IA e LGPD: o que checar antes de enviar dados de clientes para um modelo

Existe uma confusão comum nas empresas: como o marco legal da inteligência artificial ainda está em tramitação, muita gente conclui que o uso de IA está em terra de ninguém. Não está. A LGPD já se aplica a qualquer sistema de IA que trate dados pessoais, e a Autoridade Nacional de Proteção de Dados já sinalizou que o tema está no radar de fiscalização.

Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027 e incluiu inteligência artificial e tecnologias emergentes como um dos quatro eixos de fiscalização, ao lado dos direitos dos titulares, da proteção de crianças no ambiente digital e do tratamento de dados pelo setor público.

Fonte: ANPD — Mapa de Temas Prioritários 2026-2027

1. Base legal: consentimento não é um cheque em branco

O erro mais frequente é reaproveitar dados coletados para uma finalidade em outra completamente diferente. Se o cliente autorizou o uso do e-mail para receber novidades, essa autorização não cobre alimentar um modelo de IA com o histórico de conversas dele. Sob a LGPD, isso é desvio de finalidade.

Antes de qualquer projeto, o inventário é simples de fazer e raramente é feito: quais dados pessoais o sistema vai tocar, qual base legal sustenta esse uso específico, e se essa base foi registrada em algum lugar auditável.

2. Decisão automatizada e o artigo 20

O artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas exclusivamente com base em tratamento automatizado que afetem seus interesses. Isso alcança mais coisas do que parece: negativa de crédito, priorização de atendimento, classificação de risco, precificação personalizada e triagem de currículos.

• Informar ao titular que houve decisão automatizada
• Explicar, em linguagem acessível, os critérios e a lógica usados
• Permitir revisão por uma pessoa quando solicitado

Na prática, isso significa que o sistema precisa registrar por que decidiu o que decidiu. Uma IA que classifica sem deixar rastro atende ao negócio e falha na obrigação legal.

3. Transferência internacional acontece o tempo todo

Quando um colaborador cola dados de um cliente no prompt de uma ferramenta de IA hospedada nos Estados Unidos, houve transferência internacional de dados pessoais. Não é uma interpretação exótica: é o enquadramento da LGPD, e há regramento específico na Resolução CD/ANPD nº 19/2024, que trata de cláusulas contratuais padrão e dos mecanismos válidos para essa transferência.

Fonte: Resolução CD/ANPD nº 19/2024 — transferência internacional de dados

4. Seus dados estão treinando o modelo de alguém?

As contas gratuitas e pessoais de ferramentas de IA frequentemente usam o conteúdo enviado para melhorar os modelos. As versões corporativas e o acesso por API costumam não fazer isso por padrão, mas isso precisa estar no contrato, não na página de marketing.

1. Verifique se há cláusula explícita de não uso dos dados para treinamento
2. Confirme onde ficam os servidores e qual mecanismo de transferência é usado
3. Prefira acesso por API a contas pessoais compartilhadas pela equipe
4. Filtre nome, CPF e outros identificadores antes de a informação sair dos seus sistemas, quando o caso de uso permitir

O quarto item é o que mais reduz risco com menos atrito: em boa parte dos casos de uso, o modelo não precisa saber o nome do cliente para classificar um chamado ou resumir uma conversa.

O que fazer nas próximas semanas

Não é preciso parar de usar IA para se organizar. Um levantamento de duas a três semanas costuma resolver: mapear onde a empresa já usa IA — incluindo o uso informal pelas equipes, que quase sempre existe e ninguém registrou —, identificar quais desses usos tocam dados pessoais, e definir base legal, contrato e registro para cada um.

Empresas que fizerem isso agora chegam prontas quando o marco legal da IA for aprovado, porque a maior parte das obrigações de dados já estará resolvida pela LGPD.