Inteligência ArtificialNotícia
Sandbox de IA da ANPD: Synapse AI fica abaixo da nota mínima e segue nos testes com condições
Em resumo
A Agência Nacional de Proteção de Dados (ANPD) publicou em 9 de outubro de 2026 o segundo relatório do seu ambiente de testes supervisionados para sistemas de inteligência artificial que usam dados pessoais. Das três empresas que participam, a Synapse AI ficou abaixo da nota mínima e segue com condições. O relatório diz que a permanência no sandbox não pode depender só do que as empresas declaram sobre si mesmas.
A Agência Nacional de Proteção de Dados (ANPD) publicou em 9 de outubro de 2026 o segundo relatório parcial de monitoramento do seu sandbox regulatório de inteligência artificial. O sandbox é um ambiente experimental e supervisionado em que empresas testam sistemas de IA que tratam dados pessoais, com acompanhamento do órgão regulador. O projeto-piloto é conduzido pela ANPD com o Ciaam, centro de pesquisa da Universidade de São Paulo (USP) dedicado a inteligência artificial e aprendizado de máquina. O primeiro relatório tinha saído em julho.
Três empresas, selecionadas pelo Edital nº 2/2025, participam desde março de 2026. A Metatext desenvolve a Guardion.AI, plataforma de segurança para sistemas de IA generativa e agentes autônomos. A Synapse AI testa o Trajetto, que gerencia o fluxo de passageiros em transporte ferroviário com dados em tempo real. A Prevvine Tecnologia testa a STAIDOC, que usa modelos de linguagem adaptados ao Brasil para apoiar decisões médicas.
Seis ciclos de teste, com três fases cada
O relatório do segundo ciclo, elaborado pela equipe do Ciaam/USP com a Comissão de Sandbox da ANPD, informa que os testes estão divididos em seis ciclos. A Metatext, que entrou com outro cronograma, terá menos ciclos, mais longos. Cada ciclo tem uma fase de preparação, em que a empresa descreve a solução em fichas, uma fase de testes e uma fase de pareceres individuais, que orientam o ciclo seguinte. Segundo a notícia da ANPD, nesta etapa as empresas fizeram capacitações em cibersegurança, gestão de riscos e adequação às normas. Também submeteram os produtos a testes de segurança e de conformidade com a legislação.
Nota abaixo do mínimo e testes para o terceiro ciclo
O relatório traz resultados por empresa. Cada solução passa por uma avaliação ética de até 100 pontos, montada com base em recomendações da Unesco. No primeiro ciclo, a nota veio de uma autoavaliação das empresas; a partir do segundo, especialistas reexaminam as respostas e as comparam com documentos e entrevistas. Na Synapse AI, a nota foi de 45 pontos, a mesma do primeiro ciclo. O mínimo para continuar é de 50 pontos. Mesmo assim, os testes seguem com parecer favorável e condicionantes: a empresa precisa implementar e comprovar as medidas pendentes nos próximos ciclos para evitar a suspensão das atividades. Entre as pendências listadas estão os testes do plano de resposta a incidentes de segurança e a atuação formal do encarregado de proteção de dados, o responsável que a Lei Geral de Proteção de Dados (LGPD) exige para cuidar do tratamento de dados pessoais na empresa.
Na mesma empresa, o teste adversarial, em que uma IA local vasculha os dados em busca de trechos que permitam identificar pessoas, não foi concluído. A conexão de teste montada entre a USP e a rede da Synapse não conseguiu transmitir os dados, e o teste será refeito no terceiro ciclo. Na Prevvine, a nota caiu de 89 pontos, na autoavaliação do primeiro ciclo, para 60 no segundo, e os testes também seguem com condicionantes. O relatório classifica como alto o risco de tratar dados de saúde com um sistema de IA. Para avaliar a STAIDOC em quatro quesitos (validade e precisão, segurança, viés e equidade, e privacidade), a equipe elaborou 30 roteiros de conversa para cada um; a aplicação fica para os próximos ciclos. Sobre a Metatext, o relatório diz que o modelo de venda só para outras empresas (B2B), a atuação em cibersegurança e a estrutura enxuta da empresa exigiram mais tempo para entender a arquitetura, validar as fichas e preparar o ambiente de testes.
Declaração da empresa não basta
Nas conclusões, o relatório afirma que a permanência das soluções no sandbox não pode depender só do que as empresas declaram sobre si mesmas nem da simples existência de políticas no papel. A avaliação cruzou o que as empresas informaram com documentos, registros técnicos e resultados dos testes, para separar controles que funcionam de medidas ainda em andamento ou não comprovadas. Para o terceiro ciclo, o documento lista dez prioridades. Entre elas estão concluir os testes pendentes e aprofundar os testes de ataque e de reidentificação de pessoas. Outra é organizar o atendimento aos direitos dos titulares, as pessoas a quem os dados se referem, e a resposta a incidentes.
Nas partes sobre a Synapse AI e a Prevvine, o relatório diz que o segundo ciclo ainda não trouxe elementos suficientes para uma norma nova da ANPD. A agência afirma que o aprendizado do sandbox vai servir de base para a sua futura atuação normativa e regulatória. O sandbox também é finalista do Global Privacy and Data Protection Awards 2026, prêmio da Global Privacy Assembly, fórum internacional de autoridades de privacidade. O ConnectWeek explica em outros textos o que a lei prevê para os sandboxes regulatórios e o que o projeto de lei do marco da IA muda para as empresas.
Comece por aqui Novo no assunto? Leia primeiro inteligência artificial para pequenas empresas, o texto-base desta cobertura.
Fonte: Agência Nacional de Proteção de Dados (ANPD)
Perguntas frequentes
O que é o sandbox regulatório de inteligência artificial da ANPD?
É um projeto-piloto da Agência Nacional de Proteção de Dados (ANPD) em que empresas testam sistemas de inteligência artificial que tratam dados pessoais num ambiente experimental, controlado e supervisionado. Os testes são acompanhados pela ANPD e por pesquisadores do Ciaam, centro de estudos de IA da Universidade de São Paulo (USP). Segundo a agência, o objetivo é produzir evidências para a futura regulação.
Quais empresas participam do sandbox de IA da ANPD?
Três empresas selecionadas pelo Edital nº 2/2025: a Metatext, que desenvolve a plataforma de segurança Guardion.AI; a Synapse AI, com o Trajetto, de gestão do fluxo de passageiros em transporte ferroviário; e a Prevvine Tecnologia, com a STAIDOC, de inteligência artificial para apoio à decisão médica. Elas começaram em março de 2026.
O que muda para as empresas que usam inteligência artificial com dados pessoais?
Por enquanto, nada. O relatório diz que o segundo ciclo ainda não trouxe elementos suficientes para uma norma nova da ANPD. A agência afirma que o que for aprendido no sandbox vai servir de base para a sua futura atuação normativa e regulatória. Para quem desenvolve ou contrata IA que usa dados pessoais, o relatório mostra o que a ANPD cobrou nos testes: comprovação por documentos, registros técnicos e resultados, e não só a declaração da empresa.
