A resposta curta
A LGPD (Lei 13.709/2018) se aplica à inteligência artificial sempre que o sistema trata dados pessoais: ler, classificar, resumir ou enviar a um modelo um dado que identifica alguém é tratamento. Valem as mesmas regras de qualquer sistema: base legal, finalidade definida, só os dados necessários, segurança e transparência com o titular.
O que a IA acrescenta são pontos de atenção próprios: o envio de dados a provedores de modelo, muitas vezes fora do país, o uso de dados sensíveis, como os de saúde, e as decisões automatizadas que afetam pessoas. Este texto é um guia prático, não um parecer jurídico. Cada caso deve passar pelo encarregado de dados e pelo jurídico da sua organização.
Quando a LGPD se aplica ao uso de IA
A lei protege dados pessoais, isto é, informação relacionada a uma pessoa natural identificada ou identificável. Nome, CPF, e-mail, telefone, endereço e o histórico de atendimento de um cliente são dados pessoais. Um contrato com o nome do representante, uma nota fiscal emitida para pessoa física e uma mensagem de WhatsApp também carregam dados pessoais, mesmo que a tarefa da IA seja só extrair um valor.
Por isso a pergunta útil não é se a empresa usa IA, mas o que passa por ela. Uma automação que lê planilhas de estoque, sem dado de pessoa, fica fora da LGPD. Um agente que lê a caixa de e-mail do atendimento está dentro, porque cada mensagem tem remetente, assinatura e, às vezes, informação bem mais delicada.
Dados anonimizados de forma que não seja possível, com esforço razoável, voltar à pessoa deixam de ser dados pessoais para a lei. Pseudonimizar, trocando o nome por um código mas guardando a chave, reduz o risco, mas o dado continua pessoal.
Os princípios da LGPD que mais pesam em projetos de IA
A lei lista princípios que valem para todo tratamento. Em projetos com inteligência artificial, alguns pedem mais atenção.
- Base legal. Todo tratamento precisa se apoiar em uma das hipóteses previstas na lei, como execução de contrato, cumprimento de obrigação legal, legítimo interesse ou consentimento. A base que vale para o atendimento ao cliente não cobre automaticamente usar os mesmos dados em outra finalidade.
- Finalidade. O dado só pode ser usado para o propósito informado ao titular. Se a IA vai usar dados de atendimento para outra coisa, como treinar um modelo ou traçar perfil de consumo, isso precisa ser avaliado à parte.
- Necessidade, ou minimização. A IA deve receber só o que a tarefa exige. Para classificar um chamado pelo assunto, o modelo não precisa do CPF nem do endereço de quem escreveu.
- Transparência. O titular tem direito a informação clara sobre como os dados dele são tratados, o que inclui saber quando há tratamento automatizado envolvido.
- Segurança e prevenção. Medidas técnicas e administrativas para evitar acesso indevido, vazamento e uso fora do combinado, pensadas antes do incidente, não depois.
- Não discriminação. O tratamento não pode ser usado para fins discriminatórios ilícitos ou abusivos, cuidado especial quando a IA ajuda a classificar ou priorizar pessoas.
- Responsabilização. A organização precisa conseguir demonstrar que cumpre a lei, com registro e documentação, e não só afirmar que cumpre.
Dados sensíveis, como saúde, pedem regras mais rígidas
A LGPD chama de dados pessoais sensíveis os que tratam de origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos e biométricos. O tratamento desses dados tem hipóteses mais restritas, e o legítimo interesse não está entre elas.
Na prática, um projeto de IA que lê prontuários, laudos, atestados ou triagens de pacientes está no grupo de maior risco. Isso não impede o projeto, mas pede controle de acesso por perfil, registro de cada movimentação, critério sobre o que pode sair do ambiente e, em muitos casos, um relatório de impacto. No sistema de gestão de pacientes que desenvolvemos para uma unidade de pronto atendimento, perfis de acesso, trilha de auditoria e adequação à LGPD fazem parte do escopo desde o início.
| Tipo de dado | Exemplos | Risco | Cuidado mínimo antes de usar IA |
|---|---|---|---|
| Sem dado pessoal | Estoque, preços de catálogo, manuais técnicos | Baixo para a LGPD | Contratos de confidencialidade e regras de uso da ferramenta |
| Anonimizado ou agregado | Totais por mês, indicadores sem identificação | Baixo, se a anonimização for real | Conferir se não dá para voltar à pessoa cruzando com outras fontes |
| Pessoal comum | Nome, e-mail, telefone, histórico de compras | Médio | Base legal, minimização, acesso restrito e registro do tratamento |
| Financeiro ou de crédito | Dados bancários, renda, inadimplência | Alto, pelo dano em caso de vazamento ou erro | Revisão humana nas decisões e controle forte de acesso |
| Sensível | Saúde, biometria, religião, filiação sindical | Muito alto | Hipótese legal específica, relatório de impacto, envio externo só com regra explícita |
| De crianças e adolescentes | Cadastro escolar, atendimento a menores | Muito alto | Tratamento no melhor interesse do menor e avaliação com o jurídico |
Decisão automatizada e o direito de revisão
O artigo 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses dele, incluindo as que definem perfil pessoal, profissional, de consumo e de crédito. A lei também prevê que o controlador forneça, quando solicitado, informação clara sobre os critérios e os procedimentos usados, resguardados os segredos comercial e industrial.
Isso pesa no desenho do sistema. Se a IA aprova ou recusa um crédito, filtra currículos ou define prioridade de atendimento sem ninguém no meio, a empresa precisa estar pronta para explicar o critério e revisar a decisão. Um fluxo em que a IA sugere e uma pessoa decide reduz esse risco e, de quebra, pega os erros do modelo antes que virem problema. É o desenho que adotamos em automação e inteligência artificial: revisão humana nos pontos de decisão e registro do que a IA sugeriu e do que foi aprovado.
Enviar dados para um provedor de modelo de IA
Quando um sistema usa um modelo de linguagem de terceiros, o texto enviado no pedido sai do ambiente da empresa e é processado nos servidores do provedor. Do ponto de vista da LGPD, em geral a sua organização segue como controladora, a que decide sobre o tratamento, e o provedor atua como operador. A responsabilidade de escolher bem e de contratar com cláusulas adequadas continua sendo sua.
Antes de enviar dados pessoais, vale conferir nos termos do provedor se os dados enviados são usados para treinar modelos, por quanto tempo ficam guardados, em que país são processados e quais garantias de segurança são oferecidas. Se o processamento acontece fora do Brasil, há transferência internacional de dados, que a LGPD só admite em hipóteses específicas. Planos empresariais costumam ter condições diferentes dos planos gratuitos, e essa diferença precisa estar por escrito.
Uma boa prática é tirar do texto, antes do envio, o que a tarefa não exige: nomes, documentos, contatos. Em muitas tarefas de classificação e extração, o modelo trabalha tão bem com o dado mascarado quanto com o original. O artigo sobre agentes de IA para empresas mostra como limitar o que um agente pode ler.
Checklist antes de colocar IA em produção
Antes de ligar uma automação com IA a dados de produção, estes pontos devem ter resposta escrita, revisada pelo encarregado de dados e pelo jurídico.
- Mapa dos dados. Quais dados pessoais entram no fluxo, de onde vêm, quem acessa e por quanto tempo ficam guardados.
- Base legal e finalidade. Qual hipótese da lei sustenta o tratamento e se a finalidade é compatível com a que foi informada ao titular.
- Minimização. O que pode ser retirado ou mascarado antes de chegar ao modelo sem prejudicar a tarefa.
- Provedor do modelo. Termos de uso, retenção, treinamento com os dados enviados, local de processamento e contrato com cláusulas de proteção de dados.
- Dados sensíveis. Se aparecem no fluxo, qual a hipótese legal específica e se é preciso um relatório de impacto à proteção de dados pessoais.
- Revisão humana. Quais decisões a IA só sugere, quem aprova e como o titular pode pedir revisão de uma decisão automatizada.
- Registro. Log do que foi processado, do que a IA sugeriu e de quem aprovou, para demonstrar o cumprimento da lei e investigar erros.
- Segurança e incidente. Controle de acesso, credenciais protegidas e um plano do que fazer se houver vazamento ou uso indevido.
No nosso método de trabalho, proteção de dados e LGPD entram desde o desenho, e informação do cliente só passa por ferramentas autorizadas. Se você está escolhendo qual processo automatizar, o guia sobre como automatizar processos com IA complementa este checklist.