LGPD e transferência internacional de dados ao usar IA no exterior

LGPD e transferência internacional de dados ao usar IA no exterior

Na maioria dos casos, sim: quando uma empresa no Brasil envia dados pessoais a um provedor de IA que trata esses dados em outro país, isso é transferência internacional de dados segundo a LGPD (art. 5º, XV, e arts. 33 a 36). Isso não proíbe o uso, mas exige que a empresa tenha uma hipótese legal do art. 33, um contrato adequado com o provedor e controle sobre o que é enviado.

Principais pontos

• Enviar nome, telefone, e-mail ou o texto de uma conversa a uma API de IA hospedada fora do Brasil costuma ser transferência internacional.
• A transferência só é permitida se houver uma das hipóteses do art. 33, como cláusulas contratuais reconhecidas pela ANPD, país com grau de proteção adequado ou consentimento específico e em destaque.
• O caminho mais comum para empresas é o uso de cláusulas-padrão contratuais, conforme o regulamento da ANPD, e não o consentimento.
• Antes de discutir contrato, reduza o que sai: dados mascarados ou sem identificação pessoal simplificam muito o problema.
• A responsabilidade continua sendo da empresa que decide enviar os dados, mesmo quando o provedor é grande e conhecido.

O que a LGPD chama de transferência internacional

A LGPD define transferência internacional como a transferência de dados pessoais para país estrangeiro ou para organismo internacional do qual o Brasil seja membro. O conceito é amplo de propósito. Não importa se o envio é um arquivo, uma chamada de API ou uma integração entre sistemas: se dados pessoais passam a ser tratados por um agente no exterior, a regra se aplica.

O capítulo da LGPD sobre o tema (arts. 33 a 36) diz que a transferência só pode acontecer em hipóteses listadas. Entre elas estão: países ou organismos com grau de proteção de dados adequado, reconhecido pela ANPD; garantias oferecidas pelo controlador por meio de cláusulas contratuais específicas, cláusulas-padrão contratuais, normas corporativas globais ou selos, certificados e códigos de conduta; e o consentimento específico e em destaque do titular, com informação prévia sobre o caráter internacional da operação. Há ainda hipóteses ligadas a obrigação legal, execução de contrato e exercício regular de direitos, que valem para situações mais pontuais.

A ANPD regulamentou o tema em um regulamento próprio de transferência internacional, que detalha as cláusulas-padrão e o procedimento. O texto oficial e as atualizações ficam no site da ANPD. Antes de fechar qualquer decisão, leia a versão em vigor, porque a prática administrativa evolui.

Quando o uso de IA se enquadra nessa regra

O que segue abaixo é leitura prática do texto legal, não parecer jurídico. Para casos de risco alto, consulte um advogado especializado em proteção de dados.

O uso de IA costuma se enquadrar quando:

• o agente de atendimento envia a mensagem do cliente, com nome ou telefone, para uma API de modelo de linguagem hospedada fora do Brasil;
• um colaborador cola em um chat público de IA uma planilha, um contrato ou um e-mail com dados de clientes;
• uma ferramenta de transcrição de reuniões envia o áudio para servidores no exterior (veja o caso em gravar reunião com IA e LGPD);
• uma plataforma de automação ou de agentes guarda logs de conversa em nuvem de outro país.

O enquadramento tende a não ocorrer quando:

• os dados enviados não são pessoais, como um texto técnico genérico sem qualquer identificação;
• os dados foram de fato anonimizados, de modo que não seja possível identificar a pessoa com meios razoáveis (art. 12);
• o modelo roda dentro da sua infraestrutura no Brasil, sem envio a terceiros no exterior.

Há zonas cinzentas. Um provedor pode armazenar os dados em região no Brasil, mas ter equipes de suporte ou subprocessadores em outros países com possibilidade de acesso. Isso é hipótese a verificar no contrato e na documentação do provedor, e não algo que se deva presumir. A mesma cautela vale para dados que passam por um intermediário (a plataforma de atendimento) antes de chegar ao provedor do modelo: cada elo da cadeia conta.

O regulamento da ANPD também distingue a transferência da chamada coleta internacional, em que o agente no exterior coleta o dado diretamente do titular. Se o seu cliente fala direto com um serviço estrangeiro, o desenho jurídico muda. Quando a sua empresa é quem recebe a mensagem e repassa ao modelo, o cenário é de transferência.

O que a LGPD e a ANPD pedem da empresa

O controlador, em geral a empresa que decide usar a IA, precisa demonstrar alguns pontos.

• Base legal para o tratamento em si. Antes de falar de transferência, é preciso ter base legal do art. 7º (ou do art. 11, se houver dado sensível) para usar o dado naquela finalidade.
• Hipótese de transferência do art. 33. Na prática empresarial, costuma ser o uso de cláusulas-padrão contratuais ou outra garantia contratual prevista na lei.
• Transparência. O titular deve ser informado, na política de privacidade e no atendimento, de que dados podem ser tratados por provedores no exterior e com qual finalidade.
• Princípios do art. 6º. Finalidade, adequação e necessidade significam enviar só o que a tarefa exige. Segurança e prevenção exigem medidas técnicas proporcionais.
• Registro das operações (art. 37). Mantenha o mapa do que é tratado, onde e por quem.
• Responsabilidade. O art. 42 prevê reparação por danos. Contratar um provedor não transfere a responsabilidade da empresa perante o titular e a ANPD.

Se o agente de IA toma decisões que afetam o titular, como análise de crédito ou triagem, acrescente a leitura sobre decisões automatizadas e o art. 20. E para o quadro regulatório mais amplo, acompanhe o marco legal da IA no Brasil.

Que cláusulas e termos verificar no contrato com o provedor

Ao avaliar o contrato ou o aditamento de tratamento de dados (DPA) do provedor, confirme os itens abaixo. A ausência de um deles não significa que o uso seja ilegal, mas indica uma pergunta que precisa de resposta antes do piloto.

• Papéis das partes: o provedor atua como operador, tratando dados em nome da sua empresa, ou como controlador próprio para algumas finalidades?
• Uso para treinamento: os dados enviados por API ou pelo plano empresarial são usados para treinar modelos? Isso está desativado por padrão ou depende de configuração?
• Retenção: por quanto tempo prompts e respostas ficam armazenados, e é possível reduzir ou desativar a retenção?
• Localização e acesso: em quais países os dados são processados e armazenados, e de onde equipes de suporte podem acessá-los?
• Subprocessadores: existe lista publicada, com aviso de mudanças e direito de objeção?
• Cláusulas-padrão: o contrato incorpora as cláusulas-padrão exigidas pela ANPD ou prevê outra garantia do art. 33? Se o texto for das cláusulas-padrão, ele não deve ser alterado em seu conteúdo.
• Segurança: criptografia, controle de acesso, registro de acessos e certificações que o provedor declara, com documentação disponível.
• Incidentes: prazo e forma de comunicação à sua empresa em caso de vazamento, para que você consiga cumprir seus deveres perante a ANPD e os titulares.
• Direitos dos titulares: como o provedor ajuda a atender pedidos de acesso, correção e eliminação.
• Devolução e eliminação: o que acontece com os dados ao fim do contrato.
• Auditoria: que evidências o provedor entrega sobre o cumprimento do que prometeu.

Trate as informações do contrato e da documentação oficial do provedor como fonte primária. Páginas de marketing e respostas de um assistente de IA sobre o próprio provedor não substituem o texto contratual.

Cenário ilustrativo: atendimento no WhatsApp com modelo no exterior

O cenário a seguir é ilustrativo. Uma empresa de serviços recebe pedidos de segunda via e agendamentos pelo WhatsApp. Ela quer um agente que entenda a mensagem, consulte o sistema interno e responda.

O desenho inicial manda ao modelo a conversa inteira, com nome completo, telefone e endereço, e guarda os logs na plataforma do fornecedor. Ao mapear o fluxo, a equipe percebe que o modelo só precisa saber a intenção (segunda via, agendamento, dúvida) e o texto da dúvida. Nome, telefone e endereço podem ficar no sistema interno, que monta a resposta final.

Depois do ajuste, a mensagem é mascarada antes do envio, o modelo devolve a intenção e o texto sugerido, e o sistema local preenche os dados pessoais. O que ainda sai do Brasil é menor e menos identificável. Mesmo assim, como alguma mensagem pode conter dados pessoais digitados pelo próprio cliente, a empresa mantém o contrato com garantias do art. 33, a política de privacidade atualizada e a retenção mínima nos logs. Para a parte de canal, vale ver como integrar IA no WhatsApp da empresa.

Plano em etapas para decidir com segurança

O método que aplicamos em projetos de IA segue quatro movimentos: mapear, limitar, pilotar e entregar. Para a questão da transferência internacional, ele se traduz assim.

• Mapear: liste cada fluxo que usa IA, quais dados pessoais entram, qual provedor recebe, em que país ele trata os dados e quem tem acesso. Inclua o uso informal de chats de IA por colaboradores.
• Limitar: defina o mínimo de dados necessário para cada tarefa. Mascare ou substitua identificadores antes do envio, bloqueie categorias sensíveis (saúde, biometria, dados de crianças) em fluxos que não precisem delas e restrinja as ações do agente.
• Escolher a garantia: com o jurídico, defina a hipótese do art. 33 aplicável e confira o contrato do provedor contra a lista de cláusulas acima.
• Pilotar: rode um fluxo real e pequeno, com logs do que foi enviado, uma métrica de sucesso combinada e revisão humana dos casos limítrofes.
• Entregar e revisar: documente decisões, atualize a política de privacidade e o registro de operações, e defina quando reavaliar (troca de provedor, nova funcionalidade, mudança de contrato). Ao final do piloto, decida expandir, ajustar ou parar.

Para estruturar o risco de forma mais ampla, o NIST AI Risk Management Framework oferece vocabulário útil de governança, e o OWASP Top 10 para aplicações com LLM ajuda a revisar riscos como vazamento de informação sensível. Nenhum dos dois substitui a análise da LGPD, mas ambos complementam a parte técnica.

Como reduzir o que sai do Brasil

A melhor forma de simplificar a conformidade é enviar menos. Algumas medidas, em ordem de esforço:

• Política interna clara sobre o que pode e não pode ser colado em ferramentas de IA, como descrito em política de uso de ChatGPT na empresa.
• Mascaramento ou pseudonimização antes da chamada à API, com a reidentificação feita dentro do seu sistema. Lembre que dado pseudonimizado ainda pode ser dado pessoal.
• Contas empresariais com retenção reduzida e sem uso dos dados para treinamento, quando o provedor oferecer essa configuração e o contrato a garantir.
• Modelos executados em infraestrutura própria ou em nuvem no Brasil para os fluxos mais sensíveis, o que pede um desenho cuidadoso, como em Ollama na empresa.
• Separar tarefas: usar modelo no exterior apenas para conteúdo sem dado pessoal e manter o restante em ambiente controlado.

Nenhuma dessas medidas elimina a necessidade de avaliar o caso concreto, mas todas diminuem a superfície de risco e tornam o contrato menos crítico.

Perguntas frequentes

Usar o ChatGPT ou outra IA com dados de clientes é sempre transferência internacional? Não necessariamente. Se o que você envia não contém dado pessoal, ou se o dado foi anonimizado de forma efetiva, a regra de transferência não se aplica. Se há nome, telefone, e-mail ou conteúdo que identifique alguém e o provedor trata isso no exterior, a regra tende a se aplicar.

Preciso do consentimento do cliente para enviar dados a uma IA no exterior? Em geral não é o caminho principal. O consentimento específico e em destaque é uma das hipóteses do art. 33, mas costuma ser frágil, pois pode ser revogado e precisa ser livre e informado. Empresas normalmente preferem garantias contratuais, como as cláusulas-padrão, desde que também exista base legal para o tratamento em si.

Se o provedor guarda os dados em servidor no Brasil, o problema desaparece? Reduz, mas não elimina automaticamente. É preciso confirmar se há processamento, suporte ou acesso por subprocessadores em outros países, pois isso pode caracterizar transferência. A resposta está no contrato, na lista de subprocessadores e na documentação do provedor.

A responsabilidade fica com o provedor se algo der errado? Não. A empresa que decide enviar os dados continua responsável perante os titulares e a ANPD, e a LGPD prevê responsabilização de controlador e operador conforme o caso. Por isso vale documentar a escolha do provedor, as cláusulas verificadas e as medidas de limitação de dados.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications