A Inteligência Artificial já faz parte da rotina de empresas de diferentes setores. Sistemas de IA são utilizados para analisar informações, automatizar processos, personalizar experiências, apoiar decisões e gerar novos produtos e serviços.
Mas existe uma questão que não pode ser deixada em segundo plano: quais dados estão sendo utilizados por essas tecnologias e sob qual fundamento?
Quando uma solução de Inteligência Artificial trata dados pessoais, a inovação precisa caminhar junto com a proteção de dados. Isso significa considerar a Lei Geral de Proteção de Dados Pessoais (LGPD) desde a coleta das informações até seu armazenamento, utilização, compartilhamento e eliminação.
Esse foi um dos pontos centrais da webinar “LGPD na nova era da IA: bases legais, ciclo de vida dos dados e princípios do tratamento”, promovida pela DeServ Academy.
A discussão ganha ainda mais relevância porque a própria Autoridade Nacional de Proteção de Dados (ANPD) reconhece que sistemas de IA podem envolver tratamento intensivo de dados pessoais, inclusive durante treinamento, desenvolvimento e utilização dos modelos.
Por que a Inteligência Artificial aumenta a importância da LGPD?
A IA depende de dados.
Dependendo da aplicação, um sistema pode utilizar informações fornecidas diretamente pelos usuários, bases internas da empresa, históricos de interação, documentos, dados de clientes, informações comportamentais ou outras fontes.
Isso cria diferentes possibilidades de tratamento de dados pessoais.
Imagine, por exemplo, uma empresa que utiliza IA para:
- analisar atendimentos realizados pelo suporte;
- identificar padrões de comportamento dos clientes;
- automatizar processos de RH;
- analisar contratos;
- personalizar ofertas;
- realizar avaliações de risco;
- gerar relatórios a partir de bancos de dados internos.
Em todos esses casos, é necessário entender quais dados estão sendo tratados, por que estão sendo utilizados, quem tem acesso a eles e por quanto tempo serão mantidos.
A LGPD estabelece regras para o tratamento de dados pessoais e busca proteger direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade.
Portanto, utilizar IA não elimina as obrigações relacionadas à proteção de dados.
Na prática, a pergunta deixa de ser apenas:
“Podemos utilizar IA para isso?”
E passa a ser:
“Podemos utilizar IA para isso, com esses dados, para essa finalidade e dentro de quais condições?”
O que são bases legais e por que elas importam na IA?
Um dos pontos fundamentais da LGPD é que o tratamento de dados pessoais precisa estar fundamentado em uma hipótese legal.
A legislação estabelece diferentes bases legais para o tratamento de dados pessoais, incluindo consentimento, cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito, entre outras.
Isso significa que consentimento não é a única base legal existente.
Esse é um ponto importante quando falamos de Inteligência Artificial.
Uma empresa não deve simplesmente coletar dados, inseri-los em uma ferramenta de IA e considerar que o tratamento está regularizado porque o usuário “aceitou os termos”.
É necessário avaliar a finalidade e identificar qual hipótese legal sustenta aquela atividade específica de tratamento.
Um exemplo prático
Imagine que uma empresa utilize uma ferramenta de IA para analisar mensagens enviadas ao seu atendimento ao cliente.
Antes de implementar a solução, a organização deveria avaliar:
- quais dados aparecem nas mensagens;
- se existem dados pessoais ou dados pessoais sensíveis;
- qual é a finalidade da análise;
- qual é a base legal utilizada;
- quem terá acesso às informações;
- se os dados serão compartilhados com terceiros;
- se a ferramenta utiliza essas informações para treinamento;
- por quanto tempo os dados serão armazenados;
- quais medidas de segurança serão aplicadas.
Ou seja, a escolha da tecnologia precisa estar acompanhada de uma análise do tratamento de dados que ela realiza.
O ciclo de vida dos dados na era da Inteligência Artificial
Pensar em proteção de dados apenas no momento da coleta já não é suficiente.
É necessário acompanhar o ciclo de vida dos dados.
De forma simplificada, podemos pensar em etapas como:
Coleta → Armazenamento → Uso → Compartilhamento → Retenção → Eliminação
Quando a Inteligência Artificial entra nesse processo, novas perguntas precisam ser incorporadas.
1. Coleta
Quais informações estão sendo coletadas?
A organização precisa avaliar se realmente necessita de todos os dados utilizados pela aplicação.
Aqui entra diretamente o princípio da necessidade, segundo o qual o tratamento deve se limitar aos dados pertinentes, proporcionais e não excessivos em relação à finalidade.
2. Armazenamento
Onde os dados ficam armazenados?
É importante compreender a infraestrutura utilizada pela solução de IA, os controles de acesso, os mecanismos de segurança e as condições de retenção.
3. Uso
Para qual finalidade os dados estão sendo utilizados?
Um dado coletado para determinada finalidade não deve ser automaticamente reutilizado para outra finalidade incompatível.
Esse cuidado está relacionado ao princípio da finalidade, que exige propósitos legítimos, específicos, explícitos e informados ao titular.
4. Compartilhamento
Os dados serão enviados para outra plataforma, fornecedor ou serviço de IA?
Essa etapa exige atenção especial quando a organização utiliza ferramentas externas.
É necessário compreender quem participa do tratamento e quais responsabilidades existem nessa relação.
5. Retenção
Por quanto tempo essas informações precisam permanecer armazenadas?
Manter dados indefinidamente aumenta a superfície de exposição e pode contrariar a lógica de necessidade e finalidade do tratamento.
6. Eliminação
Quando os dados deixam de ser necessários, o que acontece?
A organização precisa ter processos para eliminar ou tratar adequadamente as informações que não possuem mais finalidade legítima de retenção.
Os princípios da LGPD também se aplicam à Inteligência Artificial
A IA não cria uma exceção aos princípios da LGPD.
Ao contrário: quanto mais complexo for o tratamento, maior a necessidade de demonstrar que ele está sendo realizado de maneira adequada.
O artigo 6º da LGPD estabelece princípios como finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.
Finalidade
A empresa precisa saber por que está utilizando determinado dado.
Não basta coletar informações porque elas podem ser úteis futuramente.
Em projetos de IA, isso é particularmente importante porque grandes volumes de dados podem ser utilizados para treinamento, análise ou geração de resultados.
Necessidade
Mais dados não significam necessariamente uma IA melhor.
O princípio da necessidade reforça que devem ser utilizados apenas os dados pertinentes e proporcionais à finalidade.
Isso ajuda a reduzir tanto riscos de privacidade quanto a exposição desnecessária de informações.
Transparência
O titular precisa receber informações claras e acessíveis sobre o tratamento.
No contexto de IA, isso pode envolver explicar que determinados dados são utilizados em sistemas automatizados ou para determinadas finalidades relacionadas à tecnologia.
A ANPD destaca justamente desafios de transparência relacionados à coleta de dados na internet, ao uso dessas informações em bases de treinamento e às interações com sistemas de IA generativa.
Segurança
Dados utilizados por sistemas de IA também precisam ser protegidos contra acessos não autorizados, perda, alteração, destruição ou divulgação indevida.
Isso envolve medidas técnicas e administrativas adequadas.
Não discriminação
Esse princípio ganha uma dimensão ainda maior quando falamos de sistemas automatizados.
Dados inadequados, incompletos ou enviesados podem contribuir para resultados discriminatórios.
A própria ANPD aponta riscos relacionados a decisões automatizadas pouco transparentes ou com viés discriminatório.
Responsabilização e prestação de contas
Não basta afirmar que a empresa está em conformidade.
É necessário conseguir demonstrar as medidas adotadas.
Isso pode envolver políticas, registros, avaliações de risco, controles, procedimentos, contratos, documentação e mecanismos de governança.
IA generativa e dados pessoais: um cuidado adicional
Ferramentas de IA generativa introduziram uma nova realidade para as empresas.
Funcionários podem utilizar ferramentas de IA para resumir documentos, analisar contratos, criar relatórios, revisar textos ou obter insights.
O problema começa quando informações corporativas ou dados pessoais são inseridos nessas ferramentas sem uma política clara.
Imagine, por exemplo, um colaborador copiando para uma ferramenta de IA:
- dados de clientes;
- contratos;
- informações financeiras;
- dados de colaboradores;
- documentos estratégicos;
- informações confidenciais.
Mesmo que a intenção seja apenas “ganhar produtividade”, a organização precisa avaliar o que acontece com essas informações depois do envio.
Por isso, a governança de IA precisa incluir políticas de uso, classificação da informação, controles de acesso, avaliação de fornecedores e conscientização dos colaboradores.
LGPD e IA precisam ser pensadas juntas
A relação entre LGPD e Inteligência Artificial não deve ser tratada apenas como uma questão jurídica.
Ela envolve também:
Tecnologia + Segurança da Informação + Governança + Privacidade + Gestão de Riscos
Essa visão integrada é fundamental porque um projeto de IA pode envolver diferentes áreas da organização.
A equipe jurídica pode avaliar a base legal.
A área de privacidade pode analisar os direitos dos titulares.
A equipe de segurança pode avaliar riscos técnicos.
A TI pode analisar a arquitetura.
A liderança precisa avaliar os riscos para o negócio.
E todos esses elementos precisam conversar entre si.
Como as empresas podem se preparar?
Antes de implementar uma solução de IA que envolva dados pessoais, algumas perguntas devem fazer parte do processo de avaliação:
1. Quais dados serão utilizados?
Mapeie os dados envolvidos e identifique se existem dados pessoais ou sensíveis.
2. Qual é a finalidade?
Defina claramente por que os dados serão utilizados.
3. Qual é a base legal?
Identifique a hipótese legal adequada para o tratamento.
4. Quem terá acesso?
Avalie usuários, sistemas, fornecedores e terceiros envolvidos.
5. Onde os dados serão armazenados?
Entenda a infraestrutura e os fluxos de informação.
6. Os dados serão utilizados para treinamento?
Essa é uma questão especialmente importante em soluções de IA.
É necessário compreender como o fornecedor trata as informações inseridas na plataforma.
7. Por quanto tempo os dados serão mantidos?
Estabeleça critérios de retenção.
8. Quais riscos existem?
Avalie riscos de segurança, privacidade, discriminação, acesso indevido e uso incompatível.
9. Como os titulares serão informados?
A transparência deve fazer parte do projeto desde o início.
10. Como a empresa demonstrará conformidade?
Documente decisões, controles e medidas adotadas.
O futuro da IA depende também da governança de dados
A discussão sobre Inteligência Artificial frequentemente se concentra em produtividade, automação e inovação.
Mas existe outro elemento fundamental nessa equação: confiança.
Empresas que desejam utilizar IA de maneira sustentável precisam saber não apenas o que a tecnologia consegue fazer, mas também quais dados estão sendo utilizados, quais riscos existem e quais responsabilidades precisam ser assumidas.
A própria ANPD mantém a Inteligência Artificial em sua agenda regulatória 2025–2026, considerando aspectos como direitos dos titulares, princípios da LGPD, hipóteses legais, boas práticas e governança.
Isso demonstra que a relação entre IA e proteção de dados continuará sendo um tema relevante para organizações brasileiras.
Nesse cenário, governança de dados não deve ser um obstáculo à inovação.
Ela deve ser uma das condições para que a inovação aconteça de forma segura.
Conclusão
A chegada da Inteligência Artificial não diminui a importância da LGPD. Ela torna a discussão sobre proteção de dados ainda mais complexa e necessária.
Bases legais, princípios, transparência, segurança e ciclo de vida dos dados precisam ser considerados desde o planejamento de uma solução de IA até sua utilização e eventual descontinuação.
A pergunta mais importante não é simplesmente:
“A empresa pode usar IA?”
Mas:
“Como utilizar IA de forma segura, transparente, responsável e compatível com a proteção de dados?”
Essa mudança de perspectiva é essencial para empresas que desejam aproveitar os benefícios da Inteligência Artificial sem transformar inovação em um novo vetor de risco.
A DeServ Academy trabalha justamente com a formação de profissionais nas áreas de privacidade, proteção de dados, segurança da informação, governança e compliance, incluindo treinamentos voltados para DPO e conformidade em Inteligência Artificial.
Conheça os treinamentos da DeServ Academy
Quer aprofundar esse tema? Assista à webinar da DeServ Academy sobre “LGPD na nova era da IA: bases legais, ciclo de vida dos dados e princípios do tratamento” e aprofunde seus conhecimentos sobre os desafios da proteção de dados diante da evolução da Inteligência Artificial.
