IA e LGPD: como usar inteligência artificial com dados pessoais sem riscos
Como a LGPD se aplica ao uso de IA nas empresas: bases legais, dados sensíveis, decisões automatizadas, transparência, fornecedores e boas práticas.
A inteligência artificial trabalha com dados, e muitos dos dados mais úteis para uma empresa são pessoais: nomes, compras, conversas de atendimento, currículos, histórico de crédito. A Lei Geral de Proteção de Dados (Lei 13.709/2018) não tem um capítulo exclusivo sobre IA, mas se aplica integralmente a esses usos.
Este guia resume os pontos principais de IA e LGPD para gestores. Ele não substitui orientação jurídica.
Quando a LGPD se aplica ao uso de IA
Sempre que dados de pessoas identificadas ou identificáveis forem tratados: inseridos numa ferramenta, usados para treinar ou ajustar um modelo, analisados por um sistema automatizado ou usados em decisões sobre essas pessoas.
| Situação | Envolve dados pessoais? |
|---|---|
| Colar a lista de clientes numa ferramenta para segmentar | Sim |
| Resumir conversas de atendimento com nomes e telefones | Sim |
| Usar IA para triar currículos | Sim |
| Gerar um texto de anúncio sem dados de clientes | Não |
| Analisar avaliações públicas que identificam autores | Sim, mesmo sendo públicas |
| Usar dados agregados e anonimizados de forma efetiva | Em geral, não |
Os princípios que mais pesam
- Base legal: todo tratamento precisa de uma, como consentimento, execução de contrato ou legítimo interesse, conforme o caso.
- Finalidade: os dados só podem ser usados para propósitos legítimos e informados. Dados coletados para entrega não podem ser reaproveitados livremente para qualquer outra coisa.
- Necessidade: use só os dados necessários. Muitas tarefas de IA funcionam com dados anonimizados ou sem identificação.
- Transparência: informe de forma clara como os dados são usados.
- Segurança: proteja os dados contra acessos indevidos e vazamentos, inclusive nos fornecedores.
- Prestação de contas: documente o que é feito e por quê.
Dados sensíveis
A LGPD dá proteção reforçada a dados sobre saúde, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, dados genéticos e biométricos. Usar esses dados em IA exige muito mais cuidado e, em geral, bases legais mais restritas.
Cuidados com fornecedores de IA
Ao usar uma ferramenta de terceiros com dados pessoais, verifique:
| Pergunta | Por que importa |
|---|---|
| Os dados inseridos são usados para treinar os modelos do fornecedor? | Pode significar uso dos dados para outra finalidade |
| Onde os dados são armazenados e processados? | Transferência internacional tem regras próprias |
| Por quanto tempo ficam guardados? | Retenção além do necessário aumenta o risco |
| Quais garantias de segurança e confidencialidade o contrato oferece? | A empresa continua responsável pelos dados |
| Há versão corporativa com configurações de privacidade? | Contas pessoais costumam ter menos garantias |
Boas práticas
- Classifique os dados e proíba o uso de dados pessoais em ferramentas não aprovadas. Veja política de uso de IA.
- Anonimize ou pseudonimize sempre que possível.
- Faça um relatório de impacto para usos de maior risco, como decisões sobre pessoas.
- Mantenha revisão humana em decisões relevantes.
- Informe os titulares de forma clara e acessível.
- Acompanhe as orientações da ANPD, que vem publicando materiais sobre IA e proteção de dados, e a evolução do marco legal da IA no Brasil.
O artigo sobre dados primários mostra como coletar dados de clientes com consentimento e finalidade.
Pesquisa sem expor dados de clientes
Uma forma de reduzir o risco é não usar dados pessoais quando eles não são necessários. Para estimar como um público reagiria a uma decisão, por exemplo, é possível trabalhar com perfis agregados, em vez de dados de pessoas reais.
A LGPD se aplica à inteligência artificial?
Sim. Sempre que um sistema de IA trata dados de pessoas identificadas ou identificáveis, valem as regras da LGPD, como base legal, finalidade, necessidade, transparência e segurança.
Posso colocar dados de clientes no ChatGPT ou em outras ferramentas de IA?
Só se houver base legal, finalidade compatível e garantias adequadas do fornecedor, preferencialmente em versões corporativas com configurações de privacidade. Na dúvida, não insira dados pessoais e consulte o encarregado de dados ou um especialista.
O que diz a LGPD sobre decisões automatizadas?
O titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de seus dados que afetem seus interesses, e tem direito a informações claras sobre os critérios utilizados.
Dados anonimizados podem ser usados em IA?
Dados efetivamente anonimizados, que não permitem identificar a pessoa por meios razoáveis, em geral não são considerados dados pessoais pela LGPD. A anonimização precisa ser bem feita para valer.