IA e LGPD: o que sua empresa precisa saber antes de automatizar

Projetos de inteligência artificial costumam envolver dados pessoais: nomes, e-mails, históricos de atendimento, documentos. No Brasil, isso coloca a Lei Geral de Proteção de Dados no centro da conversa.

Este texto é uma orientação geral e não substitui a análise de um profissional jurídico.

Mapeie os dados que entram no fluxo

Antes de construir, liste quais dados o agente vai ler e quais vai enviar ao modelo. Muitas vezes, a tarefa pode ser feita com menos informação do que se imaginava.

Aplique a minimização

Envie ao modelo apenas o necessário. Se o agente precisa classificar o assunto de um e-mail, talvez não precise do CPF que aparece na assinatura.

Defina a base legal

Todo tratamento de dados pessoais precisa de uma base legal, como execução de contrato, legítimo interesse ou consentimento. Documente qual se aplica a cada fluxo.

Conheça os termos do fornecedor

Verifique como o provedor de IA trata os dados enviados. Em serviços comerciais de API, é comum que os termos estabeleçam que os dados não são usados para treinar os modelos por padrão. Leia os termos vigentes e guarde a referência.

Cuide das decisões automatizadas

A LGPD prevê o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado. Manter uma pessoa nas decisões relevantes é uma boa prática técnica e jurídica.

Seja transparente

Informe quando o usuário está falando com uma IA e atualize a política de privacidade para mencionar esse uso.

Controle o acesso e registre

• Permissão mínima para cada agente.
• Histórico das ações executadas.
• Prazo definido de retenção dos registros.

Um checklist rápido

1. Quais dados pessoais entram no fluxo?
2. Todos são realmente necessários?
3. Qual é a base legal?
4. Onde os dados são processados e armazenados?
5. Quem revisa as decisões relevantes?

Na Webparatus, esse mapeamento faz parte do diagnóstico de todo projeto de IA.