LGPD e inteligência artificial: o que a empresa deve fazer

LGPD e inteligência artificial: o que a empresa deve fazer

A LGPD se aplica a qualquer uso de IA que trate dados pessoais, e não há exceção para a tecnologia. Na prática, a empresa precisa definir uma finalidade clara, escolher uma base legal, usar apenas os dados necessários, informar as pessoas, proteger as informações e conseguir atender os direitos do titular. O que muda com a IA é que os dados passam por mais etapas e mais fornecedores, então o mapeamento do fluxo pesa mais. Este texto é orientação operacional e não substitui parecer jurídico.

Principais pontos

• A LGPD vale sempre que um agente, assistente ou modelo de IA recebe, consulta ou gera algo com dado pessoal, mesmo que seja apenas uma conversa de WhatsApp.
• Cada fluxo precisa de uma finalidade específica e de uma base legal registrada. Consentimento é uma das opções, não a única.
• Minimização é a medida mais barata de risco: a IA deve ver só o que precisa para a tarefa e por tempo limitado.
• O titular tem direitos (acesso, correção, eliminação, informação, revisão de decisões automatizadas), e a empresa só os atende se souber onde os dados estão.
• Contrato com o fornecedor, controle de acesso, registro das operações e supervisão humana fazem parte da conformidade, não são extras.

A LGPD se aplica a qualquer uso de IA com dados pessoais?

Sim. A lei trata de qualquer operação com dado pessoal: coletar, armazenar, consultar, enviar a um terceiro, usar para gerar uma resposta. Quando um agente lê uma mensagem com nome e telefone, ou quando um colaborador cola um contrato de cliente em um assistente, existe tratamento de dados.

O primeiro passo é entender os papéis. A empresa que decide por que e como os dados são usados é a controladora. O fornecedor que trata os dados em nome dela costuma ser operador. Quem é o quê depende do contrato e de como o fornecedor usa as informações, por exemplo se ele as retém ou as usa para treinar modelos. Isso se verifica nos termos de serviço e no contrato, não se presume.

Dados sensíveis, como saúde, biometria e convicções, têm regime mais rígido. Se o fluxo de IA toca esse tipo de dado, a análise jurídica deve vir antes do piloto. A ANPD é a fonte oficial para guias e orientações sobre o tema.

Finalidade e base legal: o que definir antes de ligar a ferramenta

Finalidade é o motivo concreto pelo qual o dado é tratado. Melhorar a experiência do cliente é vago demais. Responder dúvidas sobre o andamento de um pedido é específico, verificável e fácil de explicar ao titular. Se a finalidade não cabe em uma frase, o fluxo provavelmente está amplo demais.

Depois da finalidade vem a base legal. A LGPD prevê várias hipóteses, entre elas execução de contrato, cumprimento de obrigação legal, legítimo interesse e consentimento. Muitas empresas assumem que consentimento resolve tudo, mas ele pode ser revogado e precisa ser livre e informado. Para um atendimento ligado a um contrato já existente, outra base pode ser mais adequada. Quem trabalha com WhatsApp pode aprofundar esse ponto em LGPD no WhatsApp com IA: consentimento, base legal e registro.

Dois cuidados práticos:

• Registre a finalidade e a base legal de cada fluxo por escrito, com o nome de quem aprovou.
• Não reaproveite dados coletados para atendimento em treinamento de modelo, campanhas ou perfilamento sem reavaliar finalidade e base.

Minimização e retenção: o que a IA realmente precisa ver

O princípio da necessidade pede que o tratamento se limite ao mínimo para a finalidade. Em projetos de IA, a tentação é entregar a base inteira ao modelo para ver o que ele consegue fazer. Esse é o caminho mais curto para um problema de conformidade e de segurança.

Um guia de decisão simples para cada fluxo:

• Se a tarefa funciona sem identificar a pessoa, remova nome, CPF e telefone antes de enviar o texto ao modelo.
• Se a tarefa precisa de um dado só, como o status de um pedido, consulte apenas esse campo e não o cadastro completo.
• Se o fluxo envolve dado sensível, pergunte primeiro se ele pode ficar de fora. Se não puder, exija base legal específica e revisão jurídica.
• Defina quanto tempo conversas, anexos e logs ficam guardados e quem pode acessá-los.
• Prefira consultas pontuais com permissão mínima a copiar planilhas e bases inteiras para dentro de prompts ou de repositórios de conhecimento.

Há também o lado de segurança. A lista OWASP Top 10 para aplicações com LLM inclui riscos como divulgação de informação sensível e injeção de prompt. Quanto menos dado pessoal o agente enxerga, menor o estrago possível se alguém conseguir manipulá-lo.

Transparência, decisões automatizadas e direitos do titular

A pessoa deve saber que está falando com um sistema automatizado, para que seus dados são usados e como falar com um humano. Um aviso curto no início da conversa e uma política de privacidade que cite o uso de IA já cobrem boa parte disso.

Os direitos do titular previstos na LGPD incluem confirmar se há tratamento, acessar os dados, corrigir informações, pedir anonimização ou eliminação quando cabível, saber com quem os dados foram compartilhados e revogar o consentimento. Além disso, a lei prevê que o titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e pedir informações sobre os critérios usados.

Para a operação, isso se traduz em perguntas práticas:

• Conseguimos localizar tudo o que temos de uma pessoa: conversas, logs, anexos, índices de busca e backups?
• Se ela pedir eliminação, sabemos o que apagar, o que precisamos manter por obrigação legal e o que o fornecedor guarda?
• Quando a IA influencia uma decisão que afeta a pessoa, como crédito, cobrança ou seleção, existe revisão humana e registro do motivo?

Repositórios derivados, como índices vetoriais usados para busca, também podem conter dado pessoal. Eles entram no mapeamento. Para o encaminhamento a uma pessoa, vale o playbook de transbordo humano em agentes de IA no WhatsApp, e para ações com consequência, uma política de aprovação para agentes de IA.

Fornecedores, segurança e registro das operações

O contrato com o fornecedor de IA é parte da conformidade. Vale checar e documentar:

• Para que o fornecedor pode usar os dados, e se eles são usados para treinar modelos.
• Quais subcontratados participam e onde o processamento acontece.
• Por quanto tempo os dados ficam retidos e como são apagados.
• Como e em que prazo ele avisa sobre incidentes de segurança.

Muitos serviços de IA processam dados fora do Brasil. A LGPD exige um mecanismo válido para transferência internacional, e a escolha deve passar pelo jurídico, com acompanhamento das orientações da ANPD.

Do lado da segurança, aplicam-se as práticas conhecidas: acesso por menor privilégio, segredos fora de prompts e de código, separação entre ambientes e revisão de quem pode acionar cada ferramenta. A LGPD também pede registro das operações de tratamento e, em casos de maior risco, um relatório de impacto à proteção de dados pessoais, que a ANPD pode solicitar. Um mapa do fluxo com dados, finalidade, base legal, fornecedores e responsáveis serve de ponto de partida para os dois.

Um cuidado sutil: logs de decisão são necessários para auditoria, mas também podem conter dado pessoal. Registre o suficiente para reconstruir o que aconteceu, com prazo de retenção e acesso restrito. Para estruturar a governança de risco, o NIST AI Risk Management Framework é uma referência voluntária útil, que complementa a lei sem substituí-la.

Plano em etapas para colocar a IA em conformidade

Uma sequência que cabe em uma equipe pequena:

• Liste os usos de IA que já existem, inclusive os informais, como colaboradores usando assistentes por conta própria.
• Para cada uso, anote quais dados pessoais entram, de quem são e para onde vão.
• Escreva a finalidade em uma frase e escolha a base legal com apoio jurídico.
• Corte os dados ao mínimo e defina retenção para conversas e logs.
• Revise contrato, local de processamento e uso de dados pelo fornecedor.
• Defina o aviso ao titular, o canal para falar com humano e o procedimento para pedidos de direitos.
• Pilote um único fluxo com registro e uma métrica combinada, e só então decida expandir, ajustar ou parar.

Esse plano segue o mesmo método que usamos em projetos de IA: mapear o processo e os dados atuais, limitar dados e ações, pilotar um fluxo real com logs e uma métrica de sucesso acordada, e transferir a operação com documentação para decidir o próximo passo. A proteção de dados entra em cada etapa, não como revisão final. Para estruturar o piloto, há um modelo de plano piloto de IA que pode ser adaptado.

Cenário ilustrativo: uma clínica quer um agente no WhatsApp para confirmar e remarcar consultas. No mapeamento, a equipe percebe que o agente só precisa do primeiro nome, do horário e do profissional, e não do prontuário nem do motivo da consulta. A finalidade é confirmar agendamentos já contratados, o fluxo não lê dado de saúde, e pedidos sobre sintomas ou resultados vão direto para a recepção. O aviso informa que o atendimento inicial é automatizado, as conversas têm prazo de retenção definido, e o fornecedor é avaliado quanto a retenção e treinamento. O ganho de conformidade vem de decisões simples tomadas antes da implantação.

Perguntas frequentes

Preciso de consentimento para usar IA com dados de clientes? Não necessariamente. A LGPD prevê várias bases legais, e a adequada depende da finalidade e do contexto, como a execução de um contrato já existente. Consentimento exige que seja livre, informado e revogável, então vale usá-lo quando faz sentido e não por padrão. A escolha deve ser registrada com apoio jurídico.

Posso usar assistentes de IA abertos ao público com informações de clientes? Depende dos termos do plano contratado, do local de processamento e de como o fornecedor usa os dados. Contas pessoais, sem contrato e sem controle da empresa, são o cenário de maior risco. O caminho seguro é definir uma política interna, oferecer ferramentas aprovadas e proibir a inclusão de dados pessoais em usos não avaliados.

Existe uma regra específica da ANPD para inteligência artificial? A LGPD não tem um capítulo dedicado a IA, e as obrigações vêm dos princípios e dos direitos já previstos. O tema regulatório segue em discussão, então acompanhe os canais oficiais da ANPD e do Congresso e confirme com o jurídico a situação atual antes de decidir.

Quem responde se a IA errar ou expuser dados? Em geral, a empresa que decide a finalidade e os meios do tratamento responde perante o titular e a autoridade, mesmo quando usa fornecedor. O contrato pode prever responsabilidades entre as partes, mas não transfere a obrigação de ter controles. Por isso, limite de acesso, registro das operações e supervisão humana importam desde o piloto.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications