A Agência Nacional de Proteção de Dados (ANPD) publicou, na sexta-feira (9), o 2º Relatório Parcial de Monitoramento do seu sandbox regulatório em inteligência artificial, que acompanha, desde março, como as empresas Metatext, Synapse AI e Prevvine Tecnologia testam sistemas de IA que tratam dados pessoais nos setores financeiro, de mobilidade urbana e de saúde.
O que você precisa saber
- A ANPD publicou em 9 de outubro de 2026 o 2º Relatório Parcial de Monitoramento do seu sandbox regulatório em inteligência artificial, que acompanha três empresas brasileiras: Metatext, Synapse AI e Prevvine Tecnologia.
- As empresas testam, desde março, sistemas de IA que tratam dados pessoais nos setores financeiro, de mobilidade urbana e de saúde, dentro do segundo de seis ciclos de testagem previstos para o projeto-piloto.
- O relatório usa a escala internacional TRL (de 1 a 9) para medir a maturidade de cada componente técnico, e mostra que a maioria dos itens avaliados ficou no mesmo nível do primeiro relatório, de julho.
- A ANPD recomenda que o terceiro ciclo, ainda sem data divulgada, comprove se as medidas de mitigação de risco e os mecanismos de transparência prometidos pelas empresas funcionam na prática.
- O Brasil ainda não tem lei específica de IA: o sandbox é uma das principais fontes de evidência prática da ANPD sobre o que deve virar exigência regulatória para sistemas que usam dados pessoais.
O que é o sandbox regulatório
O sandbox regulatório é um projeto-piloto da ANPD que cria um ambiente experimental, controlado e supervisionado para testar sistemas de inteligência artificial que tratam dados pessoais, em parceria com o Centro de Inteligência Artificial e Aprendizado de Máquina da Universidade de São Paulo (Ciaam/USP).
A Superintendência de Inovação Tecnológica (Sitec) da ANPD selecionou, pelo Edital nº 2/2025, as três empresas participantes: a Metatext, dona da plataforma de segurança para IA Guardion.AI; a Synapse AI, responsável pelo Trajetto, sistema que recomenda aos usuários do metrô de São Paulo o melhor trajeto a partir das condições de fluxo e trânsito de pessoas; e a Prevvine Tecnologia, que desenvolve a STAIDOC, plataforma de inteligência artificial médica com modelos de linguagem personalizados para o contexto brasileiro.
Segundo a ANPD, as empresas começaram a atuar no sandbox em março e, desde então, usam a estrutura para mapear riscos jurídicos, tecnológicos e operacionais, além de estruturar práticas de governança, segurança, transparência e proteção de dados.
| Quem publicou | ANPD (Agência Nacional de Proteção de Dados) |
|---|---|
| O que é | 2º Relatório Parcial de Monitoramento do Sandbox Regulatório em IA |
| Quando | Sexta-feira, 9 de outubro de 2026 |
| Empresas testadas | Metatext, Synapse AI e Prevvine Tecnologia |
| Setores | Financeiro, mobilidade urbana e saúde |
| Próxima etapa | Ciclo 3 de testagem, ainda sem data divulgada |
O que o segundo relatório mostra
As atividades de testagem do sandbox estão divididas em seis ciclos, cada um com três fases: a Fase A, de preparação e diagnóstico; a Fase B, de execução dos testes; e a Fase C, de avaliação e recomendações para o ciclo seguinte. O relatório publicado nesta sexta-feira cobre o Ciclo 2, concluído pelas três empresas nas três fases.
Segundo a ANPD, nesta etapa as participantes passaram por capacitações em cibersegurança, gestão de riscos e adequação normativa, e tiveram seus produtos submetidos a testes de segurança e de conformidade com a legislação. Os pontos críticos identificados nesses testes entram em ciclos de aprimoramento e nova testagem, segundo o relatório.
O documento diz que o objetivo da iniciativa é produzir informações e evidências para a futura atuação regulatória da ANPD sobre inteligência artificial, garantindo a conformidade das ferramentas testadas com a Lei Geral de Proteção de Dados Pessoais (LGPD) e os direitos dos titulares de dados.
Como evoluiu a maturidade técnica de cada empresa
O relatório técnico do Ciclo 2 usa a escala internacional TRL (Technology Readiness Level, ou Nível de Maturidade Tecnológica), que vai de 1 a 9, para medir o estágio de cada componente avaliado: de 1 a 3 é pesquisa básica, de 4 a 6 é desenvolvimento, de 7 a 8 é demonstração, e 9 é produção e operação plena.
Comparado ao 1º Relatório Parcial, publicado em julho, a maior parte dos componentes avaliados no Ciclo 2 permaneceu no mesmo nível de maturidade. A exceção, na Synapse, foi a pseudonimização e a segurança dos bancos de dados, que avançou de TRL 5 para TRL 6; e, na Metatext, o mecanismo que explica quais variáveis pesam nas decisões do modelo (feature attribution, em inglês no relatório), que saiu de TRL 1 para TRL 2.
Na Prevvine, nenhum dos quatro elementos avaliados (motor de IA, camada de anonimização, verificação de referências bibliográficas externas e infraestrutura de conformidade com a LGPD) mudou de nível entre os dois ciclos: todos seguem classificados como TRL 7, ou seja, já implementados e operacionais, segundo o relatório.
| Empresa | Componente avaliado | TRL no Ciclo 1 | TRL no Ciclo 2 |
|---|---|---|---|
| Synapse (Trajetto) | Núcleo de recomendação de rotas | 4 | 4 (sem mudança) |
| Synapse (Trajetto) | Pseudonimização e segurança de bancos de dados | 5 | 6 |
| Prevvine (STAIDOC) | Motor de IA, anonimização e conformidade com a LGPD | 7 | 7 (sem mudança) |
| Metatext (Guardion.AI) | Infraestrutura e pseudonimização | 5 | 5 (sem mudança) |
| Metatext (Guardion.AI) | Funcionamento do LLM proprietário | 7 | 7 (sem mudança) |
| Metatext (Guardion.AI) | Explicabilidade (feature attribution) | 1 | 2 |
O que a ANPD pede para o Ciclo 3
O relatório recomenda que o terceiro ciclo de testagem, ainda sem data divulgada, priorize a conclusão dos testes pendentes, a apresentação das evidências documentais e técnicas que faltam, e o aprofundamento de testes adversariais, de pseudonimização e de reidentificação.
Também entram na lista a verificação das medidas de mitigação de risco indicadas no Ciclo 2, o aprimoramento dos mecanismos de transparência e explicabilidade, o registro e o versionamento dos modelos e componentes testados, e a atualização das matrizes de TRL de cada empresa.
"O Ciclo 3 deverá, portanto, assumir um caráter mais comprobatório e comparativo", diz o relatório, que prevê avaliar se as mudanças feitas pelas empresas reduziram riscos e aumentaram a maturidade tecnológica e a governança das soluções.
Por que importa
O sandbox da ANPD importa para qualquer negócio que já usa inteligência artificial para personalizar atendimento, recomendar produtos ou analisar comportamento de cliente com dados pessoais, mesmo fora dos três setores testados. O Brasil ainda não tem uma lei específica para IA, e o projeto-piloto é uma das principais fontes de evidência prática da ANPD sobre o que deve virar exigência regulatória.
O retrato deste segundo ciclo é mais de estabilidade técnica do que de avanço: na maioria dos componentes avaliados, as três empresas mantiveram o mesmo nível de maturidade do primeiro relatório. Isso ainda cabe dentro do processo gradual previsto para os seis ciclos, mas o próprio relatório já avisa que o terceiro vai cobrar prova de que medidas como mitigação de risco e explicabilidade funcionam na prática, e não só constam de um documento.
Para quem usa IA no marketing e na comunicação com clientes, o sinal prático é documentar, desde já, como cada sistema trata dados pessoais: qual é o fluxo de dados, quais riscos foram mapeados, e como a empresa explica uma decisão automatizada a quem pergunta. É o tipo de cuidado que já faz parte do uso responsável de inteligência artificial no marketing digital, com ou sem lei específica de IA em vigor.