LGPD e IA: o que resolver antes de automatizar

Este conteúdo é informativo

A LGPD e IA exigem análise do caso concreto. Este artigo organiza perguntas técnicas e operacionais para uma conversa com a pessoa ou assessoria responsável pela conformidade da empresa; ele não é parecer jurídico.

A fonte primária é a Lei nº 13.709/2018, no texto oficial do Planalto. A ANPD também descreve o direito de solicitar revisão e explicação de decisões automatizadas e mantém iniciativas sobre o tema.

Qual é a finalidade do tratamento?

Antes de colocar dados em prompt, base de conhecimento, transcrição ou log, escreva para que o tratamento existe e qual resultado operacional ele precisa apoiar. A finalidade ajuda a decidir quais dados entram, quem acessa e por quanto tempo ficam disponíveis.

Automatizar primeiro e explicar a finalidade depois cria um problema de governança. O fluxo deve nascer com a finalidade e com uma forma de revisar se o uso continua compatível com ela.

Onde os dados pessoais podem aparecer

Dados pessoais podem surgir no texto enviado por uma pessoa, no histórico do atendimento, em uma transcrição, em anexos, em prompts, em respostas geradas e em logs de execução. O mapa precisa considerar o caminho completo, incluindo fornecedores e subcontratados.

Defina minimização, controles de acesso, retenção e descarte para cada fonte. Uma integração conveniente não é, sozinha, justificativa para copiar todos os dados para todos os sistemas.

Decisão automatizada e direito à revisão

O art. 20 da LGPD trata do direito do titular de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. O texto oficial também prevê informação sobre os critérios e procedimentos utilizados, observados os limites legais.

Na operação, isso reforça a necessidade de identificar quando um sistema apenas sugere uma resposta e quando ele produz uma decisão com efeito sobre uma pessoa. A revisão deve ter responsável, contexto e registro suficientes para ser exercida.

O que exigir de fornecedores

Contratos e integrações devem deixar claras as finalidades, responsabilidades, subcontratações, medidas de segurança, retenção, incidentes, acesso e encerramento. A empresa precisa saber quais dados entram no serviço e como pode exercer seus direitos e controles.

Quando a tecnologia não explica seus limites, o processo precisa compensar com menor escopo, revisão humana e uma trilha de auditoria mais clara.

Checklist antes de automatizar

Use estas perguntas como ponto de partida com a equipe de privacidade e segurança:

• A finalidade e a base legal foram documentadas para este processo?
• Quais dados pessoais e dados sensíveis aparecem em entradas, prompts, transcrições e logs?
• Quem pode acessar, revisar, exportar ou apagar esses dados?
• A saída é uma sugestão ou uma decisão automatizada que afeta interesses?
• Como o titular pode pedir informação ou revisão quando aplicável?
• O contrato define fornecedor, subcontratação, segurança, retenção e incidentes?