Aplicar inteligência artificial sobre dados de clientes envolve as mesmas obrigações de qualquer outro tratamento de dados pessoais — com alguns pontos adicionais que costumam passar despercebidos, principalmente quando o processamento acontece na infraestrutura de um fornecedor externo. Este artigo não substitui orientação jurídica, e sim organiza o que precisa ser verificado antes de colocar um projeto de inteligência artificial em produção, para que a conversa com o jurídico comece do lugar certo em vez de travar o projeto no fim.

Base legal: a primeira pergunta

Todo tratamento de dado pessoal precisa de uma base legal, e usar IA não cria uma nova. A pergunta é a mesma de sempre: por que a empresa pode tratar esse dado?

As bases mais usadas em contexto empresarial:

  • Execução de contrato — tratar o dado do cliente para prestar o serviço contratado
  • Legítimo interesse — exige avaliação documentada, ponderando a expectativa do titular
  • Consentimento — o caminho mais seguro para finalidades que fogem à expectativa do titular; em comunicação de marketing, porém, não é a única opção: o legítimo interesse também pode servir de base, avaliado caso a caso
  • Obrigação legal

Um ponto que gera dúvida: se a empresa coletou o dado para prestar um serviço, usá-lo para treinar um modelo é uma finalidade diferente da original. Mudança de finalidade exige nova análise — não é automática.

O fornecedor do modelo é um operador

Quando você envia dados de clientes para um serviço externo processar, esse fornecedor passa a tratar dados pessoais em seu nome. Isso tem consequências contratuais.

O que verificar no contrato:

  • Uso para treinamento — o conteúdo enviado é usado para treinar modelos do fornecedor? Muitos oferecem modalidades empresariais em que não é, mas isso precisa estar escrito.
  • Retenção — por quanto tempo o conteúdo fica armazenado
  • Localização — em que país o processamento acontece; transferência internacional tem requisitos próprios, regulamentados pela Resolução CD/ANPD nº 19/2024, que prevê cláusulas-padrão contratuais
  • Subcontratação — o fornecedor repassa a terceiros?
  • Segurança — quais medidas técnicas são adotadas
  • Notificação de incidente — prazo e forma, compatíveis com o prazo que a empresa tem para comunicar a ANPD (veja a governança, abaixo)
  • Exclusão — como solicitar remoção de dados

Contratos empresariais desses serviços costumam ter cláusulas específicas de proteção de dados. Vale exigir a versão empresarial em vez de usar a conta comum.

Minimizar: o controle mais eficaz

A forma mais simples de reduzir risco é não enviar o que não precisa ser enviado.

  • Anonimize quando possível — para classificar o assunto de um chamado, o nome do cliente raramente é necessário
  • Substitua identificadores — use um código no lugar do nome e reconstitua depois localmente
  • Envie o trecho, não o documento — apenas a parte relevante à operação, inclusive em projetos de leitura automática de documentos
  • Filtre dados sensíveis — saúde, biometria, origem racial, opinião política e convicção religiosa têm proteção reforçada e raramente precisam ir
  • Registre o que é enviado — para auditoria e para responder a solicitações de titulares

Boa parte dos casos de uso empresarial funciona perfeitamente com dado despersonalizado, e essa análise costuma ser rápida de fazer no desenho do fluxo.

Transparência e direitos do titular

  • Informe o uso — a política de privacidade precisa mencionar o tratamento automatizado em linguagem compreensível
  • Identifique o agente — quando o cliente conversa com um sistema automático de atendimento, ele deve saber
  • Decisão automatizada — o art. 20 da LGPD prevê direito de solicitar revisão de decisões tomadas exclusivamente por tratamento automatizado que afetem interesses do titular. Se o sistema decide algo relevante, precisa haver caminho de revisão.
  • Atender solicitações — acesso, correção e exclusão precisam alcançar também os dados que foram para o fornecedor
  • Retenção definida — históricos de conversa contêm dados pessoais e precisam de prazo
Cenário hipotético: empresa de serviços financeiros

Um projeto de classificação automática de solicitações enviava o texto completo das mensagens, incluindo dados de identificação, para um serviço externo. A revisão do fluxo mostrou que a classificação funcionava igualmente bem com os identificadores substituídos por códigos antes do envio — o que reduziu a exposição sem alterar o resultado.

A governança mínima do projeto

  • Registro do tratamento — que dados, para qual finalidade, com qual base legal, por quanto tempo
  • Avaliação de risco — para tratamentos que possam gerar risco relevante aos titulares
  • Controle de acesso — quem pode consultar o sistema e o histórico
  • Registro de consultas — para auditoria
  • Plano de incidente — o que fazer se houver vazamento, incluindo prazos de notificação: pela Resolução CD/ANPD nº 15/2024, o incidente que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares em até 3 dias úteis (orientações no site oficial da ANPD)
  • Revisão periódica — o fluxo muda, o fornecedor muda a política, a finalidade se amplia

Envolver o jurídico no desenho, e não apenas na aprovação final, costuma acelerar o projeto em vez de atrasá-lo: mudanças de arquitetura são baratas no papel e caras depois de implantadas.

Conclusão

IA não muda as obrigações da LGPD — ela apenas cria caminhos novos pelos quais dados pessoais saem da empresa. Os pontos essenciais são: identificar a base legal para aquela finalidade específica, verificar o contrato do fornecedor quanto a uso para treinamento e retenção, minimizar o que é enviado, informar o titular e manter caminho de revisão humana em decisões que o afetem.

Este artigo é um roteiro de verificação, não orientação jurídica. A análise final do seu caso deve ser feita com quem responde juridicamente pela empresa.