Governança de IA e LGPD: o que avaliar antes de contratar uma solução

Este conteúdo é informativo e não substitui orientação jurídica especializada. A aplicação da LGPD depende do contexto e deve ser avaliada por profissionais habilitados.

Resposta rápida

Uma solução de governança de inteligência artificial não “garante LGPD” por conta própria. Ela pode apoiar inventário, documentação, controles, monitoramento e prestação de contas. A conformidade depende também da finalidade do uso, dos dados tratados, das responsabilidades entre as partes, das medidas de segurança e das decisões da organização. Antes de contratar, avalie o sistema de governança, não apenas a lista de funcionalidades.

A pergunta certa não começa pelo fornecedor

Quem procura uma solução de governança de IA costuma formular uma pergunta direta: qual plataforma ou consultoria atende aos requisitos da Lei Geral de Proteção de Dados Pessoais?

A pergunta é legítima. A premissa precisa de ajuste.

A LGPD se aplica ao tratamento de dados pessoais. Uma iniciativa de IA pode envolver dados de clientes, colaboradores, candidatos, pacientes, cidadãos ou parceiros em diferentes momentos. O risco não está apenas no modelo. Ele também aparece na coleta, na integração entre sistemas, nas permissões de acesso, no uso secundário, na retenção, na revisão de resultados e no descarte.

Por isso, uma ferramenta pode organizar controles e ainda assim ser usada em um processo mal definido. Uma consultoria pode propor boas práticas e ainda depender de decisões que pertencem ao controlador dos dados. Um certificado pode demonstrar a existência de um sistema de gestão, mas não transforma todo uso específico em conformidade automática.

Governança começa antes da compra.

O que uma solução pode fazer, e o que continua sendo responsabilidade da empresa

Uma plataforma pode manter inventários, registrar aprovações, acompanhar métricas, produzir trilhas de auditoria e reunir evidências. Uma consultoria pode ajudar a desenhar papéis, políticas, critérios de risco, fóruns de decisão e um roteiro de implementação. Uma assessoria jurídica pode interpretar obrigações e avaliar contratos, bases legais e direitos dos titulares.

Essas contribuições se complementam. Elas não são intercambiáveis.

• Inventário de usos de IA: a solução pode registrar sistemas, responsáveis, dados e finalidade. A organização ainda precisa definir o que será inventariado e quem responde por cada uso.
• Avaliação de risco: um método pode mapear impacto, probabilidade, reversibilidade e controles. A organização determina a tolerância a risco e autoriza, limita ou interrompe o uso.
• Proteção de dados: a tecnologia pode oferecer segurança, documentação e gestão de acessos. Finalidade, necessidade, responsabilidades e resposta aos titulares continuam sendo decisões da organização.
• Monitoramento: métricas, alertas e registros ajudam a acompanhar a operação. A empresa decide quais desvios importam e quem pode agir diante deles.
• Conformidade: evidências, políticas e controles dão suporte. A responsabilidade pelas obrigações aplicáveis não é transferida para um painel.

Sete critérios antes de contratar

1. O uso pretendido está descrito com precisão?

“Usar IA no atendimento” é amplo demais. O sistema apenas sugere respostas ou fala diretamente com clientes? Ele consulta histórico de compras? Registra dados sensíveis? Pode executar ações? Uma avaliação séria precisa começar pela finalidade, pelos usuários, pelas pessoas afetadas e pelas decisões que o sistema apoia ou realiza.

Se o fornecedor começa pela demonstração da ferramenta e não consegue ajudar a delimitar o uso, a conversa ainda não chegou à governança.

2. O fluxo de dados fica visível?

A empresa precisa entender quais dados entram no sistema, de onde vêm, para onde seguem, por quanto tempo permanecem e quem pode acessá-los. Isso inclui integrações com ERP, CRM, plataformas de RH, serviços em nuvem e fornecedores de modelos.

Integração não é apenas uma questão técnica. Ela altera a superfície de responsabilidade.

3. Os papéis entre as partes são claros?

Contratos e processos precisam refletir quem decide sobre o tratamento, quem opera em nome de quem, quais terceiros participam da cadeia e como solicitações, incidentes e mudanças serão tratados. A ANPD mantém orientação específica sobre agentes de tratamento e encarregado, e prevê regras proporcionais para agentes de pequeno porte. Proporcionalidade, porém, não significa ausência de responsabilidade.

Essa análise exige participação jurídica e de privacidade. Uma página comercial não substitui essa revisão.

4. O controle é proporcional ao impacto?

Nem todo uso de IA precisa do mesmo rito. Um recurso que organiza notas internas não deve receber o mesmo tratamento de um sistema que influencia crédito, emprego, saúde ou acesso a serviços.

Uma boa governança diferencia usos por impacto, probabilidade de dano, escala, sensibilidade dos dados, autonomia do sistema e reversibilidade da decisão. O NIST AI Risk Management Framework organiza essa disciplina nas funções Govern, Map, Measure e Manage. O próprio framework é voluntário e adaptável. Ele não deve ser usado como checklist universal.

5. Existe supervisão durante a operação?

Testar antes de implantar é necessário, mas insuficiente. Dados mudam. Modelos são atualizados. Pessoas encontram usos não previstos. Integrações ampliam o alcance do sistema.

O contrato e o desenho operacional devem responder:

• quais métricas serão acompanhadas;
• que eventos geram alerta;
• quem revisa resultados e incidentes;
• com que frequência o uso é reavaliado;
• quando o sistema deve ser limitado, suspenso ou retirado.

Monitoramento sem autoridade para agir vira observação tardia.

6. A organização consegue produzir evidências?

Políticas genéricas têm pouco valor quando ninguém consegue demonstrar como uma decisão foi tomada. Procure capacidade para registrar responsáveis, critérios, avaliações, aprovações, versões, testes, exceções e medidas corretivas.

A ISO/IEC 42001 trata do estabelecimento, implementação, manutenção e melhoria contínua de um sistema de gestão de IA. Essa lógica ajuda a transformar intenções em processos verificáveis. Adotar a referência ou buscar certificação não elimina a necessidade de analisar as obrigações legais e o risco de cada aplicação.

7. Há um plano de saída?

Governança também inclui interromper. A empresa precisa saber como exportar registros, revogar acessos, eliminar ou devolver dados, substituir um fornecedor e desativar um sistema sem criar novos riscos.

Uma solução difícil de abandonar pode transformar uma decisão tecnológica em dependência organizacional.

LGPD e regulação de IA não são a mesma coisa

A LGPD já estabelece obrigações para o tratamento de dados pessoais. O Brasil também discute uma legislação específica para inteligência artificial. Em agosto de 2026, o PL 2.338/2023 continua em tramitação na Câmara dos Deputados. Portanto, seu conteúdo não deve ser apresentado como lei vigente.

A ANPD, por sua vez, vem tratando da relação entre IA, transparência algorítmica e proteção de dados, inclusive por meio de seu sandbox regulatório. Esse movimento reforça uma conclusão prática: esperar a consolidação de toda a regulação para organizar responsabilidades é uma escolha arriscada. Também seria imprudente tratar propostas em debate como obrigações já definidas.

O caminho responsável é trabalhar com o que já se aplica, acompanhar o que está mudando e manter decisões documentadas.

Como comparar propostas de fornecedores

Na reunião de contratação, peça respostas concretas para estas perguntas:

• Qual problema de governança a proposta resolve?
• O escopo inclui tecnologia, consultoria, jurídico, auditoria ou uma combinação explícita?
• Quais entregáveis ficam sob controle da empresa?
• Como são mapeados sistemas, dados, responsáveis e terceiros?
• Como o método diferencia usos de baixo e alto impacto?
• Quais controles existem antes, durante e depois da implantação?
• Como mudanças de modelo, dados ou integração são avaliadas?
• Que evidências podem ser apresentadas a lideranças, auditoria, titulares e autoridades?
• O que a proposta não cobre?
• Como funciona a transferência de conhecimento para a equipe interna?

O último item merece atenção. Governança terceirizada sem capacidade interna tende a produzir dependência, não maturidade.

Onde a dooop entra

A dooop trabalha no desenho da capacidade organizacional que conecta estratégia, liderança, negócio, pessoas, tecnologia, risco e governança. O ponto de partida não é vender uma plataforma ou emitir uma opinião jurídica. É ajudar a organização a tornar explícitos o contexto, os casos de uso, os critérios de decisão, os papéis, os controles e o roteiro de evolução.

Esse trabalho pode preparar uma seleção tecnológica mais criteriosa, organizar a conversa entre áreas e reduzir a distância entre política e operação. Quando o tema exige interpretação jurídica, auditoria independente, segurança especializada ou implantação técnica, essas responsabilidades precisam estar claramente atribuídas aos profissionais adequados.

Governança de IA não é a promessa de eliminar incerteza. É a capacidade de saber quem decide, com base em que evidência e com quais limites.

Próxima decisão

Antes de pedir uma demonstração comercial, escolha um caso de uso real e responda a três perguntas: quem pode ser afetado, que dados serão tratados e quem tem autoridade para interromper o sistema.

Se essas respostas ainda não existem, a prioridade não é comparar dashboards. É construir o contexto que permitirá escolher a solução certa.

Converse com a dooop sobre os critérios de governança para a sua organização.

Fontes oficiais e referências

• ANPD: Resolução CD/ANPD nº 2, de 27 de janeiro de 2022
• ANPD: Sandbox Regulatório de IA e Proteção de Dados
• NIST: Artificial Intelligence Risk Management Framework
• ISO: ISO/IEC 42001:2023, Artificial intelligence management system
• Câmara dos Deputados: tramitação do PL 2.338/2023