Governança de IA na prática: o que o Sandbox da ANPD revela sobre o futuro do Compliance

A inteligência artificial já deixou de ser uma tecnologia restrita à experimentação e passou a fazer parte de processos, produtos e decisões dentro das empresas. À medida que seu uso cresce, porém, também aumenta a necessidade de entender como testar, avaliar e controlar os riscos associados a essas aplicações.

É nesse contexto que o Sandbox Regulatório de Inteligência Artificial e Proteção de Dados da Autoridade Nacional de Proteção de Dados (ANPD) ganha relevância. A iniciativa propõe um ambiente controlado para testar soluções e abordagens relacionadas à inteligência artificial, permitindo observar seus impactos e produzir aprendizados para a atuação regulatória.

Mais do que uma iniciativa experimental, o Sandbox sinaliza uma mudança importante na forma de pensar a governança de IA. A discussão deixa de estar concentrada apenas em se uma tecnologia pode ou não ser utilizada e passa a envolver questões como avaliação de riscos, transparência, explicabilidade, proteção de dados, supervisão humana e monitoramento contínuo.

Essa mudança também afeta o papel do Compliance. Em um cenário no qual sistemas de IA podem participar de decisões cada vez mais relevantes para o negócio, esperar que uma regulamentação definitiva estabeleça todas as respostas pode significar agir tarde demais. As empresas precisam começar a construir mecanismos de governança antes que o risco se transforme em incidente ou não conformidade.

O Sandbox da ANPD oferece, portanto, um ponto de partida para olhar para uma questão maior: o futuro do Compliance diante de uma tecnologia que exige não apenas regras, mas capacidade de experimentar, avaliar evidências, acompanhar riscos e estabelecer limites para o uso da inteligência artificial.

Para entender como a inteligência artificial já vem transformando o Compliance e quais cuidados esse movimento exige, confira IA no compliance: benefícios e cuidados.

Guia rápido: aqui você vai encontrar

• O que é o Sandbox Regulatório de Inteligência Artificial e Proteção de Dados da ANPD e por que a iniciativa representa uma nova abordagem para a governança de IA
• Por que a experimentação regulatória pode se tornar importante diante da velocidade de evolução das tecnologias de inteligência artificial
• Quais aspectos de transparência, explicabilidade e proteção de dados entram no radar da governança de sistemas de IA
• Como a avaliação e a mitigação de riscos podem deixar de ser etapas pontuais e passar a integrar o ciclo de vida das soluções de IA
• Por que o monitoramento contínuo ganha importância quando sistemas de IA podem mudar, aprender ou produzir impactos diferentes ao longo do tempo
• Qual é o papel da responsabilidade e da supervisão humana diante de decisões apoiadas ou produzidas por sistemas de inteligência artificial
• O que as empresas podem aprender com o Sandbox da ANPD antes mesmo de uma regulamentação definitiva de IA
• Como o Compliance pode participar da governança de IA desde a concepção das soluções, em vez de atuar apenas depois que os riscos aparecem
• UPLEXIS: como dados, inteligência e gestão de riscos podem apoiar uma governança mais estruturada de IA
• FAQ: respostas para as principais dúvidas sobre Sandbox regulatório, governança de IA, Compliance, riscos e supervisão humana
• RESUMO GERAL: os principais aprendizados sobre o que o Sandbox da ANPD revela sobre a evolução da governança de inteligência artificial e o futuro do Compliance

O que é o Sandbox Regulatório de Inteligência Artificial e Proteção de Dados da ANPD e por que a iniciativa representa uma nova abordagem para a governança de IA

O Sandbox Regulatório de Inteligência Artificial e Proteção de Dados da ANPD foi concebido como um ambiente de experimentação regulatória para acompanhar, na prática, os impactos e os riscos relacionados ao uso de sistemas de inteligência artificial. A iniciativa permite que a autoridade observe soluções e abordagens em um contexto controlado, produzindo informações que podem contribuir para o desenvolvimento da própria atuação regulatória.

A necessidade de estruturar essa governança já aparece no ambiente corporativo. 92% das empresas que utilizam IA em soluções de Compliance estão preocupadas em estabelecer processos que considerem os riscos associados à tecnologia, segundo estudo citado pela EY. O dado ajuda a mostrar por que iniciativas experimentais de regulação ganham relevância: à medida que a IA avança, organizações precisam desenvolver mecanismos capazes de identificar e tratar riscos antes que eles se transformem em problemas de conformidade.

Da experimentação regulatória ao aprendizado

Um dos aspectos mais relevantes da metodologia é sua organização em seis ciclos de testagem. A partir do segundo ciclo, o processo passa por três fases: preparação e detalhamento, experimentação e gestão de riscos, e avaliação e ajuste. Dessa forma, a experiência acumulada em uma etapa pode contribuir para aperfeiçoar as etapas seguintes.

Essa abordagem revela uma característica importante da governança de IA: não existe necessariamente uma resposta definitiva para todos os riscos no momento em que uma tecnologia é implementada. A evolução dos modelos, dos dados utilizados e das formas de aplicação pode exigir novas avaliações e ajustes nos mecanismos de controle.

Uma referência para a governança dentro das empresas

A lógica do Sandbox também oferece uma reflexão importante para o ambiente corporativo. Se a própria autoridade reguladora estrutura sua experimentação a partir de testes, gestão de riscos, avaliação de resultados e ajustes, as empresas podem enxergar a governança de IA como um processo igualmente contínuo.

Na prática, isso significa ir além da pergunta sobre se determinada solução está formalmente autorizada. É preciso criar mecanismos para identificar riscos, acompanhar o funcionamento dos sistemas, avaliar seus impactos e revisar controles quando necessário. Para o Compliance, essa mudança representa uma oportunidade de participar da governança desde a concepção das soluções, contribuindo para que inovação e controle avancem juntos.

Por que a experimentação regulatória pode se tornar importante diante da velocidade de evolução das tecnologias de inteligência artificial

A velocidade de evolução da inteligência artificial cria um desafio para empresas e reguladores: as tecnologias podem avançar mais rapidamente do que a capacidade de estabelecer regras, controles e estruturas de governança definitivas. Nesse cenário, a experimentação regulatória surge como uma forma de acompanhar a inovação sem abandonar a avaliação de riscos.

O cenário empresarial ajuda a dimensionar esse desafio. 95% das organizações brasileiras planejam adotar IA agêntica nos próximos dois anos, mas apenas 27% afirmam ter modelos de governança maduros, segundo a pesquisa State of AI 2026, da Deloitte. O contraste mostra que a expansão da tecnologia pode acontecer antes que as estruturas necessárias para governá-la estejam plenamente consolidadas.

Testar antes de estabelecer respostas definitivas

Em ambientes de rápida transformação tecnológica, tentar antecipar todas as possibilidades antes de experimentar pode criar regras desconectadas da realidade de uso. A experimentação regulatória permite observar aplicações concretas, identificar problemas e produzir evidências que ajudam a aprimorar futuras decisões.

Essa lógica é particularmente relevante para a inteligência artificial porque novos modelos, aplicações e formas de utilização continuam surgindo em ritmo acelerado. Um mecanismo de governança desenvolvido hoje pode precisar ser revisado diante de novos riscos ou capacidades que ainda não estavam presentes quando foi criado.

O Sandbox da ANPD se insere justamente nessa lógica. Ao criar um ambiente controlado para testar abordagens e acompanhar seus resultados, a iniciativa permite que a regulação seja construída também a partir do aprendizado obtido na prática.

A velocidade da inovação exige governança adaptável

O contraste entre adoção e maturidade de governança também traz uma lição para as empresas. Se a tecnologia avança enquanto estruturas de controle ainda estão sendo desenvolvidas, esperar por uma resposta regulatória definitiva pode deixar organizações expostas durante o período de transição.

Por isso, a governança precisa ser capaz de acompanhar a evolução tecnológica. Isso envolve estabelecer critérios de avaliação, testar controles, monitorar resultados e revisar procedimentos conforme novos riscos sejam identificados.

Para o Compliance, essa abordagem representa uma mudança importante: não se trata apenas de acompanhar o que o regulador determinará no futuro, mas de criar desde já mecanismos capazes de aprender e se adaptar junto com a tecnologia.

Quais aspectos de transparência, explicabilidade e proteção de dados entram no radar da governança de sistemas de IA

À medida que sistemas de inteligência artificial passam a participar de processos corporativos, a governança precisa considerar não apenas o desempenho da tecnologia, mas também como os dados são utilizados, como os resultados são produzidos e quanto as pessoas conseguem compreender essas decisões.

Esse desafio já aparece na adoção empresarial. 57% dos profissionais de TI apontam preocupações com privacidade de dados e 43% citam confiança e transparência como inibidores da adoção de GenAI, segundo levantamento citado pela Deloitte. Os números mostram que proteção de dados e transparência não são preocupações exclusivamente regulatórias: elas também interferem na própria disposição das organizações em incorporar a tecnologia.

Transparência precisa permitir compreender a decisão

Transparência não significa necessariamente revelar cada detalhe técnico de um modelo de inteligência artificial. O desafio está em fornecer informações que permitam compreender o que o sistema faz, quais são suas limitações e, quando aplicável, por que determinado resultado foi produzido.

Essa capacidade ganha importância especialmente quando uma decisão automatizada pode gerar consequências relevantes. Sem informações adequadas, fica mais difícil para áreas de Compliance, Risco e Governança avaliar se determinado sistema está funcionando dentro dos parâmetros definidos ou identificar situações que mereçam investigação.

A explicabilidade também contribui para a responsabilização. Quando uma organização consegue compreender e documentar os fatores que influenciaram uma decisão, torna-se mais viável questionar resultados, revisar processos e estabelecer responsabilidades quando algo não ocorre como esperado.

Proteção de dados faz parte da governança da IA

A discussão também precisa considerar os dados que alimentam e orientam os sistemas. Privacidade e governança de dados precisam estar presentes desde a definição da finalidade de uma aplicação de IA até seu monitoramento em operação, especialmente quando informações pessoais estão envolvidas.

Isso significa avaliar quais dados são tratados, para qual finalidade, quem pode acessá-los e de que maneira essas informações podem influenciar os resultados produzidos pelo sistema. A proteção de dados, portanto, não deve aparecer apenas como uma etapa jurídica posterior à implementação da tecnologia.

Para o Compliance, essa visão amplia o escopo da governança. Governar uma solução de IA significa também compreender a relação entre dados, decisões, transparência e riscos, criando mecanismos que permitam identificar problemas e revisar processos quando necessário.

Como a avaliação e a mitigação de riscos podem deixar de ser etapas pontuais e passar a integrar o ciclo de vida das soluções de IA

A presença da inteligência artificial na agenda de Compliance já é uma realidade, mas isso não significa que as organizações tenham estruturas de governança suficientemente maduras para acompanhar seus riscos. A avaliação de riscos precisa deixar de ser uma etapa isolada, realizada apenas antes da implementação de uma tecnologia, e passar a acompanhar seu uso ao longo do tempo.

Esse descompasso aparece na pesquisa Compliance ON TOP 2025, da LEC. 53,9% dos gestores de Compliance afirmam que suas empresas ainda não contam com um programa de governança para o uso de IA generativa pelos colaboradores, enquanto 81,6% dos profissionais de Compliance que atuam em empresas participaram de discussões ou projetos relacionados à inteligência artificial nos 12 meses anteriores à pesquisa. O cenário mostra que a tecnologia já chegou à agenda da área, mas as estruturas para governá-la ainda precisam avançar.

Identificar e medir riscos antes que eles se materializem

A avaliação de riscos precisa começar antes da implementação, mas não terminar nela. Uma solução de IA pode ser utilizada em diferentes processos, receber novos dados ou ser incorporada a contextos que não estavam previstos inicialmente. Cada uma dessas mudanças pode alterar seu perfil de risco.

Por isso, a organização precisa estabelecer mecanismos para identificar novos riscos, avaliar sua relevância e verificar se os controles existentes continuam adequados. Essa abordagem permite substituir uma fotografia pontual por um processo de acompanhamento.

Para o Compliance, isso significa participar de um processo que combina análise preventiva e acompanhamento. A área pode contribuir para definir critérios de avaliação, documentar riscos relevantes e estabelecer pontos de revisão conforme a tecnologia ou seu contexto de utilização se modifica.

Mitigar riscos exige acompanhamento e melhoria contínua

Identificar um risco não significa, por si só, que ele esteja controlado. A mitigação exige que a organização defina quem será responsável pelo tratamento, quais controles serão aplicados e em que momento uma nova avaliação deverá ser realizada.

Essa lógica aproxima a governança de IA de uma estrutura contínua de gestão de riscos. Controles podem precisar ser ajustados, novos riscos podem surgir e determinadas aplicações podem produzir impactos diferentes daqueles inicialmente previstos.

Na prática, isso significa que a governança precisa acompanhar a solução depois que ela entra em funcionamento. Para o Compliance, a oportunidade está justamente em transformar a avaliação de riscos em um processo permanente, integrado às decisões sobre desenvolvimento, implementação, uso, monitoramento e eventual revisão das soluções de IA.

Por que a experimentação regulatória pode se tornar importante diante da velocidade de evolução das tecnologias de inteligência artificial

A velocidade de evolução da inteligência artificial cria um desafio para empresas e reguladores: as tecnologias podem avançar mais rapidamente do que a capacidade de estabelecer regras, controles e estruturas de governança definitivas. Nesse cenário, a experimentação regulatória surge como uma forma de acompanhar a inovação sem abandonar a avaliação de riscos.

O estágio atual de adoção dentro das próprias áreas de controle ajuda a dimensionar esse desafio. 50% dos executivos de Compliance, Risco e Prevenção a Fraudes ainda utilizam IA de forma pontual ou experimental, enquanto apenas 6,3% já estruturaram sua aplicação nos programas de Compliance, segundo levantamento da LEC. O cenário mostra que as organizações ainda estão descobrindo como incorporar a tecnologia de maneira estruturada, o que reforça a importância de mecanismos que permitam testar, avaliar e aprender antes de escalar.

Testar antes de estabelecer respostas definitivas

Em ambientes de rápida transformação tecnológica, tentar antecipar todas as possibilidades antes de experimentar pode criar regras desconectadas da realidade de uso. A experimentação regulatória permite observar aplicações concretas, identificar problemas e produzir evidências que ajudam a aprimorar futuras decisões.

Essa lógica é particularmente relevante para a inteligência artificial porque novos modelos, aplicações e formas de utilização continuam surgindo em ritmo acelerado. Um mecanismo de governança desenvolvido hoje pode precisar ser revisado diante de novos riscos ou capacidades que ainda não estavam presentes quando foi criado.

O Sandbox da ANPD se insere justamente nessa lógica. Ao criar um ambiente controlado para testar abordagens e acompanhar seus resultados, a iniciativa permite que a regulação seja construída também a partir do aprendizado obtido na prática.

A velocidade da inovação exige governança adaptável

O estágio ainda experimental da adoção de IA também traz uma lição para as empresas. Se organizações de Compliance, Risco e Prevenção a Fraudes ainda estão testando formas de incorporar a tecnologia aos seus processos, modelos de governança precisam ser suficientemente adaptáveis para acompanhar esse aprendizado.

Por isso, a governança precisa ser capaz de acompanhar a evolução tecnológica. Isso envolve estabelecer critérios de avaliação, testar controles, monitorar resultados e revisar procedimentos conforme novos riscos sejam identificados.

Para o Compliance, essa abordagem representa uma mudança importante: não se trata apenas de acompanhar o que o regulador determinará no futuro, mas de criar desde já mecanismos capazes de aprender e se adaptar junto com a tecnologia. A experimentação, nesse contexto, deixa de ser apenas uma etapa anterior à adoção e passa a fazer parte da própria construção de uma governança de IA mais madura.

Qual é o papel da responsabilidade e da supervisão humana diante de decisões apoiadas ou produzidas por sistemas de inteligência artificial

À medida que a inteligência artificial passa a participar de processos decisórios, a questão da responsabilidade ganha uma nova dimensão. A tecnologia pode apoiar uma decisão, mas a organização precisa definir quem supervisiona seus resultados, quais limites devem ser observados e em que situações a intervenção humana é necessária.

Esse desafio já aparece no ambiente corporativo. Cerca de 60% dos executivos já utilizam IA para apoiar decisões, segundo a Deloitte. O avanço dessa participação torna mais importante estabelecer claramente os papéis humanos envolvidos no processo, especialmente quando uma recomendação ou decisão produzida com apoio de IA pode gerar consequências relevantes.

Supervisão humana precisa significar capacidade de intervenção

A existência de uma pessoa formalmente responsável por acompanhar um sistema não é suficiente se essa supervisão não permitir compreender, questionar ou revisar seus resultados. Supervisão efetiva pressupõe capacidade de intervenção, especialmente quando uma decisão automatizada pode produzir impactos relevantes.

Isso exige que as empresas definam previamente responsabilidades, critérios de revisão e situações nas quais uma decisão produzida ou apoiada por IA deve ser submetida à análise humana. Também significa documentar processos e estabelecer mecanismos para identificar quando o resultado de um sistema está fora dos parâmetros esperados.

Para o Compliance, essa estrutura é importante porque transforma a supervisão humana em um controle de governança, e não apenas em uma etapa operacional. A questão deixa de ser somente se existe alguém acompanhando a tecnologia e passa a ser se essa pessoa ou equipe possui autoridade, informação e condições para intervir.

A responsabilidade continua sendo da organização

A participação crescente da IA nos processos decisórios não significa que a responsabilidade possa ser transferida para a tecnologia. Um sistema pode produzir uma recomendação, mas a organização continua precisando responder pela forma como decidiu utilizá-la e pelos controles estabelecidos para esse uso.

Isso exige uma estrutura capaz de responder a perguntas concretas: quem aprovou o uso daquela solução, quais riscos foram avaliados, quais controles foram estabelecidos e quem poderia intervir diante de um resultado inadequado?

Na prática, quanto maior a autonomia atribuída a um sistema e maior o impacto potencial de suas decisões, mais importante se torna estabelecer limites, mecanismos de supervisão e responsabilidades claramente definidos. Para o Compliance, esse é um dos pontos centrais da governança de IA: garantir que a tecnologia amplie a capacidade de decisão sem eliminar o julgamento e a responsabilidade humanos.

O que as empresas podem aprender com o Sandbox da ANPD antes mesmo de uma regulamentação definitiva de IA

A experiência do Sandbox da ANPD também oferece uma lição importante para as empresas: não é necessário esperar que todas as regras sobre inteligência artificial estejam definitivamente estabelecidas para começar a estruturar mecanismos de governança. A própria experimentação regulatória mostra a importância de testar, avaliar riscos, acompanhar resultados e ajustar controles — práticas que podem ser incorporadas às estruturas corporativas desde já.

Uma pesquisa global da Deloitte com 2,8 mil executivos C-level mostra que 36% apontam preocupações com conformidade regulatória, 30% citam dificuldades para gerenciar riscos e 29% mencionam a ausência de um modelo de governança entre as principais barreiras à adoção de IA. No Brasil, as organizações já começam a responder a esses desafios com medidas concretas: 68% realizam auditorias e testes internos das ferramentas de GenAI, 45% treinam profissionais para reconhecer e mitigar riscos e 40% estão estabelecendo estruturas de governança. Os dados da Deloitte mostram como empresas brasileiras já estão criando mecanismos de controle e governança para o uso de IA.

Governança pode começar antes da obrigação regulatória

Os dados mostram que algumas organizações já estão adotando práticas de controle enquanto o ambiente regulatório continua em evolução. Auditorias, testes internos e estruturas formais de governança permitem que a empresa identifique vulnerabilidades e estabeleça critérios para o uso da tecnologia antes que um problema de conformidade obrigue uma reação.

Essa antecipação é particularmente relevante porque uma regulamentação geral não necessariamente responderá, de imediato, a todas as situações específicas encontradas pelas empresas. Cada organização possui processos, dados, sistemas e níveis de exposição diferentes. Criar uma estrutura própria de governança permite adaptar os controles aos riscos efetivamente presentes no negócio.

O aprendizado precisa virar prática corporativa

A pesquisa da Deloitte mostra ainda que 38% das organizações brasileiras procuram garantir que um humano valide o conteúdo gerado por IA, enquanto 35% monitoram requisitos regulatórios para garantir conformidade. Essas iniciativas ajudam a transformar princípios de governança em mecanismos concretos de controle. A pesquisa identifica validação humana e monitoramento regulatório entre as práticas adotadas pelas organizações brasileiras.

Para o Compliance, essa é uma das principais lições: esperar a regulamentação não precisa significar permanecer parado. A organização pode começar mapeando onde utiliza IA, identificando riscos, definindo responsáveis, estabelecendo critérios de revisão, treinando equipes e acompanhando mudanças regulatórias.

O Sandbox da ANPD funciona, nesse sentido, como um sinal do caminho que a governança de IA tende a seguir: experimentar antes de escalar, produzir evidências antes de concluir, identificar riscos antes de reagir e ajustar controles conforme novos aprendizados surgem. Para as empresas, começar esse processo agora pode significar chegar à próxima etapa regulatória com uma estrutura de governança já amadurecida.

Como o Compliance pode participar da governança de IA desde a concepção das soluções, em vez de atuar apenas depois que os riscos aparecem

A entrada da inteligência artificial nas organizações não precisa transformar o Compliance em uma área que atua apenas depois que os problemas aparecem. Pelo contrário: a experiência da área com avaliação de riscos, definição de controles, monitoramento e revisão pode ser incorporada desde as primeiras etapas de uma solução de IA.

A pesquisa de Maturidade de Compliance no Brasil, da KPMG, mostra que 68% dos executivos afirmam revisar e aprovar anualmente o programa de Compliance. O dado evidencia que o Compliance já participa de ciclos estruturados de avaliação e revisão dentro das organizações — uma lógica que pode ser aplicada também à governança de soluções de inteligência artificial.

A participação precisa começar antes da implementação

Quando o Compliance entra apenas depois que uma solução já foi desenvolvida ou implantada, parte das decisões que determinam seu perfil de risco já foi tomada. Isso pode tornar mais difícil corrigir problemas relacionados a dados, responsabilidades, critérios de decisão ou controles.

A participação desde a concepção permite que a área contribua para perguntas fundamentais: qual é a finalidade da solução, quais riscos ela pode introduzir, quais dados serão utilizados, quem será responsável por seus resultados e quais controles precisam existir antes da entrada em operação?

Essa atuação preventiva aproxima o Compliance das decisões estratégicas sobre tecnologia. Em vez de funcionar somente como uma barreira à inovação, a área passa a contribuir para que soluções sejam desenvolvidas dentro de parâmetros de risco previamente definidos.

Governança de IA pode aproveitar estruturas que já existem

O Compliance não precisa necessariamente criar um modelo completamente separado para lidar com inteligência artificial. Muitas das práticas que já fazem parte de programas de integridade e gestão de riscos podem ser adaptadas ao novo contexto: avaliação de riscos, definição de responsabilidades, due diligence, controles, monitoramento, documentação e revisão periódica.

Essa integração também facilita a conexão entre diferentes áreas. Tecnologia, Jurídico, Segurança da Informação, Privacidade, Riscos e Compliance podem compartilhar critérios e responsabilidades, evitando que a governança de IA fique concentrada exclusivamente nas equipes técnicas.

O resultado é uma atuação mais estratégica: o Compliance participa da construção das regras antes da implementação, acompanha a solução durante seu uso e ajuda a revisar os controles quando o contexto ou os riscos mudam. É essa mudança — de uma postura predominantemente reativa para uma participação desde a concepção — que pode colocar a área no centro da governança de IA.

UPLEXIS: como dados, inteligência e gestão de riscos podem apoiar uma governança mais estruturada de IA

A governança de inteligência artificial depende de mais do que políticas e diretrizes. Para que uma organização consiga identificar riscos, avaliar informações, acompanhar mudanças e tomar decisões mais fundamentadas, é necessário contar com dados confiáveis e processos capazes de transformar informação em inteligência.

Nesse cenário, dados e gestão de riscos se complementam. O mapeamento de informações relevantes pode apoiar a identificação de situações que exigem atenção, enquanto mecanismos de monitoramento ajudam a acompanhar mudanças e novos sinais de risco. Quanto maior a presença da IA nos processos corporativos, maior também a necessidade de compreender o contexto no qual essas tecnologias estão sendo utilizadas.

É nesse ponto que a atuação da upLexis se conecta ao tema. A combinação de dados, inteligência e tecnologia pode apoiar áreas de Compliance, Risco e Governança na análise de informações e na construção de processos mais estruturados de avaliação e monitoramento.

Mais do que reagir quando um problema aparece, essa abordagem contribui para uma governança orientada à antecipação, acompanhamento e tomada de decisão baseada em evidências. Em um cenário no qual a IA amplia a velocidade e a escala das decisões, fortalecer essa capacidade pode ser um diferencial para equilibrar inovação, controle e responsabilidade.
Clique no banner abaixo e solicite seu teste grátis! 👇

FAQ: respostas para as principais dúvidas sobre Sandbox regulatório, governança de IA, Compliance, riscos e supervisão humana

O que é o Sandbox Regulatório da ANPD?

É um ambiente de experimentação regulatória criado para permitir que a ANPD acompanhe, em condições controladas, aplicações de inteligência artificial e seus impactos sobre a proteção de dados. A proposta é gerar aprendizado a partir da prática e contribuir para o desenvolvimento de abordagens regulatórias mais adequadas.

Por que um Sandbox é importante para a governança de IA?

Porque a inteligência artificial evolui rapidamente e nem todos os riscos podem ser antecipados antes que uma tecnologia seja utilizada. A experimentação permite testar, observar resultados, identificar riscos e aprimorar mecanismos de governança antes de estabelecer respostas definitivas.

Uma empresa precisa esperar uma regulamentação definitiva para começar a governar o uso de IA?

Não. A regulamentação pode estabelecer obrigações específicas, mas as empresas já podem estruturar mecanismos próprios de identificação de riscos, definição de responsabilidades, controles, monitoramento e supervisão humana. Antecipar essas práticas também ajuda a organização a se adaptar mais rapidamente quando novas regras entrarem em vigor.

Quais são os principais riscos que precisam ser considerados na governança de IA?

Depende do contexto e da finalidade da aplicação, mas a avaliação pode envolver proteção de dados, privacidade, segurança, transparência, explicabilidade, vieses, erros, responsabilização e impactos sobre direitos. O nível de atenção deve ser proporcional ao potencial impacto da solução.

Qual é o papel do Compliance na governança de inteligência artificial?

O Compliance pode atuar desde a concepção da solução, contribuindo para identificar riscos, definir controles, estabelecer responsabilidades e avaliar se o uso planejado está alinhado às políticas e aos requisitos aplicáveis. A atuação também pode continuar durante a operação, por meio de monitoramento e revisão dos controles.

Por que a supervisão humana continua importante se a IA pode tomar decisões de forma automatizada?

Porque automatização não elimina a responsabilidade da organização. A supervisão humana permite questionar resultados, identificar situações fora dos parâmetros esperados e intervir quando necessário. Quanto maior o impacto potencial de uma decisão, mais importante tende a ser estabelecer mecanismos claros de supervisão.

Transparência e explicabilidade são a mesma coisa?

Não exatamente. Transparência está relacionada à disponibilização de informações relevantes sobre o sistema, seu funcionamento, finalidade, capacidades e limitações. Explicabilidade está mais diretamente ligada à capacidade de compreender os fatores ou processos que contribuíram para determinado resultado. Ambas podem ser importantes para uma governança responsável.

A avaliação de riscos de uma solução de IA deve acontecer apenas antes da implementação?

Não. Uma avaliação inicial é importante, mas os riscos podem mudar durante o ciclo de vida da solução. Mudanças nos dados, no contexto de utilização, na tecnologia ou nos impactos produzidos podem exigir novas avaliações e ajustes nos controles.

O que o Compliance pode fazer agora para se preparar para a evolução da IA?

Pode começar pelo básico: mapear onde a IA já está sendo utilizada, identificar riscos, definir responsáveis, estabelecer critérios de supervisão, revisar políticas internas, avaliar fornecedores e criar mecanismos de monitoramento. O objetivo não é prever todos os riscos futuros, mas criar uma estrutura capaz de identificá-los e responder a eles conforme surgirem.

O que o Sandbox da ANPD revela sobre o futuro do Compliance?

A principal lição é que governar IA tende a exigir uma atuação menos reativa e mais contínua. O Compliance pode deixar de aparecer apenas quando surge um problema ou uma obrigação regulatória e participar da experimentação, avaliação de riscos, definição de controles, monitoramento e revisão das soluções desde sua concepção.

Governança de IA é responsabilidade apenas da área de Tecnologia?

Não. Tecnologia possui um papel fundamental, mas uma governança efetiva envolve diferentes áreas, de acordo com o contexto da organização: Compliance, Jurídico, Privacidade, Segurança da Informação, Riscos, Auditoria, negócio e liderança. A responsabilidade precisa ser distribuída de forma clara, evitando que a governança fique concentrada exclusivamente em quem desenvolve ou implementa a tecnologia.

RESUMO GERAL: os principais aprendizados sobre o que o Sandbox da ANPD revela sobre a evolução da governança de inteligência artificial e o futuro do Compliance

O Sandbox Regulatório de Inteligência Artificial e Proteção de Dados da ANPD sinaliza uma mudança importante na forma de pensar a governança de IA. A questão já não é apenas estabelecer regras para dizer o que pode ou não ser feito, mas criar mecanismos capazes de experimentar, avaliar riscos, acompanhar resultados e ajustar controles conforme a tecnologia evolui.

Para as empresas, essa mudança traz uma consequência prática: a governança de IA precisa começar antes que os riscos apareçam. Transparência, explicabilidade, proteção de dados, avaliação contínua de riscos e supervisão humana deixam de ser preocupações isoladas e passam a integrar o ciclo de vida das soluções.

Nesse cenário, o Compliance também pode assumir um papel mais estratégico. Em vez de atuar somente de forma reativa diante de incidentes ou novas obrigações regulatórias, a área pode participar desde a concepção das soluções, ajudando a definir responsabilidades, avaliar riscos, estabelecer controles e acompanhar a evolução dos sistemas.

O principal aprendizado do Sandbox, portanto, vai além da própria iniciativa regulatória: experimentar, aprender e adaptar-se pode se tornar parte essencial da governança de inteligência artificial. Para as organizações, começar esse movimento agora significa construir estruturas capazes de acompanhar a inovação sem abrir mão de controle, responsabilidade e julgamento humano.