Decisão de IA que afeta cliente agora tem dono: você
Equipe Viver de IA · 2026-10-11
A ANPD consolidou a regra sobre decisões automatizadas e o recado pra quem roda IA no atendimento, no crédito e no RH é direto.
O essencial
- A ANPD sinalizou, com a Nota Técnica nº 12/2025, que passará a cobrar o artigo 20 da LGPD, que já exige explicação de decisões automatizadas que afetam titulares de dados.
- A capacidade de explicar uma decisão de IA não se adiciona depois do sistema construído; o fluxo precisa registrar entradas, regras e saídas desde o momento do desenho.
- Invocar segredo comercial para não explicar critérios ativa, pelo parágrafo 2º do artigo 20, o direito de auditoria da ANPD sobre aspectos discriminatórios.
- A Nota Técnica faz parte da Agenda Regulatória da ANPD para 2025-2026 e conversa com o PL nº 2338/2023, indicando direção regulatória definida, mesmo que o texto final ainda esteja em construção.
A ANPD acabou de deixar claro que quem usa IA pra decidir sobre uma pessoa vai precisar explicar como decidiu. Em 15 de maio de 2025, a Coordenação-Geral de Normatização publicou a Nota Técnica nº 12/2025, consolidando as contribuições da Tomada de Subsídios sobre decisões automatizadas. É um passo a caminho de regulamentar o artigo 20 da LGPD, aquele que dá ao titular o direito de pedir revisão de decisão tomada só por máquina.
Pra maioria das empresas brasileiras isso soa como assunto de departamento jurídico. Na nossa leitura, é assunto de quem configura o fluxo de IA. E são pessoas diferentes.
O que muda pra quem já roda IA no atendimento e no crédito
A nota técnica em si não cria obrigação nova da noite pro dia. Ela é um movimento regulatório, consolidando contribuições e sinalizando que a ANPD pretende aprofundar o tema com guias e estudos técnicos. Mas ignorar o sinal porque "ainda não é lei" é o erro clássico de quem gosta de apanhar duas vezes.
O artigo 20 já está na LGPD desde sempre. O que faltava era a autoridade dizer como vai cobrar. Agora ela está dizendo que vai cobrar, e está olhando especificamente pra decisão automatizada que afeta o interesse do titular: perfil de consumo, crédito, aspectos da personalidade.
Se a sua IA decide quem recebe um limite, quem passa numa triagem, qual lead é "bom" e qual é "ruim", você está no escopo. E o parágrafo 1º do artigo 20 é explícito: quando solicitado, o controlador tem que fornecer informações claras sobre os critérios e procedimentos da decisão.
Claras. Não "o algoritmo decidiu".
A parte que quase todo mundo vai interpretar errado
A leitura preguiçosa é: "então basta botar um humano no final pra validar". Coloca um aprovador simbólico no fluxo, clica em "ok" o dia inteiro, e pronto, deixou de ser decisão "unicamente" automatizada.
Isso não protege ninguém. Um humano que carimba 400 decisões por dia sem olhar é decisão automatizada com teatro. A discussão sobre o que conta como revisão humana efetiva é justamente o tipo de coisa que a ANPD vai detalhar nos próximos guias, e ainda não dá pra cravar onde ela vai traçar a linha. A gente não sabe, e quem diz que sabe está chutando.
O que dá pra cravar: montar o teatro agora pra se proteger de uma regra que ainda vai ser escrita é apostar no detalhe errado.
Um humano que carimba 400 decisões por dia sem olhar é decisão automatizada com teatro.
A segunda interpretação errada é achar que isso trava o uso de IA. Não trava. O parágrafo 2º deixa aberto que a ANPD pode auditar aspectos discriminatórios quando a empresa se recusa a explicar alegando segredo comercial. O recado é sobre transparência e rastreabilidade, não sobre proibir automação.
Explicar como a IA decidiu começa no dia em que você monta o fluxo
Aqui está o ponto que a gente carrega de implementar IA em operação de verdade: a capacidade de explicar uma decisão não se adiciona depois. Ou o fluxo já registra o que entrou, qual regra rodou e por que a saída foi aquela, ou você vai estar reconstruindo evidência no meio de uma solicitação do titular, torcendo pra bater.
Quem desenha IA pensando só em "funciona" entrega uma caixa preta. Quem desenha pensando em operação entrega uma caixa que grava.
Tem diferença prática e ela aparece cedo. Na Asap Telecom, a solução de IA foi montada pra registrar automaticamente interações e insights de análise comercial, integrada ao CRM Pipedrive, o que acelerou em 5x as decisões. O ganho era velocidade, mas o efeito colateral é exatamente o que o artigo 20 vai pedir: cada decisão deixou um rastro de onde veio.
A mesma lógica apareceu na Hubvox by JT, com a assistente Luzia qualificando leads no WhatsApp mais as automações que transcrevem chamadas e analisam comportamento via IA, um conjunto que gerou R$ 60.000 em receita. A qualificação é automatizada, mas transcrita e registrada. Se amanhã um lead reclamar de como foi tratado, existe o histórico.
Não foi feito pra compliance. Foi feito pra operar direito. E operar direito já cobre boa parte do que a ANPD está sinalizando.
Segredo comercial não é escudo contra auditoria
Tem uma armadilha no parágrafo 1º que vale sublinhar. A empresa pode invocar segredo comercial e industrial pra não abrir os critérios. Parece uma saída confortável.
Mas o parágrafo 2º é a resposta a essa saída: se você recusa informação alegando segredo, a autoridade pode auditar pra verificar aspectos discriminatórios. Ou seja, o escudo do segredo aciona o holofote da auditoria. Quem acha que vai se esconder atrás de "é proprietário" só trocou a obrigação de explicar pela obrigação de ser fiscalizado.
A gente discorda frontalmente da ideia de que modelo fechado te protege. Modelo que você não consegue explicar é passivo, não ativo.
O que a nota técnica sinaliza sobre o resto da regulação de IA
A Nota Técnica nº 12/2025 não existe sozinha. Ela faz parte do Item 7 da Agenda Regulatória da ANPD para o biênio 2025-2026, que trata de regular IA sob a ótica de proteção de dados, e conversa com o Projeto de Lei nº 2338/2023, em tramitação no Senado, o marco legal da IA. A ANPD também já se formalizou como coordenadora do Sistema Nacional de Regulação e Governança de IA.
Traduzindo pro dono de empresa: a direção está definida, a velocidade ainda não. Vai sair guia, vai sair norma, e a autoridade que vai tocar isso é a mesma que já aplica a LGPD. Quem tratou LGPD como formalidade de cookie na época vai refazer o mesmo erro com IA se continuar esperando o texto final pra agir.
O que fazer com isso agora
Não precisa de advogado pra começar. Precisa de clareza sobre onde a IA decide algo que afeta uma pessoa.
- Liste onde a IA toma ou influencia decisão sobre cliente, candidato ou tomador de crédito. Essas são as áreas de risco sob o artigo 20.
- Verifique, em cada uma, se o fluxo registra o que entrou e por que a saída foi aquela. Se não registra, é cego, e cego não se explica.
- Pare de confiar em "humano no final" como blindagem. Revisão que vale é revisão que olha.
- Trate rastreabilidade como requisito de desenho, não como ajuste posterior. Quem automatiza do zero com registro embutido sai na frente de quem terá que reconstruir.
- Se você não tem mapa de onde a IA decide na sua operação, comece por aí com o diagnóstico de IA antes de automatizar mais qualquer coisa.
A regra ainda está sendo escrita. A operação que vai ter que respondê-la, essa já está rodando na sua empresa hoje.
Fonte: ANPD publica nota técnica sobre decisões automatizadas em IA
Relacionados
Automação com IA: o guia completo
Soluções de IA prontas para empresas
IA no jurídico brasileiro: o ganho de tempo não é o ponto
900 mil modelos no Hugging Face: por que isso não é vantagem
Perguntas frequentes
A minha empresa já é obrigada a explicar as decisões tomadas por IA?
O artigo 20 da LGPD já obriga o controlador a fornecer informações claras sobre critérios e procedimentos quando o titular solicitar; a Nota Técnica nº 12/2025 da ANPD sinaliza que a autoridade passará a cobrar esse cumprimento.
Basta colocar um humano para aprovar as decisões da IA para estar em conformidade?
Não. Um humano que valida centenas de decisões por dia sem análise real é considerado decisão automatizada com aparência de revisão, o que não elimina o risco regulatório.
Invocar segredo comercial protege minha empresa de ter que explicar o algoritmo?
Não. O parágrafo 2º do artigo 20 da LGPD prevê que, ao recusar informações alegando segredo, a empresa fica sujeita a auditoria da ANPD para verificar aspectos discriminatórios.
Que tipos de decisões da minha operação estão no escopo dessa regulação?
Decisões automatizadas que afetam perfil de consumo, concessão de crédito, triagem de candidatos ou classificação de leads estão explicitamente no escopo do artigo 20 da LGPD.
O que preciso fazer agora, antes de a regulamentação final ser publicada?
Mapear onde a IA toma ou influencia decisões sobre pessoas e verificar se cada fluxo registra os dados de entrada e os critérios que geraram a saída; rastreabilidade precisa ser requisito de desenho, não ajuste posterior.
Isto não é teoria. É o que já implementamos.
521 cases reais, todos com número aberto, e 159 soluções de IA prontas para empresas brasileiras.