Resposta direta: LGPD e IA precisam entrar na mesma conversa, antes da assinatura do contrato — não depois do primeiro incidente. Contratar um modelo de inteligência artificial sem checar qual dado entra, quem processa e sob quais regras é a causa mais comum de projeto que precisa ser revertido no meio do caminho.
Uma pesquisa da Sinch com 2.527 executivos de dez países, divulgada em agosto de 2026, mostra o tamanho do problema: 80% das empresas brasileiras já interromperam ou reverteram alguma implementação de IA — acima da média global de 74%. E em 39% desses casos o motivo foi vazamento de dados ou de informação pessoal, taxa maior que a dos Estados Unidos (24%) e a do Canadá (16%). O Brasil adota IA rápido e reverte rápido, e a LGPD costuma ser justamente o item que ninguém abriu antes de ligar o modelo.
Na HAIA, a leitura é simples: proteger dado pessoal não é uma etapa de compliance que vem depois do piloto. É uma decisão de arquitetura que decide se o piloto pode existir. Este artigo traça o que uma empresa de médio porte precisa checar — sem departamento de privacidade dedicado — antes de colocar qualquer dado real dentro de um modelo de IA.
Principais aprendizados
- Enviar dado de cliente para a API de um modelo de IA é tratamento de dados pessoais sob a LGPD — com base legal, finalidade e responsabilidade que precisam estar definidas antes, não depois.
- O fornecedor de IA quase sempre atua como operador de dados: sem cláusula contratual que registre isso, a empresa contratante responde sozinha por um vazamento que aconteceu do outro lado.
- Modelo que usa o seu dado de entrada para treinar versões futuras é um risco de LGPD e de confidencialidade — e costuma ser uma configuração que dá para desligar, se alguém perguntar.
- A adequação não exige esperar o Marco Legal da IA: a LGPD já está em vigor e a ANPD já fiscaliza projetos de IA que tratam dado pessoal.
- Um checklist de seis perguntas, respondido antes da contratação, evita a maior parte das reverões por vazamento — e cabe numa reunião de uma hora.
Por que LGPD e IA são a mesma decisão?
Quando um processo da empresa passa a mandar dados para um modelo de inteligência artificial — um chamado de cliente para classificação, um contrato para extração de campo, um histórico de compra para recomendação — isso é tratamento de dados pessoais no sentido da LGPD. Não importa se o modelo é de um provedor global de nuvem, de uma startup nacional ou de uma ferramenta que a área de marketing assinou no cartão corporativo. Se há nome, CPF, e-mail, telefone, histórico de comportamento ou qualquer coisa que identifique uma pessoa passando pelo modelo, a lei se aplica.
Isso muda quem responde pelo quê. Na maioria dos contratos de IA, a sua empresa é a controladora — quem decide a finalidade do tratamento — e o fornecedor do modelo é o operador, que trata o dado em nome dela. A LGPD exige que essa relação esteja formalizada: instruções documentadas, obrigações de segurança, dever de informar incidente. Quando o contrato não diz nada sobre dados, a empresa contratante não fica protegida — fica exposta, porque continua sendo a controladora e agora sem nenhuma obrigação registrada do outro lado.
Vi essa lacuna de perto numa grande indústria de bens de consumo, num projeto de automação de processo financeiro. A ferramenta já estava contratada e em uso quando alguém do jurídico perguntou onde os documentos com dado de fornecedor pessoa física estavam sendo processados. Ninguém sabia responder. O contrato tinha cláusula de SLA, de preço, de suporte — e nenhuma linha sobre proteção de dados. O projeto não parou por decisão técnica; parou porque não dava para garantir que estava dentro da lei. Refazer o contrato levou mais tempo do que teria levado ler a minuta certa antes de assinar.
O checklist de seis pontos antes de contratar um modelo de IA
Estas seis perguntas não exigem um Data Protection Officer em tempo integral. Exigem que alguém — TI, jurídico e a área de negócio dona do processo — sente numa reunião e responda cada uma por escrito antes da assinatura.
1. Que dado, exatamente, vai passar pelo modelo? Não “dados de atendimento” em geral — a lista concreta de campos. Se a resposta inclui dado pessoal sensível (saúde, biometria, origem racial, dado de criança), o nível de cuidado sobe e a maioria dos casos de uso deveria ser redesenhada para não precisar desse dado.
2. Qual é a base legal para esse tratamento? A LGPD exige uma. Para processo interno, costuma ser legítimo interesse ou execução de contrato; para uso que expõe o dado do cliente a um novo processador, pode ser necessário consentimento. Definir isso antes evita ter que justificar depois.
3. O contrato registra o fornecedor como operador de dados? Precisa haver cláusula de proteção de dados: finalidade limitada às instruções da contratante, medidas de segurança, dever de notificar incidente num prazo definido, devolução ou eliminação do dado ao fim do contrato.
4. Onde o dado é processado e armazenado — e o provedor usa a sua entrada para treinar modelos? Transferência internacional de dado pessoal tem regra própria na LGPD. E a opção de “não usar meus dados para treinamento” existe na maioria dos contratos corporativos — mas costuma vir desligada por padrão.
5. Como o dado sai? Qual o prazo de retenção, o que acontece com os logs de prompt e resposta, como se pede exclusão. Dado que entra e nunca mais sai é passivo acumulando.
6. Quem, dentro da empresa, responde por isso depois que o projeto entra em produção? Um nome. Não “o time de dados” — uma pessoa que sabe que aquele fluxo existe e que é acionada se algo falhar.
E se a IA já está rodando sem esse check?
É o cenário mais comum, e a resposta não é desligar tudo. É fazer o inventário: listar todo fluxo em que dado da empresa passa por um modelo de IA — incluindo as ferramentas que entraram sem passar pela TI. Para cada fluxo, aplicar o checklist de seis pontos e classificar por sensibilidade do dado. O que trata dado pessoal sensível ou dado de cliente em volume vai para o topo da fila; o que usa só dado interno não identificável pode esperar.
Esse trabalho retroativo é a mesma disciplina que separa quem opera IA com resultado estável de quem vira estatística de reverão — um ponto que a HAIA já detalhou em como evitar virar mais uma reverão de IA por vazamento de dado. E não depende de lei nova: enquanto o Marco Legal da IA não é aprovado, a LGPD já obriga e a ANPD já atua, como tratamos em regulação de IA no Brasil: o que fazer sem a lei aprovada. A leitura em primeira pessoa de por que o país lidera em IA em produção e também em desistir dela está no blog da Gillian Pellegrino.
Governança de dado, quando entra antes do modelo, custa uma reunião e uma revisão de contrato. Quando entra depois de um incidente, custa o projeto inteiro — e a confiança que a área de negócio levou meses para construir.
Perguntas frequentes
LGPD e IA: usar ChatGPT ou outro modelo com dado de cliente é permitido?
Resposta direta: pode ser, desde que haja base legal para o tratamento, um contrato que registre o fornecedor como operador de dados e uma configuração que impeça o uso da sua entrada para treinar o modelo. Em contas gratuitas ou pessoais, essas garantias em geral não existem — o que torna o uso com dado real de cliente arriscado. Em planos corporativos, as cláusulas existem, mas precisam ser lidas e ativadas.
Qual base legal usar para tratamento de dados com IA?
Resposta direta: depende do caso de uso. Para automação de processo interno, legítimo interesse ou execução de contrato costumam sustentar o tratamento. Para uso que expõe dado do titular a um novo processador ou a uma finalidade nova, pode ser necessário consentimento específico. A definição precisa ser feita e documentada antes de o dado começar a circular.
O fornecedor de IA precisa assinar contrato de operador de dados?
Resposta direta: sim, quando ele trata dado pessoal em nome da sua empresa. A LGPD responsabiliza a controladora pela escolha do operador. Sem cláusula de proteção de dados — finalidade limitada, segurança, notificação de incidente, eliminação ao fim do contrato — a empresa contratante fica exposta a um risco que aconteceu fora do seu perímetro.
Precisa esperar o Marco Legal da IA (PL 2338) para se adequar?
Resposta direta: não. A LGPD está em vigor desde 2020 e já se aplica a qualquer tratamento de dado pessoal feito por meio de IA. A ANPD já fiscaliza projetos de inteligência artificial e já opera um sandbox regulatório. Esperar a lei nova é adiar uma adequação que já é obrigatória.
A HAIA (Human Intelligence Amplified by AI) ajuda empresas de médio porte a colocar governança de dado e de IA no lugar certo do processo — antes do modelo, não depois do incidente. Fale com a HAIA para um diagnóstico do seu portfólio de IA em produção.
