Existe uma confusão comum nas reuniões sobre IA no Brasil, e ela custa caro nas duas direções.
De um lado, empresas se travam esperando uma lei específica que ainda não existe. De outro, empresas seguem como se nenhuma regra se aplicasse, quando a LGPD já se aplica há anos.
Este artigo separa o que já vale do que ainda está em discussão, e mostra o que fazer enquanto o cenário se define. É um recorte regulatório do tema mais amplo de governança de IA.
Aviso. Este conteúdo tem finalidade informativa e de gestão. Não constitui aconselhamento jurídico. Confirme o cenário atual e as normas do seu setor com assessoria especializada antes de embasar decisão formal.
O que já vale: a LGPD
A Lei Geral de Proteção de Dados não menciona inteligência artificial em cada dispositivo, e não precisa. Ela regula o tratamento de dados pessoais, e IA é uma forma de tratamento como qualquer outra.
Se o seu caso de uso envolve dado pessoal em qualquer ponto, seja na entrada, no processamento ou na saída, as obrigações da LGPD já incidem.
As quatro perguntas que precisam de resposta
Finalidade. Para que aquele dado pessoal está sendo tratado naquele uso específico de IA? A finalidade precisa ser legítima, específica e informada. Não vale a finalidade genérica "melhorar processos".
Necessidade. O tratamento se limita ao mínimo necessário para atingir a finalidade? Colar uma planilha inteira numa ferramenta quando bastavam três colunas é um problema de necessidade, mesmo que a finalidade seja legítima.
Segurança. Existem medidas técnicas e administrativas adequadas para proteger aquele dado no ambiente em que ele entrou? Isso inclui saber onde ele fica armazenado, por quanto tempo e quem tem acesso.
Base legal. Qual hipótese legal autoriza aquele tratamento? Consentimento, execução de contrato, legítimo interesse e as demais previstas na lei. A escolha muda as obrigações e os direitos do titular.
Usar IA não transfere responsabilidade
Este é o ponto que mais gera surpresa. O fato de o processamento acontecer dentro da ferramenta de um terceiro não move a responsabilidade do controlador.
Se a sua empresa decidiu a finalidade e os meios daquele tratamento, ela é a controladora. A ferramenta é, na maior parte dos arranjos, operadora. E responder por um incidente continua sendo da controladora perante o titular e a autoridade.
Na prática, isso significa três coisas concretas:
- Contratos com fornecedores de IA precisam tratar proteção de dados de forma explícita, incluindo uso dos dados para treinamento
- O registro das operações de tratamento precisa incluir os casos de uso de IA
- Um incidente ocorrido dentro de uma ferramenta de IA é um incidente da empresa
Decisões automatizadas
A LGPD prevê que o titular pode solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Isso importa diretamente para casos de uso na faixa de maior impacto, como triagem de candidatos, análise de crédito e precificação individualizada. Se a IA participa desse tipo de decisão, a empresa precisa ser capaz de explicar os critérios e sustentar uma revisão.
É mais um motivo para que a classificação por impacto e autonomia trate casos que afetam pessoa ou contrato como faixa alta.
O que ainda está em discussão
Há um projeto de lei tratando especificamente da regulação da inteligência artificial no Brasil. Ele foi aprovado no Senado e, na última informação verificada para este artigo, seguia em tramitação na Câmara dos Deputados.
Por isso não é correto dizer que o Brasil já possui uma lei de IA em vigor.
O texto em discussão segue uma lógica de classificação por nível de risco, com obrigações proporcionais, o que é coerente com a abordagem adotada em outras jurisdições. Empresas que já classificam seus casos de uso hoje tendem a ter menos trabalho de adaptação, independentemente do desenho final.
Este é um tópico com data de validade. Confirme a situação atual antes de usar esta informação em qualquer decisão formal, e verifique também se há norma setorial aplicável ao seu segmento, especialmente em serviços financeiros e saúde, onde reguladores específicos costumam se mover antes da lei geral.
Por que não faz sentido esperar
O argumento de esperar a lei para começar parece prudente e não é.
Primeiro porque a LGPD já se aplica, e boa parte do risco concreto de hoje está lá, não na regulação futura.
Segundo porque tudo o que uma futura norma vai exigir depende de informação que a empresa precisa levantar de qualquer forma: quais casos de uso existem, qual o impacto de cada um, quem responde e que evidência há.
Inventário, responsabilidade e segurança já são boas práticas de gestão. Quem tiver esse trabalho feito vai apenas mapear o que já tem contra o que a norma exigir. Quem não tiver vai começar do zero com prazo.
O que fazer nos próximos 30 dias
- Marque no inventário quais casos tratam dado pessoal. Um campo de sim ou não já muda a conversa. Se você ainda não tem inventário, comece por aqui.
- Para os casos com dado pessoal, responda as quatro perguntas. Finalidade, necessidade, segurança e base legal. Onde não houver resposta, há trabalho a fazer.
- Revise os contratos dos fornecedores de IA em uso. Especialmente cláusulas sobre uso dos dados para treinamento, localização de armazenamento e notificação de incidente.
- Publique uma regra de uso. Quais dados podem entrar, quais ferramentas são recomendadas e quando a revisão humana é obrigatória. Uma página resolve.
- Envolva quem responde por privacidade. Se a empresa tem encarregado de dados, ele precisa conhecer o inventário. Se não tem, essa conversa também precisa acontecer.
Perguntas frequentes
Posso usar ferramentas gratuitas de IA com dados da empresa? Depende do que entra e do que o contrato de uso permite. Ferramentas gratuitas costumam ter termos que autorizam uso do conteúdo para treinamento, o que é incompatível com dado pessoal e com informação confidencial.
Dado anonimizado resolve? Se a anonimização for efetiva e irreversível, o dado deixa de ser pessoal para efeitos da lei. O ponto de atenção é que anonimização mal feita, especialmente em bases pequenas, permite reidentificação e não protege ninguém.
Precisamos de consentimento para usar IA? Nem sempre. Consentimento é uma entre várias bases legais, e frequentemente não é a mais adequada em contexto corporativo. A escolha da base depende do caso.
A empresa precisa avisar que usou IA? A obrigação de transparência varia conforme o contexto e o tipo de decisão. Em decisões que afetam o titular, a capacidade de explicar critérios é especialmente relevante.
Prepare a empresa sem esperar a lei. O guia de governança de IA traz o inventário, a matriz de risco e um plano de 30 dias que cobre exatamente o que qualquer regulação vai exigir. Baixar gratuitamente.