Resposta curta: a LGPD não proíbe usar inteligência artificial com dados pessoais, mas exige que a empresa saiba por que usa, com qual base legal, quem é o fornecedor, para onde os dados vão e quem revisa o que a IA decide. Responda às seis perguntas abaixo antes de ligar a ferramenta, e não depois do primeiro incidente.
A LGPD vale para quem usa IA?
Vale sempre que a ferramenta recebe dado pessoal, isto é, informação relacionada a pessoa natural identificada ou identificável (Lei nº 13.709/2018, art. 5º, I). Colar no chat uma conversa de cliente, enviar uma planilha de cobrança ou gravar uma ligação para a IA resumir são formas de tratamento, porque a lei inclui coleta, acesso, transmissão, processamento e armazenamento (art. 5º, X).
1. Qual é a finalidade, e a IA precisa mesmo desses dados?
A lei exige propósito legítimo, específico e informado ao titular (art. 6º, I) e limita o tratamento ao mínimo necessário (art. 6º, III). Na prática: se a tarefa é classificar o assunto de uma mensagem, a IA não precisa do CPF. Retire o que não for necessário antes de enviar.
2. Qual é a base legal?
Todo tratamento precisa de uma das hipóteses do art. 7º. As mais comuns no uso de IA são a execução de contrato com o titular (inciso V), o legítimo interesse da empresa (inciso IX), que não vale quando prevalecem os direitos do titular, e o consentimento (inciso I). Dado sensível, como saúde ou biometria, tem regras próprias e mais restritas (art. 11). Registre por escrito qual base sustenta cada uso.
3. O fornecedor de IA é operador, e o contrato diz isso?
Quem decide sobre o tratamento é o controlador; quem trata em nome dele é o operador (art. 5º, VI e VII). O fornecedor de IA, em regra, é operador e deve seguir as instruções da empresa (art. 39). Confirme no contrato, e não na página de vendas, se ele usa os dados enviados para treinar modelos, por quanto tempo os guarda e como os apaga.
4. Os dados saem do Brasil?
Grande parte dos modelos de IA roda em servidores no exterior. A transferência internacional só é permitida nas hipóteses do art. 33, como país com proteção adequada ou cláusulas contratuais aprovadas. A ANPD publicou as cláusulas-padrão na Resolução CD/ANPD nº 19, de 23 de agosto de 2024. Pergunte ao fornecedor onde os dados são processados e qual mecanismo ele usa.
5. A IA decide sozinha sobre pessoas?
O titular tem direito a pedir revisão de decisão tomada unicamente com base em tratamento automatizado, inclusive as que definem seu perfil de consumo e de crédito (art. 20). Se a IA aprova crédito, classifica clientes ou define prioridade de cobrança, mantenha uma pessoa capaz de revisar e explicar o resultado, e garanta essa etapa no sistema.
6. Há registro, segurança e plano para incidente?
Controlador e operador devem manter registro das operações de tratamento (art. 37) e adotar medidas de segurança técnicas e administrativas (art. 46). A ANPD pode exigir relatório de impacto (art. 38), e incidente que possa causar risco ou dano relevante deve ser comunicado à ANPD e ao titular (art. 48). Controle de acesso por perfil, registro de quem consultou o quê e separação dos dados de cada cliente são o mínimo.
Por onde começar
Faça um inventário curto: quais ferramentas de IA a equipe já usa, quais dados envia a cada uma e com qual contrato. Em seguida, aplique as seis perguntas a cada uso. A Portes AGI implanta IA com essas decisões tomadas desde o início. Leia também: Como implantar IA na empresa sem perder o controle.