La respuesta corta
La ley brasileña de protección de datos, la LGPD (Ley 13.709/2018), se aplica a la inteligencia artificial siempre que el sistema trata datos personales: leer, clasificar, resumir o enviar a un modelo un dato que identifica a alguien es tratamiento. Valen las mismas reglas de cualquier sistema: base legal, finalidad definida, solo los datos necesarios, seguridad y transparencia con el titular.
Lo que la IA agrega son puntos de atención propios: el envío de datos a proveedores de modelos, muchas veces fuera del país, el uso de datos sensibles, como los de salud, y las decisiones automatizadas que afectan a personas. Este texto es una guía práctica, no un dictamen jurídico. Cada caso debe pasar por el encargado de protección de datos (DPO) y por el área jurídica de su organización.
Cuándo se aplica la LGPD al uso de IA
La ley protege datos personales, es decir, información relacionada con una persona natural identificada o identificable. Nombre, CPF (número de contribuyente brasileño), correo, teléfono, dirección y el historial de atención de un cliente son datos personales. Un contrato con el nombre del representante, una factura emitida a una persona física y un mensaje de WhatsApp también contienen datos personales, aunque la tarea de la IA sea solo extraer un monto.
Por eso la pregunta útil no es si la empresa usa IA, sino qué pasa por ella. Una automatización que lee hojas de inventario, sin datos de personas, queda fuera de la LGPD. Un agente que lee la bandeja de correo de atención está dentro, porque cada mensaje tiene remitente, firma y, a veces, información mucho más delicada.
Los datos anonimizados de modo que no sea posible, con un esfuerzo razonable, volver a la persona dejan de ser datos personales para la ley. Seudonimizar, cambiando el nombre por un código pero guardando la clave, reduce el riesgo, pero el dato sigue siendo personal.
Los principios de la LGPD que más pesan en proyectos de IA
La ley enumera principios que valen para todo tratamiento. En proyectos con inteligencia artificial, algunos piden más atención.
- Base legal. Todo tratamiento debe apoyarse en una de las hipótesis previstas en la ley, como la ejecución de un contrato, el cumplimiento de una obligación legal, el interés legítimo o el consentimiento. La base que vale para la atención al cliente no cubre automáticamente usar los mismos datos con otra finalidad.
- Finalidad. El dato solo puede usarse para el propósito informado al titular. Si la IA va a usar datos de atención para otra cosa, como entrenar un modelo o trazar un perfil de consumo, eso debe evaluarse por separado.
- Necesidad, o minimización. La IA debe recibir solo lo que la tarea exige. Para clasificar un ticket por asunto, el modelo no necesita el CPF ni la dirección de quien escribió.
- Transparencia. El titular tiene derecho a información clara sobre cómo se tratan sus datos, lo que incluye saber cuándo hay tratamiento automatizado de por medio.
- Seguridad y prevención. Medidas técnicas y administrativas para evitar accesos indebidos, filtraciones y usos fuera de lo acordado, pensadas antes del incidente, no después.
- No discriminación. El tratamiento no puede usarse con fines discriminatorios ilícitos o abusivos, un cuidado especial cuando la IA ayuda a clasificar o priorizar personas.
- Responsabilidad. La organización debe poder demostrar que cumple la ley, con registros y documentación, y no solo afirmar que la cumple.
Los datos sensibles, como los de salud, exigen reglas más estrictas
La LGPD llama datos personales sensibles a los que se refieren a origen racial o étnico, convicción religiosa, opinión política, afiliación a un sindicato o a una organización de carácter religioso, filosófico o político, salud, vida sexual, datos genéticos y biométricos. El tratamiento de estos datos tiene hipótesis más restringidas, y el interés legítimo no está entre ellas.
En la práctica, un proyecto de IA que lee historias clínicas, informes, certificados médicos o triajes de pacientes está en el grupo de mayor riesgo. Eso no impide el proyecto, pero exige control de acceso por perfil, registro de cada movimiento, criterio sobre lo que puede salir del entorno y, en muchos casos, una evaluación de impacto. En el sistema de gestión de pacientes que desarrollamos para una unidad de atención de urgencias, los perfiles de acceso, la pista de auditoría y la adecuación a la LGPD forman parte del alcance desde el inicio.
| Tipo de dato | Ejemplos | Riesgo | Cuidado mínimo antes de usar IA |
|---|---|---|---|
| Sin datos personales | Inventario, precios de catálogo, manuales técnicos | Bajo para la LGPD | Acuerdos de confidencialidad y reglas de uso de la herramienta |
| Anonimizado o agregado | Totales por mes, indicadores sin identificación | Bajo, si la anonimización es real | Verificar que no se pueda volver a la persona cruzando con otras fuentes |
| Personal común | Nombre, correo, teléfono, historial de compras | Medio | Base legal, minimización, acceso restringido y registro del tratamiento |
| Financiero o de crédito | Datos bancarios, ingresos, morosidad | Alto, por el daño en caso de filtración o error | Revisión humana en las decisiones y control fuerte de acceso |
| Sensible | Salud, biometría, religión, afiliación sindical | Muy alto | Hipótesis legal específica, evaluación de impacto, envío externo solo con regla explícita |
| De niños y adolescentes | Registro escolar, atención a menores | Muy alto | Tratamiento en el mejor interés del menor y evaluación con el área jurídica |
Decisión automatizada y el derecho de revisión
El artículo 20 de la LGPD le da al titular el derecho de solicitar la revisión de decisiones tomadas únicamente con base en tratamiento automatizado que afecten sus intereses, incluidas las que definen su perfil personal, profesional, de consumo y de crédito. La ley también prevé que el controlador proporcione, cuando se le solicite, información clara sobre los criterios y los procedimientos utilizados, resguardados los secretos comercial e industrial.
Esto pesa en el diseño del sistema. Si la IA aprueba o rechaza un crédito, filtra currículos o define la prioridad de atención sin nadie de por medio, la empresa debe estar lista para explicar el criterio y revisar la decisión. Un flujo en el que la IA sugiere y una persona decide reduce ese riesgo y, además, detecta los errores del modelo antes de que se conviertan en un problema. Es el diseño que adoptamos en automatización e inteligencia artificial: revisión humana en los puntos de decisión y registro de lo que la IA sugirió y de lo que se aprobó.
Enviar datos a un proveedor de modelos de IA
Cuando un sistema usa un modelo de lenguaje de terceros, el texto enviado en la solicitud sale del entorno de la empresa y se procesa en los servidores del proveedor. Desde el punto de vista de la LGPD, en general su organización sigue siendo la controladora, la que decide sobre el tratamiento, y el proveedor actúa como operador. La responsabilidad de elegir bien y de contratar con cláusulas adecuadas sigue siendo suya.
Antes de enviar datos personales, conviene revisar en los términos del proveedor si los datos enviados se usan para entrenar modelos, cuánto tiempo se guardan, en qué país se procesan y qué garantías de seguridad se ofrecen. Si el procesamiento ocurre fuera de Brasil, hay transferencia internacional de datos, que la LGPD solo admite en hipótesis específicas. Los planes empresariales suelen tener condiciones distintas de los planes gratuitos, y esa diferencia debe constar por escrito.
Una buena práctica es quitar del texto, antes del envío, lo que la tarea no exige: nombres, documentos, contactos. En muchas tareas de clasificación y extracción, el modelo trabaja tan bien con el dato enmascarado como con el original. El artículo sobre agentes de IA para empresas muestra cómo limitar lo que un agente puede leer.
Checklist antes de poner IA en producción
Antes de conectar una automatización con IA a datos de producción, estos puntos deben tener una respuesta escrita, revisada por el encargado de protección de datos y por el área jurídica.
- Mapa de datos. Qué datos personales entran en el flujo, de dónde vienen, quién accede y por cuánto tiempo se guardan.
- Base legal y finalidad. Qué hipótesis de la ley sustenta el tratamiento y si la finalidad es compatible con la que se informó al titular.
- Minimización. Qué se puede quitar o enmascarar antes de que llegue al modelo sin perjudicar la tarea.
- Proveedor del modelo. Términos de uso, retención, entrenamiento con los datos enviados, lugar de procesamiento y contrato con cláusulas de protección de datos.
- Datos sensibles. Si aparecen en el flujo, cuál es la hipótesis legal específica y si se necesita una evaluación de impacto a la protección de datos personales.
- Revisión humana. Qué decisiones la IA solo sugiere, quién aprueba y cómo el titular puede pedir la revisión de una decisión automatizada.
- Registro. Log de lo que se procesó, de lo que la IA sugirió y de quién aprobó, para demostrar el cumplimiento de la ley e investigar errores.
- Seguridad e incidentes. Control de acceso, credenciales protegidas y un plan de qué hacer si hay una filtración o un uso indebido.
En nuestro método de trabajo, la protección de datos y la LGPD entran desde el diseño, y la información del cliente solo pasa por herramientas autorizadas. Si está eligiendo qué proceso automatizar, la guía sobre cómo automatizar procesos con IA complementa este checklist.