LGPD e IA: os 7 pontos que toda empresa precisa resolver antes de automatizar com dados

Arthur Frota

Usar IA sobre dados de clientes, colaboradores ou parceiros não é uma zona cinzenta da LGPD. A Lei 13.709/2018 já regula o tratamento automatizado de dados pessoais, e a ANPD incluiu inteligência artificial e tecnologias emergentes entre os quatro temas prioritários de fiscalização para o biênio 2026-2027, ao lado de direitos dos titulares e proteção de dados de crianças e adolescentes.

Quem espera o projeto de lei de IA ser aprovado para começar a se preparar já está atrasado. A LGPD vigente impõe obrigações concretas que valem hoje. Os sete pontos abaixo traduzem essas obrigações em linguagem acionável, com referência direta aos artigos que as sustentam.

1. Identificar quais dados pessoais entram na operação de IA

Antes de qualquer automação, é necessário mapear o que está sendo processado. Dados pessoais não ingressam em apenas um momento: permeiam todo o ciclo de desenvolvimento e operação da IA, com exigências jurídicas distintas em cada fase. Quando o contexto é construído com dados de CRMs, prontuários ou bases internas, cada informação que entra no modelo precisa ser identificada quanto à sua natureza.

A LGPD distingue dado pessoal comum de dado pessoal sensível. Dado pessoal é qualquer informação que identifica ou pode identificar uma pessoa: nome, CPF, e-mail, endereço, comportamento de compra. Dado sensível inclui origem racial, convicção religiosa, dado de saúde, biometria e outros listados no Art. 5º, II. O tratamento de dado sensível exige base legal específica do Art. 11, mais restritiva do que as bases do Art. 7º para dados comuns.

O que resolver: inventariar quais dados pessoais cada ferramenta de IA recebe, em que fase (treinamento, inferência, log de uso) e se há dados sensíveis entre eles. Sem esse mapeamento, é impossível cumprir qualquer das obrigações seguintes.

2. Definir a base legal para o tratamento automatizado

O Art. 7º da LGPD estabelece que o tratamento de dados pessoais só pode ser realizado em hipóteses previstas em lei: consentimento do titular, cumprimento de obrigação legal, execução de contrato, legítimo interesse do controlador, entre outras. Para cada operação de IA que envolva dados pessoais, a empresa precisa identificar qual dessas hipóteses sustenta aquele tratamento específico.

O erro mais comum é tratar o consentimento como base legal padrão para IA. Consentimento é revogável a qualquer momento pelo titular, o que pode comprometer operações que dependem de modelos treinados com dados históricos. Em muitos casos, execução de contrato ou legítimo interesse são bases mais adequadas, desde que o tratamento seja necessário, proporcional e documentado.

O que resolver: para cada caso de uso de IA que envolva dados pessoais, documentar qual base legal do Art. 7º (ou Art. 11, para dados sensíveis) sustenta aquele tratamento. A ANPD publicou Guia Orientativo sobre Legítimo Interesse em fevereiro de 2024, com modelo de teste de balanceamento que pode ser usado para avaliar se essa hipótese se aplica a cada caso.

3. Definir a posição do fornecedor de IA: controlador ou operador

A LGPD define o controlador como quem toma as decisões sobre o tratamento de dados pessoais. O operador é quem realiza o tratamento em nome do controlador, mediante suas instruções. Quando a empresa contrata uma ferramenta de IA de terceiros e alimenta essa ferramenta com dados de clientes ou colaboradores, o fornecedor assume a posição de operador, e a empresa continua sendo a controladora.

Isso tem consequências práticas diretas. Se o modelo é fornecido por terceiros, esse fornecedor age como operador nos termos da LGPD, e a relação deve ser formalizada em contrato com cláusulas de proteção de dados. Esse contrato precisa especificar proibição de uso dos dados para retreinamento do modelo do fornecedor, medidas de segurança exigidas, prazo de retenção e responsabilidades em caso de incidente.

O que resolver: para cada ferramenta de IA contratada que recebe dados pessoais, formalizar um contrato de processamento de dados com o fornecedor. Quando a empresa contrata um prestador de serviços que lida com dados pessoais em seu nome, ela continua responsável por assegurar que esse parceiro cumpra a LGPD. A responsabilidade do controlador não transfere para o operador: ambos respondem solidariamente por danos causados a titulares.

4. Garantir o atendimento de solicitações dos titulares

A LGPD assegura aos titulares direitos que a empresa precisa ser capaz de exercer mesmo quando os dados estão sendo processados por IA: acesso aos dados, correção, portabilidade, oposição ao tratamento e eliminação. Com automação, esses direitos se tornam mais difíceis de exercer porque o dado pode estar distribuído entre sistemas, modelos e logs de uso.

O Art. 18 define os direitos do titular. O Art. 19 estabelece que a confirmação de existência ou o acesso aos dados devem ser providenciados em formato simplificado imediatamente, ou por declaração completa em até 15 dias. Quando os dados de um titular estão dentro de um modelo de IA, a empresa precisa saber o que esse modelo retém, como acessar esse dado e como eliminá-lo se solicitado.

O que resolver: mapear por onde os dados pessoais circulam em cada pipeline de IA e garantir que há processo para responder a cada tipo de solicitação de titular. Isso inclui confirmar com o fornecedor do modelo se é possível excluir dados específicos e qual o prazo para isso.

5. Tratar a decisão automatizada que afeta pessoas 

Este é o ponto mais diretamente ligado ao uso de IA. O Art. 20 da LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir seu perfil pessoal, profissional, de consumo e de crédito.

O parágrafo 1º do mesmo artigo exige que o controlador forneça, sempre que solicitado, informações claras e adequadas sobre os critérios e procedimentos utilizados para a decisão automatizada. A ANPD colocou decisões automatizadas entre os quatro temas prioritários de fiscalização para 2026-2027, e publicou a Nota Técnica nº 12/2025 consolidando contribuições sobre a regulamentação do Art. 20.

O que resolver: identificar onde a empresa usa IA para tomar ou influenciar decisões que afetam pessoas: análise de crédito, triagem de candidatos, precificação personalizada, detecção de fraude com consequências para o cliente. Para cada caso, definir: há revisão humana possível? Há canal para o titular contestar a decisão? Há explicação disponível sobre os critérios usados? Sem essas respostas, a empresa está exposta à fiscalização da ANPD sobre o Art. 20.

6. Ter política de retenção e exclusão de dados

A LGPD determina que dados pessoais sejam eliminados após o término do tratamento, salvo exceções previstas em lei (Art. 16). Com IA, a retenção se torna mais complexa porque os dados podem estar em múltiplos lugares: na base de treinamento do modelo, nos logs de inferência, nos históricos de conversa, nas bases de dados que alimentam o sistema.

Sem uma política de retenção definida, a empresa tende a guardar dado indefinidamente por precaução. Esse comportamento viola o princípio da necessidade (Art. 6º, III), que exige que apenas os dados estritamente necessários à finalidade sejam tratados.

O que resolver: definir por quanto tempo cada tipo de dado pessoal é necessário para cada finalidade de IA. Documentar essa política. Garantir que os sistemas têm mecanismo técnico de exclusão ao final do prazo. Incluir no contrato com fornecedores de IA a obrigação de eliminar dados no prazo definido e confirmar a eliminação por escrito.

7. Manter log de auditoria de acesso a dados pessoais

O Art. 37 da LGPD obriga controladores e operadores a manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando o tratamento for baseado em legítimo interesse. Com IA, esse registro precisa cobrir não só quem acessou os dados, mas quais dados foram usados em cada inferência, quando, com qual resultado e com qual base legal.

Esse log serve a dois propósitos. O primeiro é responder a solicitações de titulares e à ANPD em caso de fiscalização. O segundo é a capacidade de demonstrar conformidade, o que a LGPD chama de accountability (Art. 6º, X): não basta ser conforme, é preciso poder provar que é conforme.

O que resolver: garantir que cada pipeline de IA que processa dados pessoais gera registro auditável: quais dados foram processados, quando, por qual finalidade e com qual resultado. Esse log precisa ser acessível e legível, não apenas existir como dado técnico não interpretável. A ANPD já reafirmou que deixar de adotar medidas concretas de proteção, como controles de acesso, registros de uso e processos de resposta a incidentes, configura potencial violação ao princípio da segurança quando os riscos incidem sobre direitos e liberdades fundamentais dos titulares.

O que une os sete pontos

Nenhum dos sete pontos é específico de IA. Todos derivam de princípios e obrigações que a LGPD já impõe para qualquer tratamento de dados pessoais. O que a IA adiciona é complexidade: mais sistemas, mais fornecedores, mais fases de tratamento, decisões mais rápidas e menos visíveis.

A empresa que já tem governança de dados em ordem resolve os sete pontos com extensões do que já faz. A empresa que nunca organizou sua base legal, seus contratos com fornecedores e seus processos de atendimento ao titular vai encontrar na IA um amplificador de todos os riscos que já existiam, agora com velocidade e escala maiores.

Quem esperar a lei de IA ser aprovada para começar a se preparar estará atrasado. A LGPD já impõe obrigações via Art. 20 (decisões automatizadas), Art. 6º (princípios de transparência e não discriminação) e Art. 37 (registros de tratamento), e a ANPD já está fiscalizando e sancionando.

Perguntas frequentes

A LGPD se aplica ao uso de IA mesmo que os dados sejam de pessoas jurídicas? Não. A LGPD protege dados de pessoas naturais, não de empresas. Se o tratamento envolve apenas dados corporativos sem identificar indivíduos, a lei não se aplica diretamente. Na prática, a maioria dos sistemas de IA processa dados que chegam a identificar pessoas, como nome de contato, CPF de sócio, histórico de comportamento de compra de pessoa física, então o cuidado é necessário.

Usar IA internamente, sem envolver clientes, exige as mesmas obrigações? Sim, quando há dados de colaboradores. Dados de funcionários são dados pessoais protegidos pela LGPD. Sistemas de IA para gestão de desempenho, triagem interna ou análise de produtividade que usem dados de colaboradores precisam ter base legal, política de retenção e processo de atendimento de direitos.

O Art. 20 se aplica a toda automação ou só a decisões de alto impacto? O artigo fala em decisões que "afetem os interesses" do titular, o que é interpretado de forma ampla. O risco regulatório é maior em decisões que definem acesso a crédito, seleção profissional, precificação ou bloqueio de serviço. Para automações de baixo impacto, a exigência de revisão humana é menos crítica, mas a transparência sobre o uso de dados automatizado continua sendo obrigatória.

Quanto uma empresa pode ser multada por não cumprir a LGPD no uso de IA? A ANPD pode aplicar advertência, multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, ou multa diária. Além da multa, há risco de determinação de bloqueio ou eliminação dos dados tratados irregularmente e publicização da infração, com impacto reputacional.

O que é o PL 2338/2023 e como ele se relaciona com a LGPD? É o projeto de lei que busca criar um marco regulatório específico para IA no Brasil, ainda em tramitação no Senado. Ele não substitui a LGPD: trata de aspectos de IA que vão além da proteção de dados, como responsabilidade civil por danos causados por sistemas autônomos e requisitos de transparência algorítmica. A LGPD já regula o que toca dados pessoais. O PL 2338 regularia o que a LGPD não cobre.

Fontes de referência