IA e LGPD: como usar inteligência artificial na empresa sem colocar dados pessoais em risco

A LGPD vale para IA?

Sim, sempre que houver dados pessoais. A LGPD (Lei nº 13.709/2018) considera tratamento praticamente qualquer operação com dados pessoais, como coleta, uso, armazenamento e compartilhamento. Colar o e-mail de um cliente em um assistente de IA, transcrever uma reunião ou usar um chatbot que responde clientes são formas de tratamento.

Dados anonimizados ficam fora da lei, mas anonimizar de verdade é mais difícil do que apagar o nome. Se for possível identificar a pessoa de novo com esforços razoáveis, o dado continua sendo pessoal.

Quem é quem: controlador e operador

Na maioria dos usos, a sua empresa é a controladora: é ela que decide para que os dados são usados. O fornecedor da ferramenta de IA costuma atuar como operador, tratando os dados em nome da sua empresa e seguindo as suas instruções.

O cuidado está no contrato. Se o fornecedor puder usar os seus dados para finalidades próprias, como treinar modelos, ele deixa de agir só em seu nome. Por isso, prefira planos empresariais que excluam esse uso por contrato e que digam onde os dados ficam e por quanto tempo.

Bases legais mais comuns

Todo tratamento precisa de uma base legal do artigo 7º da LGPD. Nos usos empresariais de IA, as mais comuns são:

• Execução de contrato ou de procedimentos preliminares (art. 7º, V), quando o dado é usado para atender um pedido do próprio titular.
• Legítimo interesse (art. 7º, IX), quando o uso é esperado pelo titular e não fere os seus direitos. Vale registrar por escrito a avaliação feita.
• Consentimento (art. 7º, I), quando nenhuma outra base se encaixa. Ele precisa ser livre e informado e pode ser revogado a qualquer momento.

Dados sensíveis, como dados de saúde, biométricos, genéticos, de origem racial ou de convicção religiosa, têm regras mais rígidas (art. 11). Evite colocá-los em ferramentas de IA sem uma análise jurídica específica.

Transparência: diga o que você faz

O titular tem direito a informações claras sobre o tratamento (art. 9º): finalidade, forma e duração, quem é o controlador, com quem os dados são compartilhados e quais são os seus direitos. Se você usa IA para atender clientes ou analisar dados, atualize a política de privacidade para dizer isso em linguagem simples.

Uma boa prática no atendimento automatizado é avisar que a pessoa está falando com um assistente virtual e oferecer um caminho para falar com alguém da equipe.

Decisões automatizadas

O artigo 20 da LGPD garante ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os seus interesses, como análise de crédito, seleção de candidatos ou definição de perfil. Ele também pode pedir informações claras sobre os critérios usados, respeitados os segredos comercial e industrial.

A lei não exige que essa revisão seja feita por uma pessoa (o trecho que exigia foi vetado), mas manter alguém revisando as decisões importantes é a forma mais segura de atender a esse direito e de corrigir erros da IA.

Fornecedores fora do Brasil

Muitas ferramentas de IA processam dados fora do Brasil. A LGPD não exige que os dados fiquem no país, mas a transferência internacional só é permitida nas hipóteses do artigo 33. A Resolução CD/ANPD nº 19/2024 regulamentou o tema e aprovou cláusulas-padrão contratuais, que devem ser usadas sem modificações.

Na prática, confira no contrato do fornecedor em quais países os dados são processados e qual mecanismo de transferência ele adota. Para países sem decisão de adequação da ANPD, as cláusulas-padrão contratuais são o caminho mais comum. Em 2026, a ANPD reconheceu a União Europeia como adequada (Resolução CD/ANPD nº 32/2026).

Segurança e incidentes

A empresa precisa adotar medidas de segurança adequadas (art. 46): controle de acesso às ferramentas, contas com autenticação forte, registros de uso e regras sobre quais dados podem entrar em cada ferramenta.

Se um incidente de segurança puder causar risco ou dano relevante aos titulares, o controlador deve comunicar a Agência Nacional de Proteção de Dados (ANPD) e os titulares. A Resolução CD/ANPD nº 15/2024 fixa o prazo de três dias úteis, contado em dobro para agentes de tratamento de pequeno porte.

Regras simplificadas para pequenas empresas

Microempresas, empresas de pequeno porte e startups podem se enquadrar como agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022). Entre outros benefícios, elas não são obrigadas a indicar um encarregado de dados, mas precisam oferecer um canal de comunicação com os titulares.

O benefício não vale para quem faz tratamento de alto risco. A resolução considera, entre os critérios, o uso de tecnologias emergentes ou inovadoras combinado com critérios gerais, como o tratamento em larga escala. Um projeto de IA com muitos dados pessoais pode cair nessa regra, então vale avaliar caso a caso.

Se a empresa indicar um encarregado, a identidade e o contato dele devem ser divulgados de forma clara e em local de fácil acesso no site (Resolução CD/ANPD nº 18/2024).

E o marco legal da IA?

O Projeto de Lei nº 2338/2023, que regula o uso de inteligência artificial no Brasil, foi aprovado pelo Senado em dezembro de 2024 e seguiu para a Câmara dos Deputados. Até a data deste artigo, ele aguardava o parecer do relator na comissão especial da Câmara, com votação prevista para depois das eleições de outubro de 2026.

Enquanto isso, a LGPD já se aplica a qualquer uso de IA com dados pessoais. A ANPD também publicou materiais sobre o tema, como o Radar Tecnológico sobre inteligência artificial generativa, de novembro de 2024, e conduz um sandbox regulatório de IA, que publicou os primeiros resultados em julho de 2026.

Usos comuns de IA e o cuidado principal

Checklist para usar IA com dados pessoais

1. 01Mapeie quais dados pessoais cada ferramenta de IA vai receber e por quê.
2. 02Escolha planos empresariais que não usem os seus dados para treinar modelos e que tenham contrato de tratamento de dados.
3. 03Confira a transferência internacional e o mecanismo previsto no contrato.
4. 04Minimize: envie só o necessário e, quando der, retire nomes e identificadores antes.
5. 05Atualize a política de privacidade e avise quando o atendimento for feito por um assistente virtual.
6. 06Mantenha uma pessoa revisando decisões que afetam clientes, candidatos ou funcionários.
7. 07Controle o acesso, com autenticação forte e registros de uso.
8. 08Treine a equipe com uma política curta de ferramentas e dados permitidos.
9. 09Tenha um plano de incidentes, com responsáveis e prazos.

Se quiser ajuda para escolher ferramentas e desenhar um uso de IA com os dados certos, a consultoria em IA da Magz inclui a análise de riscos e de privacidade em cada caso de uso. Para saber se a sua empresa está pronta, comece pelo checklist de maturidade em IA.

Sobre o autor

Wendel Fernandes de Lana

Fundador da Magz

Wendel Fernandes de Lana é fundador da Magz. É bacharel em Sistemas de Informação pela Universidade de São Paulo, fez um curso executivo de verão sobre negócios digitais na California State University, Northridge, e já trabalhou com desenvolvimento web, automação de CRM e Apache AGE, a extensão open source de grafos para PostgreSQL.

LinkedIn GitHub