Resposta direta
LGPD se aplica a qualquer IA que trate dado pessoal. Regras principais: base legal (consentimento, contrato, legítimo interesse), revisão humana em decisão automatizada, contrato com operador (fornecedor de IA), RIPD para casos de alto risco e resposta ao titular.
Resumo executivo
- IA que trata dado pessoal exige base legal apropriada.
- Decisão automatizada com impacto relevante exige revisão humana (art. 20).
- Contrato com fornecedor deve prever proteção e vedar treino com seu dado.
- Transferência internacional exige garantia (cláusula-padrão ou certificação).
- Sanção pode chegar a 2% do faturamento até R$ 50 mi por infração.
Neste artigo
- Os 6 pontos críticos
- Boas práticas
- Sanções
- O exercício de 1 hora: mapear o fluxo do dado
- Fornecedor de IA é operador: o contrato importa
- Perguntas frequentes
Os 6 pontos críticos
| Ponto | Exigência |
|---|---|
| Base legal | Consentimento, contrato, legítimo interesse etc. |
| Finalidade | Declarada, específica e legítima |
| Decisão automatizada | Direito à revisão humana (art. 20) |
| Contrato com operador | Cláusula LGPD + vedar treino com dado |
| Transferência internacional | Cláusula-padrão ANPD ou selo |
| RIPD | Obrigatório em uso de alto risco |
Boas práticas
- Mapear todos os casos de uso de IA.
- Registrar tratamento no RIPD.
- Fechar contrato Enterprise com cláusula LGPD.
- Publicar aviso ao titular quando aplicável.
- Treinar equipe e revisar anualmente.
Sanções
Advertência, multa simples (até 2% do faturamento, limitada a R$ 50 mi por infração), multa diária, bloqueio ou eliminação do dado. Sanção reputacional (publicação da infração) tende a ser a mais custosa.
O exercício de 1 hora: mapear o fluxo do dado
Antes de qualquer parecer, desenhe: que dado pessoal entra em qual ferramenta, com que finalidade, sob qual base legal, por quanto tempo fica e quem acessa. Uma planilha com essas 5 colunas para cada caso de uso de IA é 80% do dever de casa da LGPD — e o documento que o advogado, o cliente corporativo e a ANPD pedirão primeiro.
Ilustrativo do que o exercício revela: currículos de reprovados guardados para sempre, conversa de cliente indo para ferramenta sem DPA, planilha de saúde ocupacional num chatbot genérico. Cada linha dessas é um incidente agendado.
Fornecedor de IA é operador: o contrato importa
- DPA (acordo de tratamento de dados) assinado — sem ele, não sobe dado pessoal.
- Cláusula explícita de não uso do seu dado para treinar modelo.
- Localização e transferência internacional de dado declaradas e adequadas.
- Prazo e método de exclusão quando o contrato acabar.
- Sub-operadores listados — a cadeia de quem mais toca o dado é sua responsabilidade também.
Continue no cluster
Perguntas frequentes
IA que trata dados pessoais precisa de base legal LGPD?
Sim. Toda operação de IA que trate dado pessoal (nome, CPF, hábito de consumo, foto) precisa de base legal — consentimento, execução de contrato, legítimo interesse etc. Sem base = infração.
Decisão automatizada por IA pode afetar cliente?
Pode, desde que informada (art. 20 da LGPD). Titular tem direito de solicitar revisão humana. Recusa unilateral por IA sem revisão humana disponível é infração.
IA generativa (ChatGPT/Copilot) trata dado pessoal?
Trata, se o prompt contém CPF, nome, e-mail. Uso de contas gratuitas ou pessoais com dado de cliente = compartilhamento com terceiro sem base legal. Plano Enterprise com contrato de não-treinamento é o mínimo.
Preciso avisar clientes que uso IA?
Sim. Política de privacidade precisa mencionar uso de IA, finalidade, tipo de dado tratado e existência de decisão automatizada. Transparência é princípio expresso da LGPD (art. 6, VI).
DPO precisa se manifestar sobre projeto de IA?
Sim. Todo projeto de IA que trate dado pessoal exige relatório de impacto (RIPD) revisado pelo DPO antes do go-live. Sem RIPD, ANPD pode autuar com multa até 2% do faturamento (limitada a R$ 50 mi por infração).
IA pode processar dado sensível (saúde, biometria, orientação)?
Só com consentimento específico e destacado, ou nas hipóteses restritas do art. 11. Dado sensível exige salvaguardas técnicas reforçadas — criptografia, anonimização e auditoria periódica.
Artigos relacionados
Continue no mesmo cluster editorial ou aprofunde no guia pilar.
Governança de inteligência artificial nas empresas
Como estruturar governança de IA em empresas em 2026: papéis, política, inventário, risco, monitoramento e resposta a incidente.
Ler artigoSegurança e GovernançaComo criar uma política de uso de IA para funcionários
Modelo prático de política interna de uso de IA para funcionários em 2026: escopo, ferramentas, dados, exemplos e sanções.
Ler artigoSegurança e GovernançaPrincipais riscos da IA nas empresas e como mitigá-los
Os 10 principais riscos de IA nas empresas em 2026 e como mitigar cada um: vazamento, alucinação, viés, dependência, custo e jurídico.
Ler artigoSegurança e GovernançaComo evitar vazamento de dados ao utilizar ferramentas de IA
Como evitar vazamento de dado ao usar IA em 2026: ferramenta homologada, política, DLP, treinamento e plano de resposta a incidente.
Ler artigoGuia pilarGuia completo: Inteligência Artificial para Negócios
Página pilar com panorama de adoção, ROI, casos de uso, governança e roadmap de implantação de IA em empresas brasileiras.
Ler artigoDiagnóstico gratuito de automação com IA
Agendar diagnóstico
Conversa de 30 minutos para mapear onde a IA gera retorno rápido no seu negócio — contábil, comercial, RH ou governança. Sem venda de ferramenta, apenas priorização.
Agendar diagnósticoFontes oficiais
- Stanford AI Index Report 2025 — métricas globais de adoção, custo e desempenho de modelos
- McKinsey — The state of AI — pesquisa anual com >1.500 empresas sobre uso e ROI de IA
- Gartner — Hype Cycle for AI — maturidade de tecnologias de IA e horizonte de adoção
- LGPD — Lei 13.709/2018 — tratamento de dados pessoais por sistemas de IA no Brasil
- ANPD — Autoridade Nacional de Proteção de Dados — guias, notas técnicas e sanções sobre proteção de dados
- PL 2338/2023 — Marco Legal da IA — classificação de risco e obrigações para sistemas de IA
- NIST AI Risk Management Framework — referência internacional de governança e mitigação de riscos de IA
