um setor em que dados pessoais são especialmente sensíveis.

Repare no cuidado dos termos. Os testes de mobilidade foram simulados, e os de saúde usaram casos simulados, não pacientes reais. O próprio relatório, segundo a página da ANPD, afirma que o trabalho não certifica que as soluções cumprem a lei. É um retrato de um momento do desenvolvimento, não uma aprovação.

Os três pontos que mais interessam a quem usa IA

1. Explicar decisões automatizadas

No caso financeiro, o próximo ciclo vai testar proteção de dados pessoais, mecanismos de alerta e formas de explicar a pessoas afetadas por que uma operação foi bloqueada. Se você já teve um Pix barrado ou um cartão travado "por segurança", sabe como a falta de explicação irrita. O sandbox trata justamente de como dizer isso com clareza. O guia sobre como pedir revisão de uma decisão automatizada mostra o que você pode exigir hoje.

2. Avisar o limite da ferramenta

No caso da saúde, a melhoria prevista é deixar mais claros os limites da ferramenta, principalmente em emergências, e indicar as fontes usadas nas respostas. É a mesma lógica que aparece no texto sobre perguntar sintomas e exames para a IA: a resposta só é útil se você sabe até onde confiar nela. Para o lado de quem atende, a resolução do CFM sobre médicos e IA complementa o quadro.

3. Provar o que a empresa diz

A avaliação separou três coisas: o que a empresa declarou, o que documentou e o que a equipe do sandbox realmente verificou. Para o leitor, a lição é prática. Quando um fornecedor de IA diz que "protege seus dados", a pergunta útil é: onde isso está documentado e quem conferiu? O checklist em como escolher uma ferramenta de IA com segurança ajuda a transformar essa pergunta em rotina.

Isso é uma lei? O que muda na prática

Não. O sandbox não cria obrigação nova nem substitui lei. Ele produz evidência. As obrigações que valem hoje continuam sendo as da LGPD, e a discussão sobre uma lei geral de IA segue em paralelo, como explica o guia sobre a lei de IA no Brasil. A diretriz nacional de fomento aparece no texto sobre o Plano Brasileiro de IA.

O que muda é a previsibilidade. Empresas que acompanham o sandbox já sabem onde o regulador está olhando: segurança dos dados, transparência, explicabilidade e supervisão humana. Quem desenvolve ou contrata IA e se prepara para essas perguntas tende a sofrer menos quando as regras ficarem mais firmes.

Seus direitos de titular já valem hoje

A página da ANPD sobre os direitos dos titulares, consultada em 28/10/2026, lista, entre outros, confirmar se existe tratamento, acessar os dados, corrigi-los, pedir anonimização ou eliminação do que for excessivo, retirar o consentimento e solicitar a revisão de decisões tomadas apenas com tratamento automatizado, além de pedir explicação sobre os critérios usados.

Quanto a prazos, a mesma página diz que a confirmação e o acesso devem ser atendidos imediatamente e que pedidos sobre origem dos dados, critérios e finalidade têm prazo de até 15 dias. Para os demais, o prazo será definido em regulamento da ANPD. Se o controlador não atender, a página institucional sobre petição de titular e denúncia explica o caminho: primeiro você procura a própria empresa, guarda protocolos e mensagens, e só depois peticiona à ANPD, sem anonimato. A autoridade analisa petições em conjunto e, em geral, não responde individualmente.

Um exemplo concreto: Marina teve um limite de crédito reduzido por um aplicativo e recebeu só a frase "análise automática". Ela escreve ao encarregado de dados, pede a explicação dos critérios e a revisão por uma pessoa, e guarda o número de protocolo. Se não houver resposta, esse registro é a prova que a ANPD exige.

Modelo de mensagem para pedir explicação

Você pode usar uma IA para redigir o pedido, mas revise e envie por conta própria. Não cole documentos pessoais no chat sem necessidade, como alerta o texto sobre privacidade e IA.

Escreva uma mensagem curta e educada para o encarregado de dados de uma empresa. Contexto: meu limite de crédito foi reduzido por uma análise automática. Peço, com base na LGPD: (1) confirmação de que houve decisão automatizada; (2) explicação dos critérios e procedimentos usados; (3) revisão por uma pessoa. Peça resposta por escrito e número de protocolo. Não invente fatos: use apenas [DATA] e [NOME DO PRODUTO].

E se você é dono de negócio ou profissional?

Quem usa IA para atender clientes, analisar currículos ou cobrar inadimplentes está do lado do controlador de dados. Três hábitos reduzem risco: mapear quais dados a ferramenta recebe, avisar o cliente quando uma decisão for automatizada e manter um canal humano para contestação. O passo a passo está no checklist de LGPD para pequeno negócio que usa IA e na política de uso de IA para a equipe. Clínicas e consultórios, que lidam com dado de saúde, devem ler também o texto sobre agenda, confirmação e LGPD.

Erros comuns ao ler esse tipo de notícia

• Tratar o sandbox como lei ou como autorização para qualquer uso.
• Concluir que as três soluções foram aprovadas: o relatório descreve testes, não certifica.
• Achar que, sem lei específica de IA, "vale tudo": a LGPD já se aplica a dados pessoais tratados por IA.
• Reclamar à ANPD antes de procurar a empresa: o caminho começa no controlador.
• Ignorar vieses e falhas: a revisão humana existe porque a IA erra, como mostram os guias sobre viés em IA e sobre alucinação de IA.

O que acompanhar daqui para frente

Segundo a ANPD, no quarto ciclo as empresas devem executar os testes planejados e demonstrar que cumpriram as condições definidas nas etapas anteriores. Vale acompanhar também outros temas em que a autoridade atua, como deepfakes e proteção de dados: a regulação do tema nas eleições está no guia sobre deepfake nas eleições 2026. E, se você foi vítima de golpe digital, o primeiro passo é outro: veja o que fazer nas primeiras horas em golpe do Pix e MED.

Para continuar entendendo como a IA vai ser regulada e o que isso muda na sua vida e no seu trabalho, acompanhe a categoria Futuro do Portal da AI.