LGPD e inteligência artificial: como usar IA sem expor seus dados
A LGPD vale para a IA generativa sempre que houver dados pessoais. Veja onde os dados vazam na prática e os passos para usar IA com segurança na empresa.
A LGPD se aplica à inteligência artificial sempre que a IA trata dados pessoais, seja no texto digitado em um assistente, nos documentos enviados ou nas respostas geradas. Usar IA generativa sem expor dados depende de três escolhas: quais dados entram, em que ambiente a IA roda e quem pode ver o que ela faz. Com essas escolhas feitas, a IA vira ferramenta de trabalho, não fonte de vazamento.
O desafio é que a IA generativa chegou às empresas pelas mãos das pessoas, muitas vezes antes das regras. Este guia explica como a LGPD se relaciona com a IA, onde estão os riscos mais comuns e um roteiro prático para organizar o uso. Ele não substitui orientação jurídica: confirme cada decisão com o time jurídico e com o encarregado de dados da sua empresa.
A LGPD se aplica à IA generativa?
Sim. A LGPD (Lei 13.709/2018) está em vigor e vale para qualquer tratamento de dados pessoais, com ou sem IA. Se um colaborador cola o nome, o CPF ou o histórico de um cliente em uma ferramenta de IA, isso é tratamento de dados pessoais e precisa seguir a lei. A ANPD é a autoridade responsável por fiscalizar.
Na prática, isso significa que os princípios que a empresa já aplica continuam valendo: ter uma base legal para usar o dado, usar só para a finalidade informada, tratar apenas o necessário e manter os dados seguros. A IA não cria uma exceção. Ela só torna mais fácil, e mais rápido, sair desses limites sem perceber.
Há também um ponto específico para decisões automatizadas. Quando uma decisão que afeta a pessoa é tomada só com base em tratamento automatizado, o titular pode pedir a revisão dessa decisão (art. 20 da LGPD). Se a IA participa de decisões sobre crédito, contratação ou atendimento, é preciso saber explicar o que aconteceu e ter um caminho de revisão.
Onde os dados da empresa vazam quando se usa IA?
O risco mais comum é o mais simples: alguém copia dados de clientes, contratos ou planilhas financeiras para uma ferramenta pública de IA, sem contrato com a empresa e sem controle sobre o que acontece com aquele conteúdo. A intenção é ganhar tempo. O resultado é perder o controle do dado.
Outro ponto é o acesso amplo demais. Quando um assistente de IA é ligado aos sistemas da empresa com permissão para ver tudo, ele pode trazer em uma resposta informações que aquela pessoa não deveria ver. O problema não é a IA em si, e sim a permissão que ela recebeu.
Por fim, há o que fica para trás: históricos de conversa, registros técnicos e respostas geradas que contêm dados pessoais. Se ninguém sabe onde isso fica guardado nem por quanto tempo, a empresa não consegue atender a um pedido do titular nem demonstrar que cuidou bem da informação.
Nenhum desses riscos exige má-fé. Na maioria das vezes, são pessoas tentando trabalhar melhor com as ferramentas que têm à mão. Por isso, proibir tudo raramente funciona: o uso continua, só que fora da vista da empresa. O caminho mais eficaz é combinar regras claras, uma alternativa corporativa segura e orientação prática sobre o que pode e o que não pode entrar em uma ferramenta de IA.
Como usar IA generativa sem expor os dados: 6 passos
1 · Mapeie onde a IA já é usada. Pergunte às áreas quais ferramentas usam e para quê. O objetivo não é punir, é enxergar. Sem esse mapa, qualquer política fica no papel.
2 · Classifique os dados. Defina o que é público, interno, confidencial e dado pessoal sensível. Deixe claro, com exemplos, o que nunca deve entrar em uma ferramenta sem aprovação.
3 · Ofereça uma alternativa corporativa. Quando a empresa disponibiliza um ambiente de IA com contrato, regras de uso dos dados e funcionamento dentro do seu perímetro, as pessoas deixam de recorrer a ferramentas por conta própria.
4 · Dê à IA acesso só ao necessário. Cada agente ou assistente deve enxergar apenas os dados de que precisa para a tarefa, respeitando as mesmas permissões que a pessoa teria.
5 · Registre o que a IA faz. Guarde quais dados foram acessados, qual regra foi aplicada e qual foi o resultado. Esse registro ajuda a responder ao titular, à auditoria e ao regulador.
6 · Mantenha revisão humana nas decisões sobre pessoas. Onde a IA influencia decisões que afetam clientes ou colaboradores, defina quem revisa e como o titular pode pedir essa revisão.
E o PL 2.338/2023, o marco legal da IA?
Além da LGPD, o Brasil discute o PL 2.338/2023, que cria um marco legal para a IA com abordagem baseada em risco. O texto foi aprovado pelo Senado em 10 de dezembro de 2024 e, até outubro de 2026, seguia em análise em uma comissão especial da Câmara, com votação adiada para depois das eleições. Se a Câmara alterar o texto, ele volta ao Senado.
O texto pode mudar, mas a direção conversa com a LGPD: mais transparência, supervisão humana e registros para sistemas de alto risco. Os passos acima ajudam nas duas frentes. Ainda assim, a leitura de cada caso deve ser feita com o time jurídico da empresa.
Como a Semantix usa IA com os dados do cliente
Na Semantix, não há IA sem contexto, e o contexto é do cliente. Agentes de IA e especialistas operam processos com acesso só ao necessário, e os dados pessoais, como CPF, CNPJ e e-mail, são mascarados antes de chegar ao modelo. Você escolhe onde os modelos rodam, inclusive no Brasil ou em ambiente próprio. O Safetix, parte da Semantix AI Suite, aplica as regras e permissões, com cada execução rastreada e as aprovações humanas registradas. O que a operação aprende continua seu.
Operamos com certificações ISO 27001, ISO 27701, PCI-DSS e SOC 2 Type II e seguimos a LGPD e as regras setoriais. Se você quer saber onde a IA já toca dados sensíveis na sua empresa, um diagnóstico mostra o ponto de partida.
Você escolhe até onde a Semantix vai: usar a Semantix AI Suite com o seu time, construir junto com a Semantix ou contratar a operação. É assim que a Semantix, The Enterprise AI Company, constrói empresas que aprendem.
“O problema não é a IA em si, e sim a permissão que ela recebeu.”
Insights
Perguntas frequentes
Posso colocar dados de clientes em uma ferramenta pública de IA?
Dados pessoais de clientes só devem ir para ferramentas que a empresa aprovou, com contrato e regras claras de uso dos dados. Colar esses dados em uma ferramenta pública sem esse cuidado é tratamento de dados pessoais fora do controle da empresa. Confirme a política com o jurídico e o encarregado de dados.
A LGPD proíbe o uso de inteligência artificial?
Não. A LGPD não proíbe a IA, mas exige que o tratamento de dados pessoais tenha base legal, finalidade definida, uso do mínimo necessário e segurança. Ela também garante ao titular o direito de pedir revisão de decisões tomadas só por tratamento automatizado.
O que é revisão de decisão automatizada na LGPD?
É o direito do titular de pedir que uma decisão tomada apenas com base em tratamento automatizado, e que afete seus interesses, seja revista (art. 20 da LGPD). Para a empresa, isso exige saber explicar a decisão e ter um processo de revisão.
Quem fiscaliza o uso de dados pessoais pela IA no Brasil?
A ANPD, Autoridade Nacional de Proteção de Dados, é a autoridade responsável pela LGPD. Empresas de setores regulados também precisam observar as regras de seus órgãos, como Bacen, CVM, ANS ou Anvisa.