A ANPD virou agência reguladora. Sua IA de vendas está exposta?

A sua operação comercial ainda trata a política de privacidade como aquele link discreto no rodapé do site? Se sim, é hora de rever essa postura. Em fevereiro de 2026, a Lei nº 15.352 transformou a Autoridade Nacional de Proteção de Dados numa agência reguladora de fato, no mesmo patamar institucional de Anatel, Anac e Aneel. Não é um ajuste cosmético de nome. A nova ANPD ganhou orçamento próprio, carreira específica de fiscais concursados e, principalmente, poder de polícia: interdição de estabelecimentos, apreensão de equipamentos e requisição de força policial em caso de resistência.

Enquanto isso acontecia nos bastidores institucionais, milhares de times comerciais brasileiros adotaram ferramentas de inteligência artificial para prospecção, qualificação de leads e disparo de cadências em escala. A promessa era sedutora: mais volume, menos esforço manual, respostas mais rápidas. O que poucos gestores pararam para revisar foi a base legal por trás de cada lista importada, de cada enriquecimento de contato e de cada mensagem gerada automaticamente.

Essa combinação virou um ponto cego real. Só em junho de 2026, a ANPD abriu dezenas de novos processos administrativos, mais do que em anos inteiros do período anterior. O setor de vendas e atendimento ao cliente está entre os alvos prioritários da fiscalização, justamente porque concentra grandes volumes de dados pessoais tratados sem muita formalidade.

Se você comanda uma operação comercial e sua equipe usa IA para encontrar, enriquecer ou abordar potenciais clientes, este texto foi escrito para você. Vamos analisar o que mudou de fato na estrutura da ANPD, por que a régua de prospecção comercial virou alvo prioritário, quais práticas comuns escondem risco real e como estruturar uma operação de vendas com IA que sobrevive a uma fiscalização. Nada de teoria jurídica genérica. O objetivo aqui é te dar um roteiro aplicável, com os mesmos critérios que consultorias de governança de dados usam para auditar operações comerciais.

Por que a virada institucional da ANPD pegou o mercado comercial desprevenido

Durante os primeiros anos de vigência da LGPD, boa parte do mercado brasileiro tratou a lei como um checklist de site: política de privacidade publicada, banner de cookies configurado, pronto. A ANPD, até 2023, era vista como um órgão de orientação, mais preocupado em educar do que em punir. A primeira multa pecuniária da história da autoridade só veio em julho daquele ano, aplicada a uma microempresa de telemarketing que vendia listas de contatos do WhatsApp sem qualquer base legal.

Esse cenário mudou de forma estrutural. A Lei nº 15.352/2026, sancionada em 25 de fevereiro, consolidou a ANPD como autarquia especial vinculada ao Ministério da Justiça e Segurança Pública, com autonomia funcional, técnica, decisória, administrativa e financeira. A nova legislação criou 200 cargos efetivos de especialista em regulação de proteção de dados, providos por concurso público, além de um órgão de auditoria interna dedicado à própria transparência da agência.

Dois fatores aceleraram essa transformação. O primeiro foi a entrada em vigor do ECA Digital, em 17 de março de 2026, que exigiu uma estrutura de fiscalização mais robusta para proteger crianças e adolescentes no ambiente virtual. O segundo foi a maturidade institucional acumulada desde 2022, quando a ANPD deixou de ser um órgão vinculado diretamente à Presidência da República para virar autarquia especial, conforme resumiu a própria diretora da agência, Miriam Wimmer, em entrevista sobre a mudança.

Na prática, isso significa três coisas para quem vende. A primeira é que a ANPD publicou, através das Resoluções CD/ANPD nº 30 e 31 de 2025, um Mapa de Temas Prioritários para o biênio 2026-2027, sinalizando publicamente onde vai concentrar a fiscalização. A segunda é que o teto de multa por infração, de até 2% do faturamento ou R$ 50 milhões, deixou de ser uma ameaça abstrata para virar risco real de caixa. A terceira, e talvez a mais ignorada pelas equipes comerciais, é que a agência agora tem corpo técnico permanente para cruzar dados, abrir processos em série e não apenas reagir a denúncias pontuais.

O que sustenta legalmente o uso de dados na sua régua de prospecção

Muitos gestores comerciais ainda operam sob uma crença equivocada: a de que sem consentimento explícito, toda prospecção fria seria ilegal. Não é bem assim. O artigo 7º da LGPD prevê dez bases legais distintas para o tratamento de dados pessoais, e o consentimento é só uma delas, geralmente a menos disponível em operações de prospecção outbound.

Na prática comercial B2B, duas bases sustentam a maior parte das operações: o legítimo interesse e a execução de contrato ou de procedimentos preliminares relacionados a ele. O legítimo interesse permite tratar dados de contato profissional (nome, cargo, e-mail corporativo) desde que exista finalidade legítima, relação razoável com o produto oferecido e medidas que minimizem o impacto sobre o titular. Isso não é uma autorização genérica. A empresa precisa produzir, documentar e guardar um Teste de Legítimo Interesse (a chamada LIA), justificando por que aquele tratamento é proporcional e necessário.

O que muda quando a IA entra na equação

Ferramentas de inteligência artificial ampliam a escala do tratamento de dados, e é exatamente essa escala que preocupa reguladores. Um vendedor que manda cinquenta e-mails por dia consegue, na teoria, justificar cada abordagem individualmente. Um agente de IA que dispara catorze mil mensagens em um mês perde essa capacidade de justificativa caso a caso. A régua de risco sobe junto com a régua de volume.

Some a isso a origem dos dados. Uma base construída a partir de informações públicas oficiais, como o rodapé de um site institucional, o CNPJ registrado na Receita ou o próprio LinkedIn corporativo da empresa, tende a ser mais defensável. Já uma lista adquirida de terceiros sem histórico de como os dados foram coletados, ou extraída por scraping em massa de perfis pessoais, entra numa área cinzenta que a ANPD tem tratado com mais rigor nos últimos processos.

Existe também uma diferença prática entre dado de pessoa jurídica e dado pessoal disfarçado de dado corporativo. O nome do sócio, o e-mail direto de um diretor comercial e o telefone celular de um gestor de compras são, juridicamente, dados pessoais, mesmo quando aparecem num contexto de negócios. É por isso que a prospecção B2B não escapa da LGPD só porque o alvo final da venda é uma empresa. O que muda é a base legal aplicável e o grau de exposição de cada dado, não a incidência da lei em si.

Como blindar sua operação comercial com IA em cinco frentes práticas

Transformar esse conhecimento em rotina exige processo, não boa vontade. Abaixo está o roteiro que operações comerciais mais maduras estão adotando para reduzir exposição sem travar o funil de vendas.

1. Mapeie cada ferramenta de IA que toca dados de prospects

Liste todos os sistemas envolvidos: enriquecimento de contatos, geração automática de mensagens, scoring de leads, chatbots de qualificação. Para cada um, identifique qual dado pessoal é tratado e com qual finalidade. Esse mapeamento é o primeiro documento que qualquer processo de fiscalização vai pedir.

2. Documente a base legal de cada fluxo, não apenas da empresa como um todo

Ter uma política de privacidade genérica no site não cobre o uso específico de uma ferramenta de IA para prospecção. Cada fluxo relevante precisa de sua própria justificativa registrada, incluindo o Teste de Legítimo Interesse quando essa for a base escolhida.

3. Garanta opt-out visível, funcional e rápido

O remetente precisa ser identificável, a opção de descadastro precisa funcionar de fato, e pedidos de saída da base precisam ser processados dentro do prazo legal. Ignorar um opt-out formal já documentado é um dos padrões mais recorrentes nas autuações analisadas por escritórios especializados em compliance de dados.

4. Revise contratos com fornecedores de IA, principalmente os hospedados fora do Brasil

Se a ferramenta de prospecção processa dados de brasileiros em servidores internacionais, o contrato com o fornecedor precisa prever cláusulas de proteção de dados compatíveis com a LGPD. Isso inclui verificar onde os dados são armazenados e por quanto tempo.

5. Audite a origem de cada lista antes de importar para o CRM

Antes de subir uma base nova, pergunte de onde ela veio. Lista comprada sem histórico de coleta, scraping massivo de redes pessoais e cadastros sem qualquer relação com o contexto comercial são os três pontos de maior risco identificados por especialistas que acompanham prospecção B2B em 2026.

A tabela abaixo resume práticas comuns no mercado e o risco real que cada uma carrega sob a fiscalização atual.

Um checklist simples ajuda a colocar essas frentes em prática sem depender de memória:

• Inventário completo das ferramentas de IA usadas na prospecção
• Registro documentado da base legal de cada fluxo de dados
• Teste de Legítimo Interesse arquivado e atualizado
• Opt-out visível, funcional e monitorado
• Contratos de fornecedores de IA revisados por jurídico ou DPO
• Auditoria de origem de toda lista nova antes da importação

Se sua empresa ainda não tem esse desenho formalizado, esse é o momento de estruturar uma governança de dados aplicada à operação comercial, antes que a fiscalização bata primeiro.

Um cenário hipotético para deixar isso concreto

Imagine uma empresa de médio porte, fornecedora de software para o setor logístico, que decidiu acelerar a geração de pipeline contratando uma ferramenta de IA para prospecção. Em três meses, o time comercial importou dezoito mil contatos comprados de um fornecedor de dados, configurou um agente de IA para personalizar e disparar mensagens automaticamente, e nunca documentou de onde vieram esses contatos nem qual base legal sustentava o tratamento.

Um dos contatos, sócio de uma transportadora, pediu descadastro por e-mail. O pedido caiu numa caixa de entrada que ninguém monitorava, e a cadência automatizada continuou disparando mensagens por mais seis semanas. Ele registrou reclamação formal na ANPD. Ao abrir o processo, a autoridade pediu três documentos: o histórico de origem da base de dados, o Teste de Legítimo Interesse referente à campanha e o registro de tratamento do pedido de descadastro. A empresa não tinha nenhum dos três.

O desfecho mais provável nesse tipo de situação, segundo o padrão observado nos casos já julgados, não é necessariamente a multa mais alta prevista em lei. É a combinação de advertência, obrigação de correção imediata sob pena de sanções progressivas e, dependendo da reincidência, publicização da infração, o tipo de exposição que pesa tanto quanto o valor financeiro da multa. Se a mesma empresa tivesse um inventário de ferramentas, um teste de legítimo interesse arquivado e um fluxo simples de tratamento de opt-out, o processo administrativo provavelmente nem teria avançado além da fase de notificação.

Sua operação comercial está pronta para uma fiscalização hoje? Conheça a solução de LGPD e Governança Digital da Futuring e descubra os pontos cegos da sua área comercial.

Erros mais comuns e como evitar cada um deles

Depois de acompanhar operações comerciais que passaram por revisão de compliance, alguns padrões de erro se repetem com uma frequência que chama atenção.

O primeiro é tratar a LGPD como responsabilidade exclusiva do jurídico. Na prática, quem opera a ferramenta de IA no dia a dia é o time comercial, e é ele quem decide, muitas vezes sem perceber, qual base legal está sendo usada a cada campanha. Sem envolvimento direto do time de vendas na governança, o processo trava.

O segundo é confundir dado público com dado liberado para qualquer uso. Um número de celular que aparece numa postagem pessoal no Instagram não tem o mesmo status jurídico de um telefone comercial registrado no rodapé do site institucional da empresa. A diferença entre esses dois contextos é o que separa uma prospecção defensável de uma exposta.

O terceiro erro é adotar ferramentas de IA sem revisar o contrato de processamento de dados do fornecedor. Muitas plataformas de prospecção e enriquecimento de leads são operadas por empresas estrangeiras, e o contrato padrão delas nem sempre contempla as exigências específicas da LGPD. Assinar sem ler essa cláusula transfere o risco para dentro da sua operação sem que ninguém perceba.

O quarto é achar que compliance é um projeto com data de término. Empresas que tratam a adequação como um evento único, feito uma vez e esquecido, voltam a ficar expostas assim que uma nova ferramenta entra no fluxo comercial. A fiscalização de 2026 avalia continuidade, não apenas um documento assinado no passado.

O quinto, e talvez o mais caro financeiramente, é ignorar pedidos de descadastro. Diversos processos analisados por escritórios de advocacia especializados em proteção de dados mostram que continuar contatando alguém depois de um opt-out formal documentado é um agravante direto na dosimetria da multa.

O próximo capítulo regulatório: o que muda com o Marco Legal da IA

Enquanto a LGPD organiza como os dados podem ser tratados, o Projeto de Lei 2.338/2023, conhecido como Marco Legal da Inteligência Artificial, define como os próprios sistemas de IA devem se comportar. O texto já foi aprovado pelo Senado e segue em análise na Câmara dos Deputados, com uma estrutura de classificação de risco parecida com a do AI Act europeu.

Sistemas considerados de alto risco (aqueles usados em setores sensíveis como crédito, emprego e serviços essenciais) ficariam sujeitos a obrigações reforçadas: documentação técnica, avaliação de impacto antes da implementação e supervisão humana obrigatória. Uma ferramenta de prospecção comercial dificilmente entraria nessa categoria mais rígida, mas o princípio de fundo, transparência sobre como a decisão automatizada foi tomada e quais dados influenciaram o resultado, tende a se tornar expectativa de mercado antes mesmo da aprovação final da lei.

Há também um ponto de convergência estrutural: o desenho do Sistema de Inteligência Artificial previsto no projeto coloca a própria ANPD como uma das autoridades responsáveis pela coordenação regulatória de IA no Brasil, junto de um conselho permanente de cooperação regulatória. Ou seja, o mesmo órgão que hoje fiscaliza como sua empresa trata dados pessoais deve, em breve, ganhar competência formal também sobre como sua empresa usa inteligência artificial para tomar decisões sobre esses dados.

Para quem lidera uma operação comercial, a leitura estratégica é direta. Formalizar hoje a governança de dados usada pela IA de vendas não é apenas resposta a uma fiscalização já em curso. É também preparo para uma segunda camada regulatória que está a caminho e que vai cobrar, especificamente, rastreabilidade e explicabilidade das decisões automatizadas.

Conclusão: o plano de ação que sua operação comercial precisa agora

A virada institucional da ANPD não é um evento isolado. É a consolidação de uma trajetória que começou com orientação, passou por multas pontuais e chegou, em 2026, a um órgão com orçamento, corpo técnico e poder de polícia. Para uma operação comercial que trata volumes crescentes de dados através de IA, ignorar essa mudança custa mais caro do que corrigir o processo.

O caminho prático não exige abandonar a inteligência artificial na prospecção. Exige documentar cada decisão que a ferramenta toma em nome da sua empresa: qual base legal sustenta o contato, de onde veio o dado, como o opt-out é processado, e quem revisa o volume disparado. Esse é o tipo de estrutura que separa uma operação comercial preparada de uma que só vai perceber o problema quando o processo administrativo já estiver aberto.

Nenhuma dessas medidas exige um departamento jurídico gigantesco nem paralisa o funil de vendas por meses. Exige, sim, alguém responsável por revisar esse processo periodicamente, um inventário atualizado das ferramentas em uso e a disciplina de tratar cada nova base de contatos com o mesmo cuidado que se dedica a uma meta de faturamento. Quem trata isso como rotina, e não como reação a uma notificação da ANPD, chega ao próximo ciclo de fiscalização com a documentação pronta em vez de correndo atrás do prejuízo.

Se sua empresa quer transformar essa exposição em vantagem competitiva real, conheça como a estrutura de governança e conformidade digital da Futuring pode revisar, documentar e blindar sua operação comercial antes da próxima rodada de fiscalização da ANPD.

Perguntas Frequentes (FAQ)

Minha empresa pode usar inteligência artificial para prospecção de clientes sem violar a LGPD?

Pode, desde que exista base legal documentada para cada fluxo de dados tratado pela ferramenta. O legítimo interesse comercial costuma sustentar prospecção B2B com dados profissionais, mas exige registro formal do Teste de Legítimo Interesse, finalidade clara, opt-out funcional e revisão periódica do processo, não apenas a instalação da ferramenta.

O que muda na prática agora que a ANPD se tornou agência reguladora?

A autoridade ganhou autonomia orçamentária, corpo técnico concursado e poder de polícia, incluindo interdição de estabelecimentos e apreensão de equipamentos. Na prática, isso significa mais capacidade de abrir processos em série, como os dezenas de casos iniciados em junho de 2026, e menos tolerância com operações sem documentação de conformidade.

Comprar listas de leads prontas ainda é seguro em 2026?

É a prática de maior risco identificada nos processos recentes. Sem histórico de como os dados foram coletados, a empresa não consegue comprovar base legal adequada. Prefira construir listas a partir de fontes públicas oficiais e contextos comerciais legítimos, documentando a origem de cada contato antes de importar para o CRM.

Quais sanções a ANPD pode aplicar a uma operação comercial em caso de infração?

O rol inclui advertência, multa simples de até 2% do faturamento (limitada a R$ 50 milhões por infração), multa diária, publicização da infração e, em casos graves, bloqueio ou suspensão do tratamento de dados. Essas sanções podem ser aplicadas de forma cumulativa quando as circunstâncias do caso justificarem.

O Marco Legal da Inteligência Artificial já está em vigor no Brasil?

Ainda não. O Projeto de Lei 2.338/2023 foi aprovado pelo Senado e segue em análise na Câmara dos Deputados. Quando aprovado, deve trazer exigências de transparência e supervisão humana para sistemas de IA, com a ANPD atuando como uma das autoridades responsáveis pela coordenação regulatória do tema.