O que a lei exige de quem usa IA com dados pessoais

A LGPD não trata da inteligência artificial de forma específica, mas se aplica integralmente a qualquer tratamento de dados pessoais feito por meio dela.

Não existe, na LGPD, um capítulo sobre inteligência artificial. Existe algo mais abrangente: a lei alcança qualquer operação de tratamento de dados pessoais, seja qual for a tecnologia empregada. Enviar um documento para uma ferramenta de IA é tratamento, e por isso todas as regras se aplicam.

Isso significa que as perguntas relevantes não são novas. São as mesmas de sempre, feitas em um contexto novo: com que fundamento, para qual finalidade, com que volume de dados e com quais garantias.

Este artigo percorre esses pontos aplicados ao uso cotidiano de documentos. Ele tem caráter informativo e não substitui a avaliação do encarregado nem a orientação jurídica sobre um caso concreto.

Base legal e finalidade

Todo tratamento precisa de uma hipótese legal que o autorize e de uma finalidade específica, informada ao titular. O envio de um documento para uma ferramenta de IA não cria uma finalidade nova por conta própria: ele precisa ser compatível com aquela que justificou a coleta.

Um contrato coletado para a execução de um serviço, por exemplo, não passa automaticamente a poder ser usado para treinar sistemas de terceiros. A compatibilidade entre a finalidade original e o novo uso é o ponto que costuma ser esquecido na pressa de testar uma ferramenta.

Necessidade: o princípio que a anonimização atende

A LGPD determina que o tratamento se limite ao mínimo necessário para a realização de suas finalidades. É o princípio da necessidade, e ele é o argumento mais direto a favor da anonimização antes do envio.

Se a análise pretendida não depende da identidade das pessoas citadas, enviar essa identidade é tratamento além do necessário. O contrário também vale: quando a identificação é indispensável para a finalidade, a anonimização não é o caminho, e o cuidado precisa estar em outro lugar.

Transferência internacional de dados

Boa parte das ferramentas de IA generativa processa os dados fora do Brasil. A LGPD disciplina a transferência internacional em capítulo próprio, admitindo-a apenas em hipóteses específicas, como países com grau de proteção adequado, cláusulas contratuais específicas e outras garantias previstas na lei e regulamentadas pela Autoridade Nacional de Proteção de Dados.

Verificar onde o processamento ocorre e sob quais garantias é parte da avaliação de qualquer ferramenta. Quando o documento é anonimizado antes do envio, o conteúdo que atravessa a fronteira deixa de conter dados pessoais, o que reduz substancialmente essa exposição.

Papéis, responsabilidade e incidentes

  • Controlador: quem decide sobre o tratamento. Em geral, a organização que possui o documento e escolhe enviá-lo.
  • Operador: quem trata os dados em nome do controlador. É a posição em que costuma se enquadrar um fornecedor de tecnologia contratado para essa finalidade.
  • Encarregado: canal de comunicação entre a organização, os titulares e a autoridade.
  • Incidente de segurança: a LGPD exige comunicação à autoridade e aos titulares quando o incidente pode acarretar risco ou dano relevante.

O envio de documentos por iniciativa individual, fora de qualquer política, dificulta a avaliação e o controle do tratamento. A organização pode ser responsabilizada conforme sua participação e as circunstâncias do caso; a falta de autorização interna não gera isenção automática.

Um cenário regulatório em movimento

Além da LGPD, propostas de regulação específica para inteligência artificial tramitam no Congresso Nacional, e a Autoridade Nacional de Proteção de Dados tem se manifestado sobre o uso de dados pessoais em sistemas de IA.

O detalhe das regras futuras ainda pode mudar, mas a direção é previsível: mais exigência de transparência, de avaliação de risco e de limitação do uso de dados pessoais. Organizações que já anonimizam documentos antes de usá-los em IA chegam a esse cenário com metade do caminho andado.

Perguntas frequentes

A LGPD proíbe o uso de inteligência artificial com dados pessoais?

Não. Ela exige que o tratamento tenha base legal, finalidade específica, adequação e necessidade, além de segurança e transparência. A tecnologia empregada não altera essas obrigações.

Enviar um documento para uma IA no exterior é transferência internacional?

Quando a organização transmite ou disponibiliza dados pessoais a um fornecedor localizado no exterior, há transferência internacional. A avaliação deve considerar os agentes envolvidos e o fluxo de dados, inclusive acessos remotos, conforme a Resolução CD/ANPD nº 19/2024. A operação exige base legal e mecanismo de transferência válidos.

A anonimização elimina a aplicação da LGPD?

Em regra, o resultado deixa de ser tratado como dado pessoal se atender aos critérios de anonimização. O artigo 12 ressalva a reversão exclusivamente com meios próprios ou a possibilidade de reversão com esforços razoáveis. A anonimização e o tratamento anterior continuam sujeitos à LGPD, e outros deveres de sigilo podem permanecer.

Quem responde por um vazamento causado pelo uso de uma ferramenta de IA?

Controladores e operadores podem responder pelos danos, conforme os artigos 42 a 45 da LGPD. A apuração considera a participação de cada agente, eventual violação da legislação e as hipóteses legais de exclusão de responsabilidade. Contratar um fornecedor ou ter uma política interna não afasta, por si só, os deveres de proteção.

Continue explorando