Política de inteligência artificial e LGPD

Empresas devem impedir o envio de dados pessoais identificáveis a ferramentas de IA generativa sem base legal, finalidade definida, contrato adequado e controles de segurança.

• Classifique a ferramenta e os dados antes de liberar o uso.
• Proíba dados sensíveis, credenciais, segredos comerciais e documentos sigilosos em contas não autorizadas.
• Confirme se o fornecedor armazena prompts, usa informações para treinamento ou transfere dados ao exterior.
• Defina uma base legal para cada tratamento e não adote o consentimento como solução automática.
• Exija revisão humana quando a IA influenciar decisões sobre clientes, candidatos ou colaboradores.
• Registre incidentes, responsáveis, treinamentos e avaliações periódicas.

Uma política eficaz evita erros comuns, como copiar uma planilha de clientes para resumir vendas ou inserir um currículo completo em uma conta pessoal. Os controles abaixo ajudam a liberar usos produtivos sem transformar cada prompt em um risco jurídico e operacional.

O prompt pode iniciar um tratamento de dados pessoais

Um prompt trata dados pessoais quando coleta, transmite, analisa, combina, armazena ou gera informações ligadas a uma pessoa identificada ou identificável. A LGPD aplica suas regras porque a Lei 13.709 de 2018 define tratamento de forma ampla, ainda que o usuário envie o dado em apenas alguns segundos.

Um nome isolado já pode identificar alguém, enquanto cargo, cidade, telefone, endereço IP e histórico profissional podem permitir identificação por combinação. Por isso, substituir o nome por iniciais nem sempre anonimiza o conteúdo, sobretudo quando a descrição mantém detalhes únicos.

Dados biométricos, informações de saúde, origem racial, convicção religiosa e filiação sindical recebem proteção reforçada porque o artigo 5º da LGPD os classifica como dados pessoais sensíveis. Assim, uma equipe de recursos humanos não deve inserir laudos médicos ou avaliações psicológicas em um assistente público para pedir um resumo.

O risco também alcança clientes. Por exemplo, uma planilha com 500 nomes, valores de compra e telefones expõe perfis de consumo, mesmo que a empresa pretenda apenas calcular a taxa de recompra.

Anonimização exige mais do que ocultar o nome

A anonimização precisa impedir a reidentificação por meios razoáveis disponíveis. O artigo 12 da LGPD afasta dados efetivamente anonimizados de seu regime, mas aplica novamente a lei quando a reversão ocorre com meios próprios ou esforços razoáveis.

Uma empresa pode remover nome, CPF e e-mail, embora cargo raro, filial e data exata de admissão ainda revelem a pessoa. Nesse caso, a organização deve generalizar datas, agrupar faixas e excluir campos únicos antes de usar a base.

Dados fictícios oferecem uma alternativa mais segura porque preservam o formato necessário ao teste sem expor pessoas reais. Se a equipe precisa validar um classificador de currículos, pode criar 20 perfis sintéticos e medir o resultado antes de avaliar qualquer uso com dados verdadeiros.

A LGPD exige finalidade, necessidade e base legal

A empresa precisa vincular cada uso de IA a uma finalidade legítima, específica e informada. O princípio da necessidade também limita o tratamento ao mínimo adequado, portanto uma tarefa simples não autoriza o envio de um cadastro completo.

A base legal depende da operação. A execução de contrato pode sustentar certos tratamentos relacionados a clientes, enquanto uma obrigação legal pode justificar atividades trabalhistas. O legítimo interesse pode ser aplicável em situações específicas, mas exige análise de finalidade, necessidade, expectativa da pessoa e salvaguardas.

O consentimento não corrige automaticamente um processo excessivo. Além disso, a relação de emprego pode reduzir a liberdade de escolha do colaborador, razão pela qual a empresa deve avaliar outra base legal antes de pedir autorização.

Para dados sensíveis, a organização deve observar as hipóteses do artigo 11, que são mais restritas. Uma clínica, por exemplo, pode tratar informações para tutela da saúde dentro das condições legais, mas isso não libera o envio do prontuário a qualquer ferramenta externa.

Transparência precisa alcançar o uso real

O aviso de privacidade deve refletir a operação efetiva porque a pessoa precisa compreender finalidades, categorias de dados, compartilhamentos e direitos. Se a empresa usa IA para classificar solicitações de clientes, o documento deve explicar esse tratamento em linguagem acessível.

A transparência não exige revelar código fonte ou segredo comercial, embora a empresa deva fornecer informações claras sobre critérios e procedimentos quando uma decisão automatizada afetar interesses. O artigo 20 da LGPD também assegura o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado.

O fornecedor pode ampliar o risco do tratamento

A contratação de uma ferramenta não transfere a responsabilidade integral ao fornecedor. A empresa continua responsável por suas decisões como agente de tratamento, enquanto o papel contratual do provedor depende das finalidades e do grau de autonomia que ele assume.

Os termos do serviço devem informar se o sistema conserva prompts, respostas e arquivos. Além disso, a organização deve verificar se o fornecedor usa esse material para desenvolver modelos, permite desativar o treinamento e oferece prazo de exclusão.

Uma conta gratuita pode seguir condições diferentes de um plano corporativo, embora a interface pareça idêntica. Portanto, a equipe responsável deve registrar a edição aprovada, as configurações obrigatórias e os recursos permitidos, em vez de liberar a marca do produto de forma genérica.

• Confirme onde o fornecedor processa e armazena os dados.
• Exija compromissos de confidencialidade e segurança compatíveis com o risco.
• Defina prazos para exclusão, devolução e apoio ao atendimento de titulares.
• Verifique suboperadores e mecanismos de transferência internacional.
• Estabeleça comunicação rápida de incidentes e evidências para auditoria.

Transferências internacionais exigem mecanismo válido

Servidores localizados fora do Brasil podem caracterizar transferência internacional, ainda que o colaborador acesse a ferramenta em território nacional. Nesse caso, os artigos 33 a 36 da LGPD e a Resolução CD ANPD 19 de 2024 orientam os mecanismos aceitos.

Cláusulas contratuais padrão, decisões de adequação e outras hipóteses previstas na regulamentação podem legitimar a transferência, mas a empresa precisa confirmar qual mecanismo sustenta o fluxo concreto. Um contrato que apenas menciona operação global não resolve essa obrigação.

A política interna deve definir 10 controles

Uma política de inteligência artificial e LGPD deve converter requisitos jurídicos em 10 controles internos verificáveis. Regras genéricas falham porque o colaborador precisa saber qual ferramenta usar, quais dados bloquear e quem autoriza uma exceção.

1. Manter um catálogo de ferramentas aprovadas, versões contratadas, proprietários internos e finalidades permitidas.
2. Classificar dados como públicos, internos, confidenciais, pessoais ou sensíveis antes do envio.
3. Bloquear dados pessoais identificáveis quando a tarefa puder usar dados agregados, anonimizados ou fictícios.
4. Exigir aprovação prévia para dados sensíveis, documentos jurídicos, códigos proprietários e segredos comerciais.
5. Configurar contas corporativas para impedir treinamento com prompts sempre que o fornecedor oferecer essa opção.
6. Aplicar autenticação multifator, perfis de acesso e revogação imediata após mudança de função ou desligamento.
7. Exigir revisão humana de respostas que afetem contratação, crédito, saúde, remuneração ou atendimento de direitos.
8. Registrar finalidade, base legal, categorias de dados, fornecedor, retenção e transferência internacional.
9. Treinar usuários antes da liberação e repetir a capacitação quando a ferramenta ou a política mudar.
10. Monitorar incidentes, exceções, resultados incorretos e eficácia dos controles em ciclos definidos.

Esses 10 controles internos precisam de responsáveis e evidências, pois uma regra sem registro dificulta auditoria e correção. A área de privacidade pode validar bases legais, enquanto segurança da informação avalia acessos, logs e integrações.

A governança também deve integrar compliance, jurídico, tecnologia, recursos humanos e áreas usuárias. O conteúdo sobre inteligência artificial e compliance detalha controles complementares para aprovação, supervisão e responsabilização.

Classificação simples reduz dúvidas no trabalho

A classificação deve aparecer perto do campo de uso, pois documentos extensos não ajudam durante uma tarefa urgente. Etiquetas no repositório, avisos no navegador e bloqueios técnicos reduzem a chance de um dado sigiloso chegar ao prompt.

Decisões automatizadas precisam de revisão e teste

A revisão humana precisa ter autoridade para alterar o resultado da IA. Um clique automático de aprovação não protege a pessoa afetada, enquanto uma análise baseada em critérios, evidências e contexto permite corrigir erros.

Modelos podem produzir informações falsas, reproduzir vieses ou inferir atributos indevidos. Por isso, a empresa deve testar precisão e impactos antes do uso, além de repetir a avaliação quando trocar o modelo, os dados ou a finalidade.

Em recrutamento, por exemplo, um sistema pode reduzir a pontuação de currículos devido a lacunas profissionais associadas a licença médica ou cuidado familiar. A equipe deve comparar taxas de seleção entre grupos relevantes, investigar diferenças e suspender a automação quando não conseguir justificar o resultado.

O relatório de impacto à proteção de dados pessoais organiza essa análise, sobretudo em tratamentos de alto risco. Embora a LGPD permita que a ANPD solicite o documento em situações previstas, a empresa pode produzi-lo preventivamente para registrar riscos, medidas e riscos residuais.

Uma exceção deve expirar

A área responsável pode autorizar um uso restrito quando documentar finalidade, dados, duração e controles compensatórios. No entanto, a autorização deve incluir data de término porque uma exceção permanente tende a substituir a política.

Um projeto piloto de 30 dias pode usar dados pseudonimizados em ambiente isolado, desde que limite acessos e exclua os arquivos ao final. Após o teste, a equipe deve comprovar a exclusão e decidir se aprova, ajusta ou encerra o uso.

Incidentes exigem contenção e registro rápido

O envio indevido de dados a uma ferramenta de IA pode configurar incidente de segurança. A empresa deve conter o acesso, preservar evidências, acionar privacidade e segurança e avaliar riscos aos titulares.

A Resolução CD ANPD 15 de 2024 estabelece 3 dias úteis para comunicar à ANPD e aos titulares um incidente capaz de acarretar risco ou dano relevante, ressalvadas as condições regulatórias. Por isso, a política interna precisa exigir reporte imediato, sem esperar que o usuário confirme sozinho a gravidade.

1. Interromper o compartilhamento e revogar links, sessões ou integrações expostas.
2. Solicitar ao fornecedor a exclusão do conteúdo e a confirmação das medidas executadas.
3. Identificar dados, titulares, volume, período, acessos e possíveis consequências.
4. Avaliar a necessidade de comunicação com apoio do encarregado e das áreas técnicas.
5. Registrar decisões, horários, evidências e ações para impedir recorrência.

Um colaborador que envia 200 currículos a uma conta pessoal deve comunicar o fato mesmo que apague a conversa logo depois. O provedor pode manter cópias técnicas, e a equipe de resposta precisa verificar retenção, treinamento do modelo e acesso por terceiros.

Sanções e perdas vão além da multa

A LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica no Brasil, limitada a R$ 50 milhões por infração. O artigo 52 também prevê advertência, publicização da infração, bloqueio, eliminação de dados e outras sanções administrativas.

A ANPD considera fatores como gravidade, boa fé, reincidência, cooperação e adoção de mecanismos internos ao aplicar sanções. Assim, políticas, treinamentos, contratos e registros não eliminam todo risco, mas demonstram medidas concretas de prevenção e resposta.

Os efeitos operacionais podem surgir antes de uma sanção. A empresa pode perder um contrato, interromper uma integração ou responder a pedidos de titulares, enquanto equipes técnicas gastam tempo tentando excluir dados já replicados.

A implantação deve começar pelos usos reais

O inventário deve registrar as ferramentas que as equipes já utilizam, inclusive contas pessoais e extensões de navegador. Proibir tudo sem oferecer uma alternativa aprovada tende a ocultar o uso, enquanto uma regra aplicável facilita o reporte de dúvidas e incidentes.

A empresa pode começar com entrevistas curtas e análise de acessos, depois classificar casos por finalidade e risco. Um assistente que revisa texto público exige controles menores, embora um sistema que pontua candidatos demande avaliação jurídica, testes e supervisão contínua.

Indicadores tornam a política verificável. A organização pode medir o percentual de usuários treinados, o número de ferramentas não autorizadas, o tempo de revogação de acessos e a quantidade de prompts bloqueados por conter dados pessoais.

Uma meta de 100% de treinamento antes da liberação é objetiva, desde que a empresa também teste compreensão. Simulações com CPF, prontuário e contrato confidencial revelam se a pessoa reconhece o risco antes de clicar em enviar.

Inteligência artificial e LGPD podem conviver com menor risco quando a empresa limita dados, escolhe fornecedores verificáveis e mantém supervisão humana. A decisão de liberar uma ferramenta deve seguir evidências documentadas, e não apenas conveniência ou popularidade.

Perguntas frequentes sobre inteligência artificial e LGPD