Em agosto de 2026, a Agência Nacional de Proteção de Dados (ANPD) instaurou um Processo de Fiscalização e Monitoramento voltado a avaliar como plataformas de inteligência artificial, aplicativos e lojas de aplicativos estão se preparando para cumprir as novas obrigações determinadas pelos Decretos nº 12.975/2026 e nº 12.976/2026. Mas sobre o que se trata essa fiscalização e monitoramento? 

Vamos lá?

1. Qual a finalidade do processo? 

A finalidade do procedimento é, essencialmente, preventiva e orientativa, baseada em risco. Com ele, a ANPD busca identificar lacunas de conformidade e compreender os mecanismos adotados pelos regulados.

A ANPD está interessada em saber em que estágio de preparação estão as plataformas e demais agentes envolvidos e quais medidas já foram adotadas, ou ainda estão sendo desenvolvidas, para cumprir as novas obrigações.

Para isso, os agentes selecionados serão chamados a apresentar informações sobre:

• medidas já implementadas;

• políticas internas;

• procedimentos;

• mecanismos técnicos;

• estruturas de governança;

• planos de ação;

• mecanismos de prevenção e mitigação de riscos.

Depois de receber as respostas, a ANPD pretende organizar essas informações em uma Nota Técnica, identificando os mecanismos e procedimentos adotados pelos agentes e eventuais lacunas de conformidade. Esse material deverá subsidiar as próximas etapas de atuação da Agência.

2 - Onde ele se encaixa na atuação da ANPD?

O monitoramento faz parte de uma estratégia mais ampla da Agência para acompanhar a implementação dos novos decretos.

O Conselho Diretor da ANPD aprovou, por meio do Despacho Decisório CD/ANPD nº 95/2026, um cronograma que prevê, em sua etapa inicial, procedimentos de monitoramento do cumprimento dos deveres estabelecidos pelos Decretos nº 12.975/2026 e nº 12.976/2026. Entre as ações previstas está justamente o monitoramento da geração e modificação de conteúdo íntimo por inteligência artificial, com foco nos riscos relacionados à produção e disseminação desse tipo de conteúdo.

Assim, o processo não surgiu de forma isolada: ele está inserido em um planejamento mais amplo da Agência para acompanhar a adaptação dos agentes regulados às novas regras.

Por isso, é preciso olhar para as mudanças regulatórias que deram início ao processo de monitoramento. 

Em 20 de maio de 2026, foram editados dois Decretos (o Decreto nº 12.975/2026, e o Decreto nº 12.976/2026), que introduziram novas obrigações relacionadas à atuação de provedores de aplicação de internet.

O Decreto nº 12.975/26 alterou o Decreto nº 8.771/2016, que regulamenta o Marco Civil da Internet (MCI), estabelecendo novos deveres para provedores de aplicações. 

Já o Decreto nº 12.976/2026 estabelece diretrizes para a proteção de mulheres na internet e para o enfrentamento da violência contra mulheres no ambiente digital. 

É nesse contexto que surge o Processo de Fiscalização e Monitoramento, que se atenta à prevenção, mitigação e resposta a práticas como a geração e modificação não autorizada de conteúdo íntimo de terceiros.

O objetivo é coletar informações e avaliar as medidas, os procedimentos, mecanismos e os planos de ação adotados pelos agentes regulados para cumprir essas novas obrigações. Em especial, a ANPD pretende verificar como eles estão se preparando para impedir, mitigar, identificar e eliminar a geração, modificação, disseminação ou disponibilização de conteúdo íntimo não autorizado. 

Importa notar que o processo não é sobre “deepfakes” em geral, uma vez que a Agência vai além da análise de conteúdos manipulados por inteligência artificial. A ANPD está se atentando a tecnologias capazes de gerar, modificar ou simular imagens, vídeos, áudios ou outras formas de representação de uma pessoa, quando utilizadas para produzir ou alterar conteúdo íntimo de terceiros sem autorização. 

Portanto, o foco não é meramente descobrir se uma plataforma possibilita a produção de “deepfakes", mas verificar quais mecanismos existem para prevenir e limitar o uso dessas tecnologias para a produção e circulação de conteúdo íntimo não autorizado. 

2. Quem está sendo monitorado?

O procedimento foi planejado em duas fases, e a segunda deverá envolver outros aplicativos selecionados pela Agência a partir de critérios de relevância e alcance no Brasil.

A primeira fase do processo envolve plataformas de inteligência artificial generativa e as duas principais lojas de aplicativos (Apple Store e Google Play), pelas razões que vamos abordar mais à frente.

Convém ressaltar que a seguinte lista não significa que o processo ficará limitado somente a essas aplicações.

A decisão de instauração identificou inicialmente:

• ChatGPT;

• Gemini;

• Meta AI;

• Microsoft Copilot;

• Claude;

• DeepSeek;

• Perplexity;

• Apple App Store;

• Google Play Store.

O Grok, embora apareça entre as aplicações de IA consideradas relevantes pela própria documentação, não foi incluído nessa primeira seleção porque já era objeto de outra ação de fiscalização da ANPD.

3. Como a ANPD escolhe os aplicativos analisados?

A seleção dos agentes segue uma lógica baseada em risco e relevância.

A ANPD considera, entre outros fatores:

• alcance das aplicações;

• número de downloads;

• natureza das funcionalidades oferecidas;

• potencial lesivo;

• relevância no ecossistema digital;

• relevância em território nacional.

Na primeira fase, a ANPD irá identificar quais as aplicações disponíveis no Brasil que podem apresentar riscos para mulheres no ambiente digital e encaminhará essa relação às lojas de aplicativos. A Google Play Store e a App Store, em particular, deverão fornecer dados como o número de downloads no Brasil entre abril e julho de 2026, além de informações sobre os responsáveis pelos aplicativos e sobre eventuais aplicações relevantes que não tenham sido identificadas pela Agência. Essas informações serão utilizadas para definir os agentes regulados da segunda fase do monitoramento.

Após receber os dados das lojas, a ANPD pretende selecionar os aplicativos a serem considerados agentes monitorados de modo a cobrir, no mínimo, 95% dos downloads realizados em território nacional no período analisado.

Disso resulta que a análise da Agência não será feita indiscriminadamente a todos os aplicativos disponíveis, mas concentrará o monitoramento naqueles que atendam aos critérios definidos no processo, considerando fatores como alcance, relevância em território nacional, natureza das funcionalidades e potencial lesivo.

4. O que a ANPD irá analisar?

O processo analisa políticas, governança, procedimentos internos e mecanismos técnicos das plataformas para quando um problema é identificado.

Essas ações da Agência refletem um olhar de prevenção da Agência a fim de verificar se a estrutura da plataforma favorece a disseminação em massa de ilícitos. 

A metodologia define que serão analisados 5 grandes grupos:

Políticas e critérios para disponibilização de aplicativos e funcionalidades

A primeira questão a ser analisada pela ANPD é sobre quais regras as plataformas possuem para decidir se uma aplicação ou funcionalidade que pode gerar ou modificar conteúdo íntimo de terceiros pode ser disponibilizada aos usuários.

Não basta a empresa afirmar que possui regras contra a geração ou modificação não autorizada de conteúdo íntimo. A ANPD quer conhecer as políticas e os critérios efetivamente utilizados para decidir quando determinadas aplicações ou funcionalidades destinadas à geração, edição, manipulação ou modificação de conteúdo íntimo envolvendo terceiros são disponibilizadas aos usuários. 

Para tanto, a ANPD determina que sejam analisados:

• as políticas utilizadas pelos agentes;

• os critérios utilizados para permitir, restringir ou impedir a disponibilização de aplicativos e funcionalidades capazes de gerar ou modificar conteúdo íntimo de terceiros;

• os parâmetros empregados para avaliação de riscos.

Dessa forma, na prática, a ANPD está examinando a existência e a estrutura das regras internas de decisão, e como elas afloram nas decisões tomadas nessas situações.

Caso a plataforma possua regras específicas para lidar com aplicações ou funcionalidades que possam ser utilizados para gerar ou modificar conteúdo íntimo de terceiros, a empresa deverá informar, dentre outras previsões:

• se a política é pública;

• onde ela pode ser consultada;

• quais critérios e parâmetros são utilizados;

• como é tomada a decisão sobre a disponibilização da aplicação ou funcionalidade.

Mecanismos técnicos e procedimentos para prevenir e detectar usos indevidos

Aqui, a ANPD analisará o que já existe dentro da própria tecnologia e dos procedimentos internos da plataforma. O objetivo é verificar a existência, efetividade, concretude, e a suficiência de mecanismos destinados a impedir ou limitar a geração e modificação não autorizada de conteúdo íntimo.

Para além da existência de mecanismos de proteção, a verificação de que essas medidas funcionam, de fato, passam por uma análise que inclui:

• avaliação;

• revisão;

• monitoramento das aplicações;

• auditorias;

• testes de segurança;

• revisões periódicas;

• outros mecanismos destinados a verificar a efetividade das medidas de proteção.

No caso das lojas de aplicativos, por exemplo, a ANPD pergunta se são realizadas auditorias, monitoramentos ou revisões periódicas dos aplicativos disponibilizados. Quando essas verificações existem, a Agência quer saber:

• como são realizadas;

• quais critérios ou parâmetros são utilizados (metodologia);

• se abrangem todos os aplicativos ou apenas determinadas categorias;

• se priorizam aplicações consideradas de maior risco (critérios de avaliação);

• com que frequência são realizadas (periodicidade).

Medidas preventivas e corretivas diante de usos indevidos 

Esse quarto grupo trata do que acontece quando a plataforma identifica um problema. A ANPD quer saber quais medidas são adotadas quando ocorre:

• uso indevido;

• violação das políticas internas;

• descumprimento das normas legais ou regulamentares.

Também são analisados os procedimentos utilizados para:

• restringir funcionalidades;

• suspender funcionalidades ou aplicações;

• remover funcionalidades ou aplicações, quando cabível.

No caso das lojas, por exemplo, a ANPD pergunta quais providências podem ser tomadas quando uma aplicação viola suas políticas ou a legislação. Entre as possibilidades mencionadas estão:

• solicitação de adequação;

• restrição de funcionalidades;

• suspensão;

• remoção do aplicativo;

• outras providências.

A Agência também quer saber como a decisão é tomada e o que acontece depois dela. 

Medidas específicas das lojas de aplicativos 

O quinto grupo aqui analisado é direcionado especificamente às lojas de aplicativos. A App Store e a Google Play estão sendo monitoradas em razão do papel que elas desempenham no ecossistema de aplicativos.

Segundo a ANPD, as lojas participam da disponibilização, intermediação, distribuição e eventual indisponibilização das aplicações oferecidas ao público. Além disso, as lojas possuem informações relevantes sobre a presença dessas aplicações no mercado brasileiro, seus indicadores de alcance e as empresas responsáveis por elas.

Por isso, a ANPD também pretende verificar quais critérios e mecanismos as lojas utilizam para aprovar, revisar, manter, remover ou bloquear aplicativos disponibilizados em suas plataformas. A análise envolve:

• critérios de aprovação;

• critérios de revisão;

• critérios de permanência;

• procedimentos de gestão da qualidade;

• políticas de remoção ou bloqueio;

• mecanismos de governança, prevenção e fiscalização;

• procedimentos adotados quando são identificadas violações.

Essa atuação é particularmente relevante porque a ANPD considera a possibilidade de existirem aplicativos cujo propósito seja ilícito desde sua concepção, inclusive voltados à criação ou à modificação não autorizada de conteúdo íntimo de terceiros.

Além das medidas específicas examinadas em relação às aplicações e às lojas, o processo também busca avaliar aspectos mais amplos da implementação das novas obrigações regulatórias. Entre eles estão:

• transparência;

• dever de cuidado;

• configurações-padrão;

• gestão de riscos sistêmicos;

• proteção das mulheres no ambiente digital;

• prevenção da disseminação de conteúdo íntimo não consensual.

Esses elementos não devem ser entendidos como um conjunto separado de novas categorias de perguntas, e aparecem como aspectos transversais da análise da capacidade das plataformas de cumprir as obrigações regulamentares.

Governança

A ANPD pretende verificar se existem estruturas e mecanismos internos capazes de transformar as obrigações legais em políticas, procedimentos, controles e decisões concretas.

O texto é concreto e direto: a Agência efetivamente pretende verificar se existem estruturas e mecanismos internos capazes de implementar as obrigações regulamentares.

Assim, a governança, dentro dos limites do documento, deve ser entendida como a estrutura interna que permite transformar as obrigações normativas em políticas, procedimentos, controles e decisões concretas.

Transparência

O processo pretende verificar o estágio de implementação das exigências regulamentares relacionadas à transparência, juntamente com dever de cuidado, configurações-padrão e gestão de riscos sistêmicos.

Além disso, o documento afirma que a análise contemplará mecanismos de transparência entre os instrumentos utilizados para atender às exigências regulamentares.

Na prática, isso significa, por exemplo, que no ofício destinado às lojas, a ANPD pode perguntar se há uma política específica e, havendo, aprofundar seus questionamentos a fim de saber, se ela é pública, onde pode ser consultada, quais critérios e parâmetros são utilizados, etc. 

Assim, dentro deste processo, transparência está ligada principalmente à possibilidade de conhecer as políticas e os critérios que orientam a atuação das plataformas.

Gestão de riscos sistêmicos

A ANPD pretende identificar o estágio de implementação das exigências relacionadas à gestão de riscos sistêmicos, tendo como finalidade a proteção de mulheres no ambiente digital e a prevenção da divulgação de conteúdo íntimo não autorizado. O documento relaciona isso ao dever de cuidado.

Segundo os ofícios, o dever de cuidado exige medidas que sejam diligentes, proporcionais e compatíveis com o estado da técnica, para prevenir, identificar, avaliar, mitigar e responder a riscos sistêmicos criados ou potencializados pelas atividades dos provedores.

Configurações-padrão

Embora a expressão "configurações-padrão" apareça expressamente no processo como um dos aspectos cujo estágio de implementação a ANPD pretende identificar, esse elemento não recebe o mesmo detalhamento operacional que os cinco grupos de solicitações.

Ou seja, o processo afirma que configurações-padrão serão consideradas, mas não desenvolve, nesse trecho metodológico, uma lista específica de quais configurações-padrão deverão ser examinadas.

5. Pode haver punição?

Embora seja um procedimento de monitoramento preventivo, a própria ANPD deixa claro que, se forem encontrados indícios de descumprimento, os agentes poderão ser encaminhados para medidas fiscalizatórias específicas ou procedimentos sancionadores.

6. Por que o Processo é importante para a sociedade?

À primeira vista, porque transforma a proteção contra deepfakes em uma obrigação das plataformas. Durante muito tempo, o debate sobre deepfakes ficou concentrado somente nas medidas reparatórias às vítimas.  O processo da ANPD introduz uma lógica preventiva, indagando o que as plataformas fizeram para evitar que a tecnologia fosse usada dessa maneira.

Isso significa uma mudança importante de paradigma: a responsabilidade passa a envolver prevenção do risco, e não somente reação ao dano.

Soma-se à isso o fato de que mulheres estão no centro da proteção, e de forma concreta, no ambiente digital. 

Também porque ele pode estabelecer um padrão de "dever de cuidado" para a IA no Brasil. Aos poucos, a ANPD está transformando conceitos relativamente abstratos, como dever de cuidado, gestão de riscos, governança, prevenção e mitigação, em perguntas concretas para as empresas, que ajudam a definir o que significa, concretamente, uma plataforma cumprir seu dever de cuidado.

E porque isso nos afeta diretamente, já que o processo envolve algumas das tecnologias que usamos todos os dias como o ChatGPT, Gemini, Claude, Copilot, Meta AI, DeepSeek e Perplexity.

Portanto, não estamos falando de uma tecnologia distante, mas de ferramentas que podem estar presentes no cotidiano de milhões de pessoas.

Até a próxima!