LGPD e IA no marketing: o que a fiscalização da ANPD muda
A Autoridade Nacional de Proteção de Dados publicou o mapa do que vai fiscalizar até 2027, e o marketing entrou na lista por duas portas ao mesmo tempo: o uso secundário de dado pessoal para publicidade direcionada e o uso de inteligência artificial sobre dado pessoal. Para quem roda campanha com automação, isso significa que LGPD e IA no marketing deixaram de ser dois assuntos que moram em áreas separadas da empresa.
A gente vê muita equipe tratando privacidade como tema de jurídico e IA como tema de tecnologia. Na prática, quem junta os dois é o marketing, porque é ali que o dado pessoal encontra a ferramenta que decide alguma coisa. Este texto mostra o que a ANPD colocou no radar, onde LGPD e IA se cruzam dentro da sua operação e o que dá pra ajustar sem parar de entregar.
O que a ANPD colocou no mapa de fiscalização
Em dezembro de 2025, a ANPD aprovou a Resolução CD/ANPD nº 30/2025, que define o Mapa de Temas Prioritários para o biênio 2026-2027. O documento organiza a fiscalização em quatro eixos e dá previsibilidade sobre onde a agência vai bater primeiro.
Dado
Onde a ANPD concentra a fiscalização no biênio 2026-2027
Ações de fiscalização previstas por eixo temático
Fonte: Resolução CD/ANPD nº 30/2025, via Martinelli Advogados, dezembro de 2025.
Dentro do eixo de direitos dos titulares, dez ações olham para dados biométricos, de saúde e financeiros. Outras cinco olham especificamente para o uso secundário de dado pessoal na entrega de publicidade comercial direcionada, com atenção às técnicas de perfilamento. O eixo de inteligência artificial concentra vinte ações e fica para 2027. O TELETIME apurou que a agência planeja ao menos 75 atividades de fiscalização no período.
Repare no calendário. A fiscalização sobre publicidade direcionada começa antes da fiscalização sobre IA. Quem faz mídia paga e automação de audiência tem menos tempo de preparação do que imagina.
Vale entender o que essa fiscalização é na prática. A ANPD não aparece na porta da empresa. Ela abre um procedimento, pede documento e dá prazo. O pedido costuma ser específico: qual a finalidade do tratamento, qual a base legal, como o titular exerce os direitos dele, quem são os operadores contratados. Empresa que tem esse material escrito responde em dias. Empresa que não tem passa três semanas remontando a própria operação de memória, e ainda descobre no caminho coisa que preferia não ter descoberto.
LGPD e IA no marketing: os quatro pontos onde a operação encosta na lei
Não adianta procurar um “artigo sobre IA” na LGPD, porque ele não existe. A conversa de LGPD e IA começa nas obrigações que já valem para qualquer tratamento de dado pessoal, inclusive o que passa pela ferramenta que a sua equipe adotou no mês passado sem avisar ninguém. São quatro pontos de contato.
O dado que entra na ferramenta
Toda vez que alguém cola uma base de leads num modelo de linguagem para segmentar, escrever ou classificar, isso é tratamento de dado pessoal aos olhos da LGPD. A finalidade precisa estar amparada, e o fornecedor da ferramenta passa a ser operador. Se a base tem CPF, telefone ou histórico de compra, o risco sobe junto.
O perfilamento que decide o anúncio
Esse é o ponto mais exposto. Quando a IA cruza comportamento, histórico e sinais de terceiros para montar uma audiência, ela está fazendo perfilamento. É exatamente a prática que aparece nominalmente no mapa da ANPD. Quem trabalha com personalização de jornada com IA precisa saber responder de onde veio cada sinal que alimentou aquela segmentação.
O detalhe que pega a maioria é o uso secundário. O dado foi coletado para uma finalidade, normalmente entregar um material ou concluir uma compra, e depois foi reaproveitado para montar público semelhante numa plataforma de anúncio. Essa segunda finalidade precisa de amparo próprio na LGPD. Ela não herda automaticamente o consentimento da primeira.
A decisão automatizada e o direito de revisão
O artigo 20 da Lei 13.709/2018 garante ao titular pedir revisão de decisões tomadas só por tratamento automatizado que afetem seus interesses. Um score de lead que define quem recebe proposta e quem entra na fila fria cabe nessa conversa. Se o seu processo de geração de leads com IA pontua e descarta pessoas sozinho, alguém precisa conseguir explicar o critério.
O fornecedor que ninguém aprovou
A equipe testa uma ferramenta nova, gosta, adota. Seis meses depois ela está no meio do processo, com acesso a base de cliente, sem contrato de tratamento de dados e fora de qualquer inventário de LGPD. Isso tem nome no mercado de segurança: shadow AI. E é uma das causas de incidente que mais cresceu.
O buraco real: investe em IA, não investe no dado
O dado que alimenta a IA é o mesmo dado que a ANPD vai olhar. E é justamente aí que a maioria das empresas está descoberta. O Índice de Maturidade Tecnológica em Marketing B2B, da Live University com o Ibramerc, mostrou em julho de 2026 que a intenção de investir em IA convive com a decisão explícita de não investir em organizar a base.
Fontes: IMTM/IMTV, Live University e Ibramerc (jul. 2026) e IBM, Cost of a Data Breach 2025, recorte Brasil.
Metade das empresas vai colocar IA em cima de uma base que ela mesma sabe que está suja. Dado duplicado, contato desatualizado, origem não registrada. Isso já era problema de eficiência. Agora virou problema de LGPD e IA ao mesmo tempo, porque quando o fiscal pergunta a origem do dado, “veio de uma lista antiga” não é resposta.
O mesmo levantamento aponta que 39% das empresas relatam dificuldade de conexão entre as plataformas de marketing. Sistema desconectado significa dado espalhado em cinco lugares, cada um com uma cópia parcial do mesmo contato. Quando alguém exerce o direito de exclusão, a empresa apaga o registro de um sistema e deixa os outros quatro intactos. Do ponto de vista da LGPD, o dado continua sendo tratado.
O que a falta de governança custa quando dá errado
O relatório da IBM sobre custo de violação de dados trouxe um recorte de IA pela primeira vez, e o retrato brasileiro é ruim. Além dos 87% sem política de governança, 61% das organizações no país não têm controle de acesso às ferramentas de IA. Uma em cada cinco relatou violação causada por shadow AI, e só 37% mantêm política para gerenciar ou detectar esse uso.
O custo médio de uma violação de dados no Brasil chegou a R$ 7,19 milhões em 2025, uma alta de 6,5% sobre o ano anterior. Segundo o mesmo levantamento, tecnologia de governança de IA reduz esse custo em mais de R$ 600 mil.
Some a isso a sanção administrativa. A LGPD prevê multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração. E o marco legal da IA, o PL 2338/2023, segue tramitando na Câmara com previsão de sanções na mesma ordem de grandeza. A camada regulatória está sendo construída enquanto a operação já roda, e é por isso que a gente insiste em resolver LGPD e IA no marketing agora, com o desenho atual, em vez de esperar o texto final da lei.
Quem adota IA mais rápido do que organiza o dado está antecipando o resultado e adiando o risco. A conta chega junto.
Como ajustar LGPD e IA no marketing sem travar a operação
A parte boa é que quase tudo que resolve LGPD e IA é trabalho de organização, não de freio. A gente aplica esta sequência nas contas que opera, e ela cabe numa semana de esforço concentrado.
1. Inventário de ferramentas
Liste toda ferramenta de IA que toca dado de cliente ou de lead. Inclua as que alguém assinou no cartão pessoal. Esse inventário é o primeiro documento que a ANPD pede e a base de qualquer resposta sobre LGPD. Sem esse mapa, qualquer política vira ficção.
2. Finalidade e base legal por fluxo
Para cada fluxo, escreva em uma linha o que ele faz com o dado e qual base legal da LGPD sustenta aquilo. Consentimento, execução de contrato, legítimo interesse. Se ninguém consegue escrever a linha, o fluxo precisa mudar.
3. Contrato com o fornecedor
Toda ferramenta que processa dado pessoal precisa de contrato de tratamento, com cláusula sobre uso do dado para treinar modelo. Muita plataforma treina por padrão e deixa o opt-out escondido no painel.
4. Registro da decisão automatizada
Guarde o critério que a IA usou para pontuar, segmentar ou descartar. Não precisa ser sofisticado. Precisa existir no dia em que o titular pedir revisão.
5. Ponto humano de aprovação
Defina onde a decisão sai da máquina e passa por gente. Esse é o mesmo desenho que a gente descreve em governança de agentes de IA no marketing, e ele resolve conformidade e qualidade no mesmo movimento.
6. Prazo de retenção
Dado de lead que nunca respondeu não pode viver para sempre na base. Defina prazo, aplique, registre.
Conformidade entra no fluxo que já existe
O erro comum é tratar isso como um projeto com início, meio e fim, tocado pelo jurídico, entregue num PDF. Some no mês seguinte. O que funciona é embutir os seis pontos no fluxo que já roda, do jeito que a gente descreve na operação de marketing com IA: cada agente tem escopo declarado, cada fluxo tem dono, cada decisão automatizada tem registro. Tratados assim, LGPD e IA no marketing viram uma camada do processo, com dono e prazo, em vez de um assunto que aparece quando alguém se assusta.
Isso conversa direto com a discussão de institucionalização da IA. Empresa que institucionaliza escreve política, define orçamento e treina o time. Empresa que só adota ferramenta acumula risco silencioso até alguém perguntar de onde veio aquele dado.
Vale dizer o óbvio: LGPD bem resolvida melhora resultado. Base limpa segmenta melhor. Origem registrada permite medir canal de verdade. Critério explícito de score permite corrigir o modelo quando ele erra. As empresas que a gente acompanha com operação estruturada tratam LGPD e IA no mesmo fluxo de trabalho e ganham nos dois lados.
Por onde começar esta semana
Faça o inventário de ferramentas hoje. É a tarefa mais barata e a que revela mais coisa. Na maior parte das operações, a lista final tem o dobro de itens que o gestor imaginava, e umas três ferramentas com acesso a base de cliente que ninguém lembrava de ter aprovado.
Depois escolha o fluxo que mexe com mais dado pessoal, normalmente captação ou automação de audiência, e resolva ele inteiro: finalidade, base legal, contrato, registro, retenção. Um fluxo bem resolvido vira modelo para os outros e cobre boa parte do que a LGPD cobra.
O calendário da ANPD já está publicado, e a fiscalização sobre publicidade direcionada vem antes da fiscalização sobre IA. Dá tempo de chegar organizado, e tratar LGPD e IA no marketing como parte do desenho da operação é o que separa quem se prepara de quem improvisa depois. Se quiser ver como a gente monta esse desenho na prática, dá uma olhada nos cases ou fale com a gente para um diagnóstico da sua operação.