O que muda quando a IA entra
A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer tratamento de dados pessoais, com ou sem IA. O que a IA muda é a escala e o caminho do dado: um agente de atendimento lê centenas de conversas por dia, um leitor de documentos processa exames, contratos e notas, e tudo isso pode passar por um fornecedor de modelo em outro país.
Por isso as perguntas de sempre ficam mais importantes: com que base legal você trata esse dado, para qual finalidade, quem mais tem acesso, por quanto tempo fica guardado e como a pessoa exerce os seus direitos.
Base legal e finalidade
Todo tratamento precisa de uma das bases legais do art. 7º da LGPD, como execução de contrato, cumprimento de obrigação legal, legítimo interesse ou consentimento. Usar IA para responder o cliente que pediu atendimento costuma caber na execução do contrato ou em procedimentos preliminares a ele. Usar as mesmas conversas para outra finalidade, como treinar um modelo ou fazer marketing, pede outra análise.
Escreva a finalidade de cada uso de IA numa frase. Se não couber numa frase, provavelmente são dois tratamentos diferentes.
Dados sensíveis: saúde, biometria e outros
O art. 11 trata dos dados pessoais sensíveis, como saúde, vida sexual, dado genético ou biométrico, origem racial ou étnica, convicção religiosa e opinião política. As hipóteses para tratá-los são mais restritas que as do art. 7º.
Em saúde isso aparece todo dia: um agente que marca consulta ouve sintomas, um leitor de exames lê resultados. Nos nossos sistemas clínicos o nome do paciente não vai para a IA, cada frase gerada aponta o trecho de onde veio e nada chega ao paciente sem o aval do médico.
Modelo de IA fora do Brasil é transferência internacional
Boa parte dos modelos de IA roda em servidores fora do país. Mandar dados pessoais para eles é transferência internacional, que o art. 33 da LGPD só permite em hipóteses específicas. A ANPD regulamentou o tema em 2024 (Resolução CD/ANPD nº 19/2024), incluindo cláusulas-padrão contratuais que podem ser usadas nos contratos com fornecedores.
Na prática: verifique onde o fornecedor processa os dados, se ele usa o conteúdo para treinar modelos, por quanto tempo guarda e se o contrato tem as cláusulas adequadas. E informe isso na sua política de privacidade.
Decisões automatizadas e revisão
O art. 20 garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses, como crédito, perfil de consumo ou avaliação profissional. A empresa também deve informar, quando pedida, os critérios usados, respeitado o segredo comercial.
Um jeito simples de lidar com isso é desenhar o sistema para que a IA proponha e uma pessoa decida nos casos de impacto alto, com registro de quem decidiu e por quê.
Na prática: o que fazer no projeto
Estas medidas cabem em quase todo sistema com IA e respondem à maior parte das perguntas de um encarregado de dados:
- Pseudonimizar antes da IA: trocar nomes, documentos e contatos por códigos antes de mandar o texto ao modelo, e desfazer a troca só na resposta. Dado pseudonimizado continua sendo dado pessoal, mas o risco cai muito.
- Mandar o mínimo: só o trecho necessário para a tarefa, não o histórico inteiro do cliente.
- Registrar cada chamada: o que entrou, o que saiu, qual modelo, quanto custou e quem viu. Isso ajuda a atender o titular e a investigar incidentes.
- Hospedar no Brasil o banco de dados e os arquivos, e documentar o que sai do país.
- Ter uma pessoa no circuito onde o impacto é alto.
- Prever o atendimento aos titulares: acesso, correção, eliminação e portabilidade, como o art. 18 garante.
- Fazer o relatório de impacto (RIPD) quando o tratamento for de alto risco, como pede o art. 38.
Incidentes e responsabilidades
Se houver incidente de segurança que possa causar risco ou dano relevante aos titulares, a empresa deve comunicar a ANPD e os titulares. Pelo regulamento da ANPD (Resolução CD/ANPD nº 15/2024), o prazo é de três dias úteis a partir do conhecimento do incidente.
A empresa também precisa indicar um encarregado de dados, o DPO, com as exceções previstas para agentes de pequeno porte. As sanções da LGPD vão de advertência a multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
E a lei específica de IA?
O Projeto de Lei 2338/2023, que propõe regras próprias para sistemas de IA no Brasil, foi aprovado no Senado em dezembro de 2024 e seguiu para a Câmara. Vale conferir em que pé está antes de decidir. Enquanto isso, a LGPD já se aplica a qualquer sistema com IA que trate dados pessoais.
Este guia é informativo e não substitui a orientação de um advogado ou do encarregado de dados da sua empresa.
Perguntas frequentes
- Posso mandar dados de clientes para o ChatGPT ou outro modelo de IA?
- Pode, se houver base legal, finalidade clara e se a transferência internacional seguir as regras da LGPD e da ANPD. O caminho mais seguro é pseudonimizar antes e mandar só o necessário para a tarefa.
- Dado pseudonimizado ainda é dado pessoal?
- Sim. Como a troca pode ser desfeita por quem tem a chave, continua sendo dado pessoal. Mas a pseudonimização reduz muito o risco se o texto vazar ou ficar guardado no fornecedor.
- A IA pode tomar decisões sozinha sobre clientes?
- Pode, mas o titular tem direito de pedir revisão de decisões tomadas unicamente por tratamento automatizado que afetem os seus interesses (art. 20). Em decisões de impacto alto, é melhor que a IA proponha e uma pessoa decida.
- Preciso de consentimento para usar IA no atendimento?
- Nem sempre. O consentimento é uma das bases legais, mas o atendimento ao cliente costuma se apoiar na execução de contrato ou em procedimentos preliminares a ele. Dados sensíveis, como saúde, seguem regras mais restritas.