DPO e inteligência artificial: o que revisar em agentes de IA

DPO e inteligência artificial: o que revisar em agentes de IA

O encarregado (DPO) deve revisar um agente de IA como revisa qualquer tratamento de dados pessoais, mas com perguntas adicionais sobre o que o agente lê, o que ele escreve, o que ele executa e quem vê o registro. A revisão útil acontece antes da operação e cabe em perguntas objetivas: quais dados entram, com que finalidade, para onde vão, quem decide, o que fica guardado e como o titular exerce seus direitos.

Principais pontos

• O agente muda o tratamento de dados porque lê mensagens livres, consulta sistemas e pode agir, então o inventário precisa incluir conversas, anexos, áudios e logs.
• Finalidade e necessidade vêm antes da tecnologia: se o agente não precisa de um dado para cumprir a tarefa, ele não deve ter acesso a esse dado.
• Fornecedores de modelo, hospedagem e mensageria são operadores ou suboperadores em potencial, e o contrato e a localização dos dados precisam ser conhecidos.
• Ações com efeito sobre o titular exigem limite, aprovação humana e possibilidade de revisão.
• O canal do titular e o plano de incidente precisam funcionar antes do primeiro atendimento real, não depois.

Qual é o papel do encarregado em um projeto de agente de IA?

A LGPD define o encarregado como o canal de comunicação entre o controlador, os titulares e a ANPD. Em um projeto de agente, isso significa algo prático: o encarregado precisa estar na mesa antes da decisão de arquitetura, não receber um documento pronto para assinar.

O encarregado não precisa entender como funciona um modelo de linguagem em detalhe. Precisa saber o que entra no agente, o que sai dele, onde fica registrado e quem responde por cada etapa. Quem entende de tecnologia explica o fluxo, e o encarregado traduz esse fluxo em obrigações e riscos.

Uma boa prática é separar três tipos de afirmação na documentação do projeto: o que vem da documentação oficial do fornecedor, o que foi verificado na implementação da própria empresa e o que ainda é hipótese. Quando o fornecedor diz que não usa os dados para treinamento, por exemplo, isso é afirmação de documentação oficial, e o encarregado deve guardar a fonte e a versão consultada, não apenas a conversa com o vendedor.

Para o contexto regulatório mais amplo, vale acompanhar o que muda no marco legal da IA no Brasil, mas a LGPD já vale hoje para qualquer agente que trate dado pessoal.

Quais dados o agente toca? Comece pelo inventário

O inventário de um agente é maior do que o de um formulário. Um formulário tem campos definidos. Um agente recebe texto livre, e o cliente pode escrever qualquer coisa: CPF, endereço, estado de saúde, foto de documento, áudio com a voz de terceiros.

Perguntas para o inventário:

• Quais canais alimentam o agente (WhatsApp, Instagram, e-mail, site, telefone transcrito)?
• Que dados o agente recebe do titular e que dados ele busca em sistemas internos (CRM, ERP, agenda)?
• Pode chegar dado sensível ou de criança e adolescente, mesmo que o fluxo não peça isso?
• Anexos, imagens e áudios são processados? Se sim, por qual serviço? O texto sobre transcrição de áudio de WhatsApp detalha as questões de privacidade desse caso.
• O histórico da conversa é reenviado ao modelo a cada mensagem?
• Existe memória de longo prazo entre conversas diferentes?
• Os dados são usados para avaliar e melhorar o agente? Por quem?

O ponto mais esquecido é o dado que chega sem ser pedido. O desenho do agente deve prever o que ele faz quando recebe um dado que não deveria ter: ignora, pede para o titular não enviar, mascara no log ou encaminha para uma pessoa. Essa decisão precisa estar escrita, não ficar a cargo do comportamento do modelo.

Qual é a finalidade e a base legal de cada tratamento?

O agente costuma ser vendido como uma coisa só, mas trata dados para finalidades diferentes: responder uma dúvida, consultar um pedido, agendar um serviço, qualificar um lead, medir qualidade. Cada finalidade precisa de base legal própria e de uma descrição que o titular consiga entender.

Perguntas para o encarregado:

• A finalidade de cada fluxo está descrita em uma frase simples?
• Qual base legal sustenta cada fluxo: execução de contrato, legítimo interesse, consentimento, obrigação legal?
• Se for legítimo interesse, existe a avaliação documentada, com a ponderação entre o interesse da empresa e as expectativas do titular?
• Se for consentimento, ele é específico, registrado e revogável?
• O dado coletado é só o necessário para a tarefa (princípio da necessidade)?
• O uso das conversas para avaliar ou melhorar o agente é uma finalidade compatível, ou precisa de tratamento separado?

Mensagens ativas merecem atenção à parte. Um agente que começa a conversa depende de permissão prévia e de modelos aprovados, o que o artigo sobre mensagens ativas no WhatsApp, templates e opt-in explica do ponto de vista operacional. Para o encarregado, o registro do opt-in é prova de base legal, não detalhe técnico.

O relatório de impacto à proteção de dados pessoais pode ser solicitado pela ANPD. Em agentes que tratam dado sensível ou tomam decisões com efeito relevante sobre pessoas, faz sentido elaborá-lo antes de ser pedido.

Para onde os dados vão? Fornecedores, operadores e localização

Um agente típico envolve vários fornecedores: o provedor do modelo, a plataforma de mensageria, a hospedagem, a ferramenta de logs, o CRM. Cada um pode ser operador ou suboperador, e o encarregado precisa do mapa completo.

Perguntas sobre fornecedores:

• Quem são todos os fornecedores que veem conteúdo de conversa, inclusive de monitoramento e logs?
• Há contrato ou termo de tratamento de dados com cada um, com as instruções de uso, retenção e exclusão?
• O fornecedor do modelo usa o conteúdo para treinar? Isso está na documentação oficial ou apenas na promessa comercial?
• Em que países os dados são processados e armazenados? Existe transferência internacional, e qual mecanismo a sustenta?
• Qual é o prazo de retenção no fornecedor e como se pede exclusão?
• O fornecedor notifica a empresa em caso de incidente, e em quanto tempo?

Quando a sensibilidade dos dados é alta, rodar um modelo na infraestrutura da própria empresa pode reduzir a exposição a terceiros. Isso traz outras responsabilidades, como segurança, atualização e capacidade. O artigo sobre Ollama na empresa e modelo local trata desse caminho sem improviso. Modelo local não elimina a LGPD, só muda quem opera e quem responde.

As ferramentas conectadas ao agente também entram nesse mapa. Cada integração é uma porta de acesso a dados, e o princípio é o mesmo de qualquer sistema: acesso mínimo, por função, com credenciais separadas. O guia da OWASP sobre autorização é uma referência útil para a equipe técnica.

O que o agente pode fazer sozinho e quando um humano entra?

Um agente que só responde perguntas gerais tem um perfil de risco. Um agente que consulta dados de clientes, altera cadastro, cancela pedido ou nega um pedido tem outro. O encarregado deve separar o que o agente informa, o que ele recomenda e o que ele executa.

A LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. O texto sobre decisões automatizadas e o artigo 20 da LGPD aprofunda o tema. Na prática, a pergunta é: existe alguma decisão que o agente toma sem que uma pessoa possa rever?

Um guia de decisão para classificar cada ação do agente:

• Informar um dado que o próprio titular já pode ver: pode ser automático, com identificação prévia do titular.
• Alterar dado cadastral: exige confirmação do titular por um canal verificado e registro da alteração.
• Recusar, cancelar, cobrar ou restringir algo: exige aprovação humana ou, no mínimo, revisão fácil e comunicada.
• Tratar assunto de saúde, crianças, finanças pessoais ou reclamação jurídica: encaminhar a uma pessoa treinada.
• Qualquer ação irreversível: aprovação humana antes da execução.

As travas técnicas que sustentam essas regras (validação de entrada, de saída e de ação) estão descritas em guardrails para agentes de IA. Para riscos específicos de modelos de linguagem, como injeção de instruções por mensagem maliciosa e vazamento de informação sensível, a lista OWASP Top 10 para aplicações com LLM é uma boa base de revisão com a equipe técnica.

Como o titular fala com a empresa e o que fica registrado?

O titular tem direitos como confirmação do tratamento, acesso, correção, eliminação e informação sobre compartilhamento. Se o dado está dentro de conversas, logs e bases do agente, o encarregado precisa saber como localizar e tratar esse dado quando houver um pedido.

Perguntas sobre o canal do titular:

• O titular sabe que está falando com um agente de IA desde o início da conversa?
• Há um caminho claro, dentro da própria conversa, para falar com uma pessoa?
• O aviso de privacidade menciona o agente, as finalidades e os fornecedores envolvidos?
• Como a empresa localiza todas as conversas e registros de uma pessoa específica? Existe identificador que permita isso?
• Como se atende um pedido de eliminação que atinge logs, backups e bases de avaliação?
• Quem recebe o pedido, em quanto tempo responde e como isso é registrado?

Sobre registros, o equilíbrio é delicado. Logs de decisão são essenciais para auditar o agente, mas logs com conteúdo integral de conversas são dado pessoal em grande volume. Defina o que é registrado (ação, ferramenta chamada, resultado, motivo do encaminhamento), o que é mascarado, quem acessa e por quanto tempo se guarda. Conceitos de observabilidade, como os da documentação do OpenTelemetry, ajudam a equipe técnica a registrar o necessário sem guardar conteúdo em excesso.

Para incidentes, o encarregado precisa de um plano que responda: quem identifica, quem decide se há risco relevante ao titular, quem comunica a ANPD e os titulares quando necessário, e que evidências do agente estarão disponíveis. Um agente que enviou mensagem à pessoa errada ou expôs dado em uma resposta é um incidente de segurança, não apenas um erro de atendimento.

Se o agente também é usado para acompanhar o desempenho de funcionários, o escopo muda de natureza. O artigo sobre medir produtividade com IA sem virar vigilância trata dos limites desse uso.

Plano de revisão em etapas, com um cenário ilustrativo

O método que usamos para projetos de agentes tem quatro movimentos: mapear, limitar, pilotar e transferir. Eles se encaixam bem na rotina do encarregado, porque cada um gera um artefato revisável.

Cenário ilustrativo: uma distribuidora de materiais de construção quer um agente no WhatsApp para informar o status de pedidos e reagendar entregas. A revisão poderia seguir este roteiro:

• Mapear: listar canais, dados que o cliente envia, sistemas consultados (ERP e agenda de entregas), fornecedores envolvidos e o processo atual feito por pessoas, para ter uma linha de base.
• Limitar: o agente só consulta pedidos do telefone que iniciou a conversa, confirma o titular antes de mostrar endereço, não acessa dados financeiros e não cancela pedidos. Cancelamentos e contestações vão para uma pessoa.
• Definir o tratamento: finalidade, base legal, retenção das conversas e do log, mascaramento de documentos enviados por engano.
• Preparar o canal do titular: aviso de que é um agente, opção de falar com uma pessoa e procedimento interno para pedidos de acesso e eliminação.
• Pilotar: operar um fluxo real, com logs de decisão e uma métrica de sucesso combinada com antecedência, revisando os casos de encaminhamento e as mensagens com dado inesperado.
• Transferir: documentar o que foi decidido, quem monitora, quem aprova mudanças e decidir se o piloto se expande, se ajusta ou se encerra.

O ponto central é que a decisão de expandir só deve vir depois de o encarregado ter visto evidências do piloto: exemplos de mensagens com dados inesperados, registros de encaminhamento e o teste do fluxo de pedido do titular. Um quadro de risco como o NIST AI Risk Management Framework pode servir de vocabulário comum entre jurídico, operação e tecnologia.

Perguntas frequentes

O encarregado precisa aprovar todo agente de IA da empresa? A LGPD não descreve uma aprovação formal por agente, mas o encarregado orienta a empresa sobre as práticas de proteção de dados. Na prática, vale definir uma regra interna: todo agente que trate dado pessoal passa por uma revisão do encarregado antes de operar, com intensidade proporcional ao risco.

Preciso de um relatório de impacto para colocar um agente em operação? Não há uma resposta única, porque depende dos dados e das decisões envolvidas. Quando o agente trata dado sensível, em escala, ou apoia decisões que afetam pessoas, elaborar o relatório de impacto é uma prática prudente, e a ANPD pode solicitá-lo ao controlador.

O fornecedor do modelo diz que não treina com os dados da empresa. Isso basta? Não basta como única evidência. Registre a fonte oficial e a versão consultada, confira o contrato e os termos de tratamento, verifique retenção, localização e subprocessadores, e revise essas informações quando o fornecedor atualizar seus termos.

O agente pode atender o cliente sem avisar que é uma IA? O caminho mais seguro e transparente é avisar desde o início. A transparência é um princípio da LGPD, reduz reclamações e deixa claro quando o titular pode pedir uma pessoa. Esconder que se trata de um agente costuma gerar mais risco do que benefício.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications
• OWASP: Authorization Cheat Sheet