Resposta rápidaA LGPD vale para qualquer uso de IA que trate dados pessoais. A empresa precisa de base legal, finalidade clara, minimização, segurança, transparência e meio de revisão para decisões automatizadas. A ANPD tem a IA entre suas prioridades, e o marco legal de IA ainda tramita no Congresso.
Neste artigo
IA e LGPD se encontram no momento em que alguém da empresa cola um texto com nome, CPF, e-mail ou informação de saúde em uma ferramenta de conversa. Naquele instante, a empresa está tratando dados pessoais, e a Lei Geral de Proteção de Dados vale como em qualquer outro tratamento. Não existe exceção para "foi só um teste" nem para "a ferramenta é famosa".
Este artigo organiza o que a empresa precisa fazer para usar IA dentro da lei, o que as autoridades têm sinalizado em 2026 e um checklist para começar. Não substitui assessoria jurídica, mas deixa claro quais perguntas fazer.
O que a LGPD exige quando você usa IA
A LGPD não menciona inteligência artificial pelo nome, mas seus princípios se aplicam a qualquer tratamento de dados pessoais, inclusive os feitos por modelos de linguagem. Os mais relevantes para quem usa IA:
- Finalidade: você precisa saber para que está usando o dado e informar isso ao titular.
- Adequação e necessidade: use só o dado indispensável. Se a tarefa funciona sem o nome do cliente, remova o nome.
- Transparência: o titular deve ter informação clara sobre o tratamento, inclusive sobre decisões automatizadas.
- Segurança: medidas técnicas e administrativas para proteger o dado, o que inclui controle de acesso e escolha de fornecedores.
- Prevenção e responsabilização: documentar o que foi feito e demonstrar conformidade.
- Não discriminação: o tratamento não pode ter fins discriminatórios ilícitos ou abusivos.
Além disso, o art. 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como perfis de crédito, profissionais e de consumo. Se a IA participa de uma decisão desse tipo, a empresa precisa de um caminho de revisão e de capacidade de explicar os critérios.
Base legal: com que fundamento você trata o dado
Todo tratamento precisa de uma base legal prevista na lei, como execução de contrato, cumprimento de obrigação legal, legítimo interesse ou consentimento. Para dados sensíveis, como saúde, biometria, origem racial ou convicção religiosa, as hipóteses são mais restritas. O erro mais comum em empresas pequenas é achar que, se o dado já está com a empresa, ele pode ir para qualquer ferramenta. A base legal que justifica guardar o dado não necessariamente cobre enviá-lo a um terceiro para outra finalidade.
O papel do fornecedor da ferramenta
Quando você usa uma ferramenta de IA, normalmente há um fornecedor processando o conteúdo. Pergunte e leia nos termos vigentes:
- O conteúdo enviado é usado para treinar o modelo? Em planos empresariais isso costuma ser desativado, mas confirme no contrato.
- Onde ficam armazenados os dados e por quanto tempo?
- Há transferência internacional? A LGPD tem regras para isso.
- Existe contrato de tratamento de dados, com cláusulas sobre segurança e incidentes?
- É possível apagar o histórico e controlar quem acessa?
Contas pessoais gratuitas raramente oferecem o mesmo nível de garantia que planos corporativos. O artigo sobre segurança e privacidade no Claude mostra exemplos desses controles.
O que a ANPD e o Congresso estão fazendo
Em novembro de 2026, o quadro que consegui confirmar é este:
- A Autoridade Nacional de Proteção de Dados incluiu IA e tecnologias emergentes entre as prioridades do mapa de fiscalização do biênio 2026-2027 e realizou tomada de subsídios sobre IA e revisão de decisões automatizadas. Na data desta consulta, não encontrei um guia específico de IA já finalizado. Verifique o site oficial da ANPD no gov.br para publicações recentes.
- O PL 2.338/2023, que cria o marco legal de IA, foi aprovado no Senado em dezembro de 2024 e está em análise na Câmara dos Deputados, sem votação final até onde foi possível apurar. Há propostas adicionais em tramitação, inclusive uma de iniciativa do Executivo. Como o texto pode mudar, não organize seu programa de conformidade em torno de dispositivos que ainda não são lei.
- Setores têm normas próprias. A área da saúde, por exemplo, tem a Resolução CFM 2.454/2026, comentada em IA para médicos e clínicas, e a advocacia tem recomendações da OAB, tratadas em IA para advogados.
Resultado prático: a LGPD é a régua que vale hoje.
Checklist para a empresa
Use esta lista como ponto de partida e adapte com seu encarregado de dados (DPO) ou assessoria jurídica.
- Mapeie os usos. Quem usa IA, em que tarefas, com que dados? Muitas empresas descobrem uso por fora do controle.
- Defina ferramentas aprovadas. Uma lista curta, com planos adequados.
- Classifique os dados. O que pode ir para a IA, o que só vai anonimizado, o que nunca vai.
- Escreva uma política de uso de uma ou duas páginas. Linguagem simples, com exemplos.
- Revise contratos e termos dos fornecedores. Treinamento, retenção, localização, incidentes.
- Atualize avisos de privacidade quando a IA afetar clientes, candidatos ou colaboradores.
- Preveja revisão humana em decisões que afetem pessoas.
- Treine a equipe com casos reais e exemplos do que não fazer.
- Registre incidentes e tenha um plano de resposta.
- Revise a cada seis meses, porque ferramentas e normas mudam.
Erros comuns
| Erro | Por que é problema | Como corrigir |
|---|---|---|
| Colar lista de clientes na ferramenta gratuita | Envio de dados pessoais sem controle | Usar plano empresarial e anonimizar |
| Usar IA para eliminar candidatos | Decisão automatizada sem revisão | Manter humano e critérios objetivos |
| Ninguém sabe quem usa o quê | Falta de governança | Mapear usos e centralizar ferramentas |
| Política copiada sem adaptar | Não reflete a realidade | Redigir com a equipe e exemplos |
| Confiar que o fornecedor resolve tudo | Responsabilidade continua com a empresa | Contratos e controles próprios |
Prompt para ajudar na política interna
A IA pode ajudar a rascunhar a política, desde que um responsável revise.
Você é consultor de privacidade. Escreva um rascunho de política de
uso de IA generativa para uma empresa de [SETOR] com [N] pessoas,
em linguagem simples, em até 600 palavras. Inclua: ferramentas
aprovadas (lista a preencher), dados permitidos, dados proibidos,
dados que exigem anonimização, regra de conferência de fatos,
responsável e como reportar incidentes. Deixe claro que é um rascunho
para revisão do jurídico.Para entender os riscos de resposta errada que também afetam a conformidade, veja alucinação de IA. E, para um plano de adoção que já nasce com governança, leia como implantar IA na empresa em 90 dias.
Casos práticos de decisão
Resumir contratos de clientes. Se o contrato tem dados de pessoas físicas, avalie anonimizar partes antes. Se a ferramenta está em plano empresarial com garantias contratuais e a finalidade é a prestação do serviço, o risco diminui, mas registre a decisão.
Analisar currículos. Há dados pessoais de terceiros que não conhecem sua empresa. Informe no aviso de privacidade do processo seletivo e mantenha revisão humana.
Atendimento por IA no WhatsApp. Avise o cliente que fala com um assistente, limite a coleta ao necessário e ofereça transferência para uma pessoa.
Por onde começar
Reúna as pessoas que já usam IA na empresa por uma hora e pergunte quatro coisas: que ferramenta, para quê, com que dados e o que aconteceria se vazasse. A partir das respostas, escreva a política e escolha as ferramentas. Isso costuma ser mais útil do que qualquer modelo de documento.
No curso de Claude e IA presencial, a parte de privacidade é trabalhada com os casos que os próprios alunos trazem, e cada um sai com um rascunho de regras de uso para levar à empresa.
Perguntas frequentes
A LGPD se aplica ao uso de ChatGPT, Claude e Gemini?
Sim, sempre que o conteúdo enviado contiver dados pessoais. A empresa continua sendo controladora desses dados e deve ter base legal, finalidade e medidas de segurança. A ferramenta, em geral, atua como operadora ou fornecedora, e o contrato e a política de privacidade definem as responsabilidades.
A ANPD já publicou regras específicas para IA?
Até onde foi possível confirmar em novembro de 2026, a ANPD colocou IA e tecnologias emergentes entre as prioridades de fiscalização do biênio 2026-2027 e conduziu consulta sobre decisões automatizadas, mas não há uma regulamentação geral de IA concluída. Confira sempre o site oficial da autoridade.
Existe lei brasileira específica de inteligência artificial?
Ainda não está em vigor. O PL 2.338/2023 foi aprovado no Senado em dezembro de 2024 e tramita na Câmara dos Deputados, sem votação final confirmada até novembro de 2026. Enquanto isso, valem a LGPD, o Código de Defesa do Consumidor, o Marco Civil da Internet e normas setoriais.
Preciso anonimizar dados antes de usar IA?
Não é obrigatório em todo caso, mas é a medida mais simples para reduzir o risco. Se não houver necessidade de dados identificáveis para a tarefa, remova-os. Se houver, a empresa precisa de base legal, contrato adequado com o fornecedor e controles de acesso.
Quem responde se a IA vazar ou tratar dados de forma indevida?
Em regra, a empresa que decide sobre o tratamento responde como controladora, e o fornecedor pode responder conforme seu papel e contrato. Por isso é importante documentar contratos, políticas internas e quem autorizou cada uso.
