LGPD e inteligencia artificial: cómo usar IA sin exponer sus datos
La LGPD de Brasil se aplica a la IA generativa siempre que haya datos personales. Vea dónde se filtran los datos y los pasos para usar IA con seguridad.
La LGPD, ley general de protección de datos de Brasil, se aplica a la inteligencia artificial siempre que la IA trate datos personales, ya sea en el texto escrito en un asistente, en los documentos cargados o en las respuestas generadas. Usar IA generativa sin exponer datos depende de tres decisiones: qué datos entran, en qué entorno funciona la IA y quién puede ver lo que hace. Con esas decisiones tomadas, la IA se convierte en herramienta de trabajo y no en fuente de filtraciones.
El reto es que la IA generativa llegó a las empresas de la mano de las personas, muchas veces antes que las reglas. Esta guía explica cómo se relaciona la LGPD con la IA, dónde están los riesgos más comunes y una hoja de ruta práctica para ordenar su uso. No reemplaza la asesoría legal: confirme cada decisión con el equipo jurídico y con el encargado de protección de datos de su empresa.
¿La LGPD se aplica a la IA generativa?
Sí. La LGPD (Ley 13.709/2018) está vigente y abarca cualquier tratamiento de datos personales, con o sin IA. Si un colaborador pega el nombre, el número de identificación fiscal o el historial de un cliente en una herramienta de IA, eso es tratamiento de datos personales y debe cumplir la ley. La ANPD, autoridad nacional de protección de datos de Brasil, es la responsable de fiscalizar.
En la práctica, los principios que la empresa ya aplica siguen vigentes: contar con una base legal para usar el dato, usarlo solo para la finalidad informada, tratar únicamente lo necesario y mantenerlo seguro. La IA no crea una excepción. Solo hace más fácil, y más rápido, salirse de esos límites sin darse cuenta.
Hay además un punto específico sobre decisiones automatizadas. Cuando una decisión que afecta a una persona se toma únicamente con base en un tratamiento automatizado, el titular puede solicitar la revisión de esa decisión (artículo 20 de la LGPD). Si la IA participa en decisiones de crédito, contratación o atención, es necesario poder explicar lo ocurrido y ofrecer un camino de revisión.
¿Dónde se filtran los datos de la empresa al usar IA?
El riesgo más común es también el más simple: alguien copia datos de clientes, contratos o planillas financieras en una herramienta pública de IA, sin contrato con la empresa y sin control sobre lo que ocurre con ese contenido. La intención es ganar tiempo. El resultado es perder el control del dato.
Otro punto es el acceso demasiado amplio. Cuando un asistente de IA se conecta a los sistemas de la empresa con permiso para ver todo, puede mostrar en una respuesta información que esa persona no debería ver. El problema no es la IA en sí, sino el permiso que recibió.
Por último, está lo que queda atrás: historiales de conversación, registros técnicos y respuestas generadas que contienen datos personales. Si nadie sabe dónde se guardan ni por cuánto tiempo, la empresa no puede atender una solicitud del titular ni demostrar que cuidó bien la información.
Ninguno de estos riesgos requiere mala fe. La mayoría de las veces, son personas que intentan trabajar mejor con las herramientas que tienen a mano. Por eso, prohibirlo todo rara vez funciona: el uso continúa, solo que fuera de la vista de la empresa. El camino más eficaz combina reglas claras, una alternativa corporativa segura y orientación práctica sobre qué puede y qué no puede entrar en una herramienta de IA.
Cómo usar IA generativa sin exponer datos: 6 pasos
1 · Identifique dónde ya se usa IA. Pregunte a cada área qué herramientas usa y para qué. El objetivo no es sancionar, sino ver. Sin ese mapa, cualquier política se queda en el papel.
2 · Clasifique los datos. Defina qué es público, interno, confidencial y dato personal sensible. Deje claro, con ejemplos, qué nunca debe entrar en una herramienta sin aprobación.
3 · Ofrezca una alternativa corporativa. Cuando la empresa pone a disposición un entorno de IA con contrato, reglas de uso de datos y funcionamiento dentro de su perímetro, las personas dejan de recurrir a herramientas por su cuenta.
4 · Dé a la IA acceso solo a lo necesario. Cada agente o asistente debe ver únicamente los datos que necesita para la tarea, respetando los mismos permisos que tendría la persona.
5 · Registre lo que hace la IA. Conserve qué datos se consultaron, qué regla se aplicó y cuál fue el resultado. Ese registro ayuda a responder al titular, a la auditoría y al regulador.
6 · Mantenga la revisión humana en decisiones sobre personas. Donde la IA influye en decisiones que afectan a clientes o colaboradores, defina quién revisa y cómo el titular puede solicitar esa revisión.
¿Y el PL 2.338/2023, el proyecto de ley de IA de Brasil?
Además de la LGPD, Brasil discute el PL 2.338/2023, un proyecto de ley que crea un marco legal para la IA con un enfoque basado en riesgo. El Senado lo aprobó el 10 de diciembre de 2024 y, hasta octubre de 2026, seguía en análisis en una comisión especial de la Cámara de Diputados, con la votación pospuesta para después de las elecciones. Si la Cámara modifica el texto, vuelve al Senado.
El texto puede cambiar, pero su dirección conversa con la LGPD: más transparencia, supervisión humana y registros para sistemas de alto riesgo. Los pasos anteriores ayudan en ambos frentes. Aun así, cada caso debe analizarse con el equipo jurídico de su empresa.
Cómo Semantix usa la IA con los datos del cliente
En Semantix, no hay IA sin contexto, y el contexto es del cliente. Agentes de IA y especialistas operan procesos con acceso solo a lo necesario, y los datos personales, como CPF, CNPJ y correo electrónico, se enmascaran antes de llegar al modelo. Usted elige dónde se ejecutan los modelos, incluso en Brasil o en un entorno propio. Safetix, parte de Semantix AI Suite, aplica las reglas y permisos, con cada ejecución rastreada y las aprobaciones humanas registradas. Lo que la operación aprende sigue siendo suyo.
Operamos con certificaciones ISO 27001, ISO 27701, PCI-DSS y SOC 2 Type II y seguimos la LGPD y las reglas sectoriales. Si usted quiere saber dónde la IA ya toca datos sensibles en su empresa, un diagnóstico muestra el punto de partida.
Usted elige hasta dónde llega Semantix: usar Semantix AI Suite con su equipo, construir junto con Semantix o contratar la operación. Así es como Semantix, The Enterprise AI Company, construye empresas que aprenden.
“El problema no es la IA en sí, sino el permiso que recibió.”
Insights
Preguntas frecuentes
¿Puedo poner datos de clientes en una herramienta pública de IA?
Los datos personales de clientes solo deben ir a herramientas aprobadas por la empresa, con contrato y reglas claras de uso de datos. Pegarlos en una herramienta pública sin esos cuidados es tratar datos personales fuera del control de la empresa. Confirme la política con el área jurídica y el encargado de protección de datos.
¿La LGPD prohíbe el uso de inteligencia artificial?
No. La LGPD no prohíbe la IA, pero exige que el tratamiento de datos personales tenga base legal, finalidad definida, uso mínimo necesario y seguridad. También garantiza al titular el derecho a solicitar la revisión de decisiones tomadas solo por tratamiento automatizado.
¿Qué es la revisión de decisiones automatizadas en la LGPD?
Es el derecho del titular a solicitar que se revise una decisión tomada únicamente con base en tratamiento automatizado y que afecte sus intereses (artículo 20 de la LGPD). Para la empresa, implica poder explicar la decisión y contar con un proceso de revisión.
¿Quién fiscaliza el uso de datos personales por la IA en Brasil?
La ANPD, Autoridad Nacional de Protección de Datos de Brasil, es la responsable de la LGPD. Las empresas de sectores regulados también deben observar las reglas de sus reguladores, como Bacen, CVM, ANS o Anvisa.