ANPD e inteligência artificial: o que a autoridade já orienta

ANPD e inteligência artificial: o que a autoridade já orienta

A ANPD ainda não tem, até onde as fontes oficiais mostram, uma norma única e completa só sobre inteligência artificial. Mesmo assim, ela já orienta o tema: aplica a LGPD a sistemas de IA, publica guias e regulamentos de alcance geral e atua em casos concretos de uso de dados pessoais para treinar ou operar modelos. Para a empresa, isso significa que usar IA com dados pessoais já exige base legal, transparência, segurança e possibilidade de revisão humana.

Principais pontos

• A LGPD já vale para qualquer IA que trate dado pessoal, com ou sem regra específica de IA.
• A ANPD orienta por regulamentos e guias gerais (legítimo interesse, incidentes, encarregado, segurança) que se aplicam a projetos de IA.
• Decisões automatizadas que afetam pessoas pedem transparência e direito de revisão, conforme o art. 20 da LGPD.
• Regras específicas de IA dependem do debate legislativo e de futura regulamentação, e isso ainda é terreno de hipótese.
• O caminho seguro é mapear dados, limitar o que a IA acessa, pilotar um fluxo com registro e conferir a fonte oficial antes de decidir.

Como separar orientação existente de hipótese

Há muito texto na internet que mistura o que a autoridade disse com o que o autor acha que ela vai dizer. Para decidir, vale separar três camadas.

A primeira é a lei e a regulamentação em vigor: o texto da LGPD e os regulamentos publicados pela ANPD. Isso é obrigação. A segunda é a orientação e a atuação da autoridade: guias, estudos técnicos, tomadas de subsídios, medidas e comunicados. Isso mostra como a ANPD interpreta a lei e merece peso alto, mas cada documento tem seu escopo. A terceira é a hipótese: o que pode vir de projetos de lei, de comparações com outros países ou de leitura própria. Isso serve para planejar, não para afirmar conformidade.

Neste artigo, tudo que for da terceira camada vem marcado como hipótese. E um aviso de método: a lista de publicações da ANPD muda. Antes de usar qualquer item como base de decisão, confira a página oficial da ANPD e leia o documento original.

O que a LGPD já exige de um sistema de IA

A lei não menciona inteligência artificial pelo nome, mas regula o tratamento de dados pessoais, e é isso que a IA faz quando recebe uma mensagem de cliente, um currículo ou um documento. Alguns pontos se aplicam diretamente.

• Princípios do art. 6: finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização. Eles pesam em qualquer projeto de IA.
• Base legal do art. 7 (e do art. 11, no caso de dado sensível): é preciso saber qual base sustenta cada uso, e não basta dizer que a IA é só uma ferramenta.
• Legítimo interesse (art. 10): pode servir de base em certos casos, mas exige avaliação documentada e respeito às expectativas do titular.
• Relatório de impacto (art. 38): a ANPD pode solicitá-lo, e vale tê-lo pronto quando o uso de IA envolve risco maior ao titular.
• Segurança (art. 46): o acesso da IA aos dados deve ser limitado e protegido contra uso indevido.
• Direitos do titular (art. 18) e revisão de decisões automatizadas (art. 20).

Repare que nenhum desses itens depende de regra nova. Se um agente de IA no WhatsApp guarda conversas com nome, telefone e dados de saúde, a obrigação já existe hoje.

O que a ANPD já publicou e fez que toca em IA

A autoridade tem materiais de alcance geral que se aplicam a projetos de IA mesmo sem citar o termo no título. Entre os que costumam ser relevantes estão o guia sobre legítimo interesse, os regulamentos sobre comunicação de incidente de segurança e sobre a figura do encarregado, o regulamento para agentes de tratamento de pequeno porte e os guias de segurança da informação. Quem usa IA com dados pessoais deve ler esses documentos como parte do projeto, não como assunto à parte.

Além disso, a ANPD tem atuado diretamente em temas de IA. Ela já se manifestou em um caso de uso de dados pessoais de usuários de uma plataforma para treinar modelos de IA, com medidas de caráter preventivo, o que indica o tipo de preocupação da autoridade: base legal adequada, informação clara ao titular e facilidade para exercer direitos, como a oposição. A autoridade também tem registrado iniciativas de diálogo com a sociedade sobre IA e proteção de dados, como tomadas de subsídios e projetos de ambiente regulatório experimental. Os detalhes, o status e o alcance de cada uma devem ser lidos na fonte oficial, porque podem mudar e porque cada caso tem fatos próprios.

O que se pode concluir com segurança é limitado, mas útil: a ANPD trata IA como mais uma forma de tratamento de dados, e cobra dela os mesmos fundamentos da lei, com atenção a transparência, base legal e riscos ao titular. Não se pode concluir, a partir de um caso, que ele vale como regra geral para todas as empresas.

Decisões automatizadas e direito de revisão

O art. 20 da LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as destinadas a definir perfil pessoal, profissional, de consumo ou de crédito. A lei também prevê que o controlador forneça informações claras e adequadas sobre os critérios e procedimentos usados, respeitados os segredos comercial e industrial.

Na prática, isso pesa em usos como triagem de candidatos, análise de crédito, priorização de clientes e negativas automáticas de atendimento. Um assistente que apenas redige uma resposta para um humano aprovar está em outra situação, mas isso depende de quem realmente decide. Para aprofundar o artigo da lei e como estruturar a revisão, veja decisões automatizadas na LGPD e o direito de revisão.

O que ainda é hipótese

Separar o que não está fechado evita decisões precipitadas. Os pontos abaixo são hipóteses ou temas em aberto, não obrigações confirmadas.

• Que a ANPD venha a ter papel de coordenação em um sistema nacional de regulação de IA. Isso depende do texto final de uma futura lei, e o debate legislativo continua. Acompanhe o tema em Marco legal da IA no Brasil: o que sua empresa deve acompanhar.
• Que haja regras específicas sobre treinamento de modelos com dados pessoais além do que já decorre da LGPD.
• Que a autoridade publique exigências formais de documentação para sistemas de IA de alto risco.
• Que modelos de referência de outros países, como a lei europeia de IA e o NIST AI Risk Management Framework, influenciem a postura brasileira. Eles são boas referências de gestão de risco, mas não são exigência da ANPD.

Trate esses itens como radar, não como checklist de conformidade. A ação segura hoje é cumprir bem a LGPD e documentar suas decisões.

Plano prático: aplicar o que já vale ao seu projeto de IA

Um roteiro simples, que cabe em um projeto pequeno e em uma empresa de qualquer porte.

• Liste os fluxos em que a IA toca dado pessoal: atendimento, vendas, RH, cobrança, suporte. Anote quais dados entram e quais saem.
• Defina a finalidade e a base legal de cada fluxo. Se for legítimo interesse, registre a avaliação.
• Corte o excesso: a IA só deve receber o dado de que precisa. Dado sensível, documento e dado de criança exigem cuidado redobrado.
• Confira o contrato e as condições do fornecedor do modelo: onde o dado é processado, se é usado para treino, por quanto tempo é retido e quem é operador.
• Defina quem decide: a IA apenas sugere, ou decide sozinha? Se decide algo que afeta a pessoa, desenhe a revisão humana.
• Avise o titular de forma clara que ele fala com uma IA e como pedir um humano ou exercer seus direitos.
• Registre logs de ações e decisões, com acesso restrito, e tenha um plano de resposta a incidentes alinhado ao regulamento da ANPD.
• Revise o fluxo com periodicidade e sempre que o fornecedor, o modelo ou a finalidade mudar.

Se a equipe usa ferramentas de chat por conta própria, comece por uma regra interna. O texto sobre política de uso de ChatGPT na empresa ajuda a definir o que permitir e o que proibir. Quando o dado é sensível demais para sair da infraestrutura, rodar um modelo local pode ser uma opção a avaliar, sem dispensar as demais obrigações.

Cenário ilustrativo: IA no atendimento de uma clínica

Imagine uma clínica pequena que quer um agente de IA no WhatsApp para confirmar consultas e responder dúvidas de horário. Este é um cenário ilustrativo, sem cliente real.

O mapa de dados mostra nome, telefone, data da consulta e, às vezes, mensagens em que o paciente descreve sintomas. O telefone e o horário são necessários para o fluxo. Os sintomas são dado de saúde, sensível, e o agente não precisa deles para confirmar horário. A decisão de limitar é clara: o agente é instruído a não coletar nem registrar descrição de sintomas, e a encaminhar esses casos a uma pessoa da recepção.

O paciente é informado de que fala com um assistente automatizado e pode pedir atendimento humano a qualquer momento. O agente não remarca nem cancela sem confirmação clara, e cada ação fica em log. O fornecedor do modelo é avaliado quanto à retenção e ao uso dos dados. A clínica escolhe um fluxo, mede o resultado com critério combinado e só depois decide se amplia. Nada disso exige regra nova da ANPD: é a LGPD aplicada com disciplina.

Como o método mapear, limitar, pilotar e transferir se encaixa

O método de trabalho de Juan Carlo segue a mesma lógica das obrigações acima. Mapear é levantar o processo atual e os dados envolvidos, o que sustenta finalidade e base legal. Limitar é restringir dados e ações da IA, o que responde a necessidade e segurança. Pilotar é testar um fluxo real com logs e uma métrica combinada, o que produz evidência de responsabilização. Transferir é entregar a operação com documentação, para a empresa decidir se expande, ajusta ou para.

Isso não substitui parecer jurídico nem a leitura das fontes oficiais. Questões de base legal, relatório de impacto e contratos devem passar por quem responde juridicamente pela empresa, como o encarregado e o jurídico.

Perguntas frequentes

A ANPD já tem uma regra específica sobre inteligência artificial? Até onde as fontes oficiais indicam, não existe uma norma única e completa dedicada só à IA. A ANPD aplica a LGPD, seus regulamentos gerais e sua atuação em casos concretos. Confirme sempre na página oficial se algo novo foi publicado.

Preciso de consentimento para usar IA com dados de clientes? Não necessariamente. O consentimento é uma das bases legais, mas há outras, como execução de contrato e legítimo interesse, cada uma com requisitos próprios. O ponto central é ter uma base adequada para cada finalidade e informar o titular com clareza. A escolha deve ser validada com o jurídico ou o encarregado.

Um agente de IA no WhatsApp precisa avisar que é uma IA? A LGPD exige transparência sobre o tratamento, e avisar que o atendimento é automatizado é uma prática coerente com esse princípio e com o direito de pedir revisão em decisões automatizadas. Mesmo que um caso específico não exija o aviso expresso, ele reduz risco e confusão. Deixe também um caminho simples para falar com uma pessoa.

O que fazer se o fornecedor do modelo usa os dados para treinar? Leia o contrato e as configurações de privacidade para saber se o treino está ativo e se é possível desativá-lo. Avalie se esse uso tem base legal e se está dentro do que o titular espera. Se não houver clareza, reduza os dados enviados, escolha outro plano ou fornecedor, ou use uma alternativa que mantenha o dado sob seu controle.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications