Por Pedro Sonda, dooop
A LGPD já se aplica a todo uso de IA que envolva dados pessoais. Antes de usar dados pessoais com IA, a empresa precisa responder a oito perguntas: (1) qual é o seu papel (controladora ou operadora); (2) qual a base legal do tratamento; (3) se a finalidade é clara e os dados são só os necessários; (4) como os titulares são informados; (5) como os direitos dos titulares são garantidos, inclusive a revisão de decisões automatizadas; (6) se há dados sensíveis; (7) como os dados são protegidos e como incidentes são tratados; e (8) se há transferência internacional. Para usos de maior risco, um relatório de impacto à proteção de dados organiza e documenta essas respostas.
Atualizado em outubro de 2026. Normas e projetos de lei citados mudam; confira o status atual antes de decisões jurídicas.
Este conteúdo não substitui orientação jurídica.
O contexto
| Fato | Fonte |
|---|---|
| A LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20) e exige medidas de segurança (art. 46) | LGPD |
| Em julho de 2024, a ANPD determinou a suspensão cautelar do uso de dados pessoais de usuários brasileiros para treinar a IA da Meta; o uso só foi retomado, com restrições, depois que a empresa atendeu às exigências da autoridade | Agência Gov, 2024 |
| A Resolução CD/ANPD nº 19/2024 regulamentou a transferência internacional de dados e aprovou cláusulas-padrão contratuais, com prazo de até 12 meses para sua incorporação aos contratos | ANPD, 2024 |
| O PL 2338/2023, que propõe regras específicas para IA e atribui papel de coordenação à ANPD, foi aprovado pelo Senado em dezembro de 2024 e segue na Câmara | Câmara dos Deputados |
Interpretação: a autoridade brasileira já atua sobre IA com base na LGPD, e muitas ferramentas de IA processam dados fora do Brasil. A conformidade não depende da futura lei de IA: começa agora.
Framework dooop: as 8 perguntas
| # | Pergunta | O que verificar | Base na LGPD |
|---|---|---|---|
| 1 | Qual é o nosso papel? | A empresa decide sobre o tratamento (controladora) ou trata em nome de outra (operadora)? E o fornecedor da IA? | Arts. 5º e 37 a 40 |
| 2 | Qual a base legal? | Execução de contrato, legítimo interesse, consentimento, obrigação legal, entre outras; o legítimo interesse exige avaliação e transparência | Arts. 7º e 10 |
| 3 | Finalidade e necessidade | O uso de IA é compatível com a finalidade informada? Usamos só os dados necessários? | Art. 6º |
| 4 | Transparência | Os titulares sabem que seus dados são tratados com IA, para quê e por quem? | Arts. 6º e 9º |
| 5 | Direitos dos titulares | Conseguimos atender acesso, correção, eliminação e revisão de decisões automatizadas? | Arts. 18 e 20 |
| 6 | Dados sensíveis | Há dados de saúde, biometria, origem racial, religião, opinião política, entre outros? | Art. 11 |
| 7 | Segurança e incidentes | Há controles de acesso, registros e plano para incidentes, incluindo comunicação à ANPD e aos titulares quando cabível? | Arts. 46 a 49 |
| 8 | Transferência internacional | A ferramenta processa dados fora do Brasil? Com que mecanismo legal? | Art. 33; Resolução CD/ANPD nº 19/2024 |
Situações típicas
| Situação | Pontos de atenção |
|---|---|
| Funcionário usa assistente de IA com dados de clientes | Ferramenta aprovada, condições de retenção e treinamento, transferência internacional, minimização |
| Chatbot de atendimento | Transparência sobre o uso de IA, acesso a humano, segurança dos registros das conversas |
| Triagem de currículos ou avaliação de funcionários | Base legal, vieses, revisão humana, direito à revisão, dados sensíveis |
| Análise de crédito ou preço personalizado | Decisão automatizada (art. 20), explicação dos critérios, revisão |
| Treinar ou ajustar modelos com dados de clientes | Compatibilidade de finalidade, base legal, transparência, possibilidade de oposição |
O relatório de impacto
Para usos de maior risco, o relatório de impacto à proteção de dados pessoais (art. 38) reúne as respostas às oito perguntas, os riscos identificados e as medidas adotadas. Mesmo quando não solicitado pela ANPD, é uma forma de documentar a avaliação e de demonstrar cuidado. Para avaliar os demais riscos da solução, além dos de dados, veja Como avaliar o risco de uma solução de inteligência artificial.
Quem participa
| Papel | Contribuição |
|---|---|
| Encarregado de dados (DPO) | Avaliação de proteção de dados; contato com titulares e ANPD |
| Jurídico | Bases legais, contratos, transferência internacional |
| TI e segurança | Controles técnicos, registros, configuração das ferramentas |
| Dono do uso | Finalidade, dados necessários, processo de revisão |
O que fazer agora
- Aplique as 8 perguntas aos usos de IA do inventário que envolvem dados pessoais.
- Revise os contratos com fornecedores de IA quanto a papel, retenção, uso para treinamento e transferência internacional; veja Como governar fornecedores de inteligência artificial.
- Faça relatório de impacto para os usos classificados como de alto risco.
Para integrar LGPD e governança de IA, conheça a frente de Governança de IA da dooop.
Perguntas frequentes
Usar IA com dados pessoais exige consentimento? Não necessariamente. O consentimento é uma das bases legais; outras, como execução de contrato ou legítimo interesse, podem ser adequadas conforme o caso. A escolha deve ser avaliada e documentada.
Uma ferramenta de IA de mercado é operadora? Em muitos casos, o fornecedor atua como operador quando trata dados por conta da empresa. Mas, se usa os dados para finalidades próprias, como treinar seus modelos, a análise muda. O contrato e as configurações precisam deixar isso claro.
A futura lei de IA vai substituir a LGPD nesses casos? Pelo texto aprovado no Senado, o PL 2338/2023 se somaria à LGPD, e não a substituiria. As obrigações de proteção de dados continuam valendo.
Leia também
- Como lidar com dados confidenciais em ferramentas de IA
- IA muda a responsabilidade de quem toma decisões?
Sobre a dooop
A dooop é uma consultoria de Caxias do Sul (RS) que prepara lideranças e organizações para transformar inteligência artificial em capacidade de negócio, com estratégia, governança e capacitação.
Conversar com a dooop
Compartilhe seu contexto, suas restrições e a decisão que sua organização precisa avaliar.
Conteúdo de Pedro Sonda. Leve os critérios desta leitura para uma conversa sobre a decisão da sua organização.