LGPD e inteligência artificial: governança de dados ao adotar IA

Adotar inteligência artificial sem governança de dados é assumir risco jurídico no escuro. A LGPD (Lei nº 13.709/2018) não menciona "inteligência artificial" em nenhum artigo — e nem precisa: todo tratamento de dados pessoais feito por ou para um sistema de IA está integralmente sujeito a ela. Este artigo mapeia os pontos que uma adoção responsável precisa cobrir.

IA é tratamento de dados

Sempre que um prompt contém nome, CPF, histórico de um cliente ou fatos de um processo identificável, há tratamento de dados pessoais: coleta, uso, processamento e, muitas vezes, transferência internacional — tudo em uma única requisição. As perguntas clássicas da LGPD se aplicam integralmente:

• Base legal: qual hipótese do art. 7º (ou do art. 11, para dados sensíveis) autoriza esse tratamento?
• Finalidade: o uso na IA é compatível com a finalidade para a qual o dado foi coletado?
• Necessidade: o dado pessoal precisa mesmo estar no prompt, ou a tarefa funciona com dados anonimizados?

Essa última pergunta é a mais poderosa na prática: grande parte dos casos de uso funciona perfeitamente com dados anonimizados ou pseudonimizados. Retirar identificadores antes de enviar o texto ao modelo elimina boa parte do risco na origem.

O fornecedor de IA é seu operador

Quando o escritório ou a empresa usa um serviço de IA de terceiro, ela é a controladora e o fornecedor atua como operador (art. 39 da LGPD). Disso decorrem obrigações concretas na escolha da ferramenta:

1. Contrato adequado — planos corporativos costumam oferecer termos de tratamento de dados (DPA), compromisso de não treinar modelos com seus dados e prazos de retenção definidos. Versões gratuitas raramente oferecem qualquer garantia.
2. Transferência internacional — a maioria dos provedores processa dados fora do Brasil; é preciso verificar as salvaguardas do capítulo V da LGPD e informar isso na sua política de privacidade.
3. Segurança — criptografia, controle de acesso e logs de auditoria são o mínimo.

Dados sensíveis e sigilo profissional: régua mais alta

Operações jurídicas lidam rotineiramente com dados sensíveis (saúde, convicções, biometria, dados de crianças) e com informações protegidas por sigilo profissional. Para essas categorias, a régua sobe: base legal do art. 11, avaliação de impacto quando o tratamento for de risco, e — em muitos casos — a decisão de simplesmente não enviar esse conteúdo a serviços externos, mantendo-o em fluxos internos ou anonimizados.

O que uma boa governança de IA cobre

Um programa de governança não precisa ser burocrático. Precisa ser real. O núcleo:

• Política de uso de IA — ferramentas aprovadas, dados proibidos, revisão humana obrigatória;
• Inventário de casos de uso — o que cada área usa, com quais dados e qual base legal;
• Contratos revisados — DPA com cada fornecedor de IA relevante;
• Transparência — política de privacidade atualizada, mencionando o uso de IA e as transferências internacionais;
• Treinamento — a equipe precisa saber por que as regras existem, não apenas quais são;
• Resposta a incidentes — o vazamento via prompt é incidente de segurança como qualquer outro, com dever de comunicação à ANPD nos casos relevantes.

Governança não é freio — é condição de escala

A leitura errada é tratar tudo isso como obstáculo à inovação. É o contrário: organizações com governança clara adotam IA mais rápido, porque as equipes sabem exatamente o que podem fazer e os gestores aprovam projetos sem medo do desconhecido.

A Brain Legal nasceu dessa dupla competência — tecnologia e Direito — e ajuda empresas e escritórios a montar exatamente essa estrutura: da política de uso à implantação técnica com privacidade por design. [Fale com a gente](/contato) para um diagnóstico.