LGPD e IA: o que a empresa precisa resolver antes de usar inteligência artificial

O que a LGPD exige de uma empresa que usa IA?

A LGPD vale para a IA do mesmo jeito que vale para planilha, CRM e e-mail: se a ferramenta toca dado de pessoa identificável, a empresa responde por ele. A TIC Empresas 2025, do Cetic.br, mostra que o uso de IA já existe. Entre as empresas brasileiras com 10 ou mais pessoas ocupadas, 17% usaram alguma tecnologia de IA. O índice é de 15% entre as de 10 a 49 pessoas e de 50% entre as de 250 ou mais. O dono que já usa IA precisa de uma lista curta do que resolver antes de ampliar o uso. Na prática, LGPD e IA se encontram em cinco decisões, e o checklist mais abaixo transforma cada uma em perguntas por caso de uso.

A Lei 13.709/2018 não tem um capítulo de inteligência artificial. O conceito de tratamento, no art. 5º, X, é largo: coleta, utilização, transmissão, processamento, armazenamento, eliminação e outras operações. Leve este checklist ao seu advogado de proteção de dados. Ele não substitui parecer jurídico.

A LGPD vê o prompt como tratamento de dados?

Sim, sempre que o texto colado traz dado pessoal. Colar um contrato ou o e-mail de um cliente num prompt é utilização, transmissão e, em geral, armazenamento, três das operações do art. 5º, X. A ANPD descreve esse risco no Radar Tecnológico nº 3, sobre IA generativa, de novembro de 2024:

"Além disso, se uma pessoa natural, usuário do sistema de IA, compartilha dados pessoais de outros titulares com o sistema de IA Generativa, ele poderá, a depender do contexto, ser considerado um agente de tratamento."

ANPD, Radar Tecnológico nº 3 (2024)

O tipo de conta muda o destino do texto. No ChatGPT, a central de ajuda da OpenAI, consultada em 15/10/2026, diz o seguinte:

Sem treino, ainda ficam abertas a base legal, a transferência internacional e quem acessa o quê. Os planos do ChatGPT estão comparados em ChatGPT para empresas.

Que base legal da LGPD serve para usar IA?

A LGPD lista dez bases no art. 7º, e o consentimento é só a primeira. Execução de contrato (V), obrigação legal (II) e legítimo interesse (IX) cobrem boa parte do uso interno. O legítimo interesse traz uma condição escrita na lei: vale "exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais". O art. 37 pede o registro das operações, "especialmente quando baseado no legítimo interesse". Anote por que o seu interesse pesa mais naquele uso.

Dado sensível, como saúde e biometria (art. 5º, II), tem lista própria no art. 11, e o dado de criança e de adolescente tem regra no art. 14. Prontuário ou menor de idade vai ao jurídico antes do piloto. A finalidade também amarra: o art. 6º, I veta o tratamento posterior "de forma incompatível" com o propósito informado.

A LGPD permite mandar dados para um fornecedor de IA no exterior?

Permite, nas hipóteses do art. 33. Pela Resolução CD/ANPD nº 32/2026, de 26 de janeiro, a ANPD reconheceu a União Europeia como destino com proteção adequada. A página da ANPD sobre transferência internacional, consultada em 15/10/2026, diz que é o único reconhecimento até agora. Ela diz também que decisões de adequação de outros países não valem para o Brasil.

Quem transfere com cláusulas contratuais tinha 12 meses para adotar as cláusulas-padrão da ANPD, e o prazo venceu em agosto de 2025. O Brasil não aparece entre as regiões de armazenamento da OpenAI. A lista da central de ajuda, conferida em 15/10/2026, traz dez regiões, entre elas Europa (EEE e Suíça) e Estados Unidos. Ela vale só para clientes elegíveis da API e clientes novos de Enterprise e Edu. A Suíça não está na Resolução 32, e metadados e integrações externas podem ficar fora da região. Assuma que o dado sai do país, peça o instrumento por escrito e confirme a lista na contratação.

O que a LGPD diz quando a IA decide sobre pessoas?

A LGPD dá ao titular o direito de pedir revisão. O art. 20, no texto compilado do Planalto, diz:

"O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses"

Lei 13.709/2018, art. 20 (Planalto)

O artigo inclui as decisões que definem perfil pessoal, profissional, de consumo e de crédito, ou aspectos da personalidade. Isso alcança triagem de currículos, análise de crédito e nota de cliente. O § 1º obriga o controlador a dar, quando solicitado, "informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada", respeitados os segredos comercial e industrial. Se o fornecedor não explica o critério, você não responde ao titular. A lei não define o que conta como revisão, e um clique de aprovação sem leitura é, na minha leitura, difícil de defender.

A empresa pequena tem regra mais leve na LGPD para usar IA?

Tem, com condições. A Resolução CD/ANPD nº 2/2022 dá folgas a microempresas, empresas de pequeno porte e startups, como a dispensa de encarregado (art. 11) e o prazo em dobro (art. 14). O art. 3º tira essas folgas em três casos. O primeiro é receita bruta acima do limite da Lei Complementar 123/2006, que para a empresa de pequeno porte é de R$ 4,8 milhões por ano. Para startup, o limite vem da LC 182/2021. O segundo é pertencer a grupo econômico acima desse limite. O terceiro é fazer tratamento de alto risco.

O art. 4º define alto risco como um critério geral somado a um específico. O geral é larga escala ou efeito significativo em direitos. Entre os específicos estão "uso de tecnologias emergentes ou inovadoras", "decisões tomadas unicamente com base em tratamento automatizado" e o uso de dado sensível ou de criança, adolescente e idoso. Minha leitura: uma IA que decide sobre muitas pessoas, ou que lê prontuário, tende a cair nessa conta. Nesse caso, prepare o relatório de impacto, que o art. 38 da LGPD permite à ANPD exigir.

Quem responde na LGPD se a IA errar?

O art. 42 obriga a reparar o dano quem o causar em violação à lei, seja controlador ou operador. Quem decidiu usar a ferramenta costuma ser o controlador. A multa do art. 52 chega a 2% do faturamento no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração. No incidente, o art. 48 manda comunicar a ANPD e o titular quando houver risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 fixa três dias úteis, contados de quando o controlador sabe que o incidente afetou dado pessoal. Ela também exige guardar o registro por no mínimo cinco anos. Para o agente de pequeno porte, o prazo de comunicação conta em dobro. Um incidente típico de IA é pequeno, como uma base de clientes colada numa conta pessoal. Defina antes quem avalia.

Qual é o checklist de LGPD antes de ligar a IA?

Preencha a tabela por caso de uso, e cada linha vira uma resposta escrita.

Antes de assinar, peça ao fornecedor quatro respostas por escrito: se o conteúdo treina o modelo, em que país o dado fica, quem são os subcontratados e em quanto tempo ele avisa de um incidente. O seu prazo começa quando você sabe, então o aviso dele importa. Sem resposta, trate a ferramenta como proibida para dado pessoal.

O que a LGPD não pede, e vale pular no começo?

A LGPD não pede duas coisas que costumam consumir o primeiro mês.

• Anonimização feita à mão. Trocar o nome por "Cliente A" e deixar CPF, e-mail e contexto não passa no teste do art. 5º, III, que olha os "meios técnicos razoáveis e disponíveis". Trate o texto como dado pessoal.
• Proibição total e política de trinta páginas. Uma página que a equipe lê vale mais. Proibir tudo, na minha leitura e sem dado por trás, empurra o uso para contas que você não vê.

A LGPD vai ganhar uma lei de IA ao lado?

Talvez, mas não monte o plano em cima disso. O Senado enviou o PL 2338/2023 à Câmara em março de 2025. Em 15/10/2026, a ficha de tramitação na Câmara mostra a situação "Aguardando Parecer do(a) Relator(a) na Comissão Especial". Sem lei específica aprovada, a LGPD é a regra que vale hoje. A ANPD também não espera: o Mapa de Temas Prioritários 2026-2027, de 24/12/2025, inclui "inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais" entre os quatro temas de fiscalização do biênio.

Por onde a empresa começa?

Pelo inventário: uma semana, uma planilha, quem usa o quê. A ordem completa da adoção está em IA nas empresas e no hub IA nas empresas: adoção e governança. Um agente de IA ligado ao CRM ou ao ERP pesa mais no checklist, porque lê e escreve em dado de cliente.

A isonew projeta e constrói sistemas de IA e software para empresas comandadas pelo dono nos Estados Unidos e no Brasil, com sede em Raleigh, NC. O serviço de AI Ops, governança e gateway cobre auditoria de uso, chaves por equipe e registro das chamadas. Ele dá a evidência que um revisor pede, sem ser certificação de conformidade. Para decidir onde a IA entra primeiro, a estratégia de IA entrega uma lista priorizada, com custo e risco por escrito.

O ponto de entrada é o Diagnóstico de Oportunidades de IA, pago e de escopo fechado. O plano fica com você mesmo sem a construção, e o valor é abatido de uma primeira fase se você continuar. Se um produto pronto resolve melhor, a gente diz.