Existe uma confusão comum: tratar o uso de IA como se fosse uma categoria jurídica nova, à espera de uma lei específica. Não é o caso. Quando um colaborador cola o nome, o CPF ou o histórico de um cliente dentro de um prompt, isso é tratamento de dado pessoal — e a Lei nº 13.709/2018 (LGPD) já se aplica integralmente, com ou sem regulação específica de inteligência artificial.
Este artigo trata do que já vale hoje. É conteúdo informativo, não parecer jurídico: a aplicação ao seu caso deve ser validada com o jurídico e com o Encarregado da sua organização.
O que a LGPD exige de quem envia dado a um modelo
Base legal para a finalidade real
Todo tratamento precisa de base legal, e ela é vinculada a uma finalidade específica. O dado que o cliente forneceu para executar um contrato não passa automaticamente a poder ser usado para alimentar uma ferramenta de IA com outro propósito. A pergunta a responder é concreta: qual base legal sustenta este envio, para esta finalidade?
Minimização
O princípio da necessidade pede o mínimo de dado para atingir a finalidade. Na prática, é o oposto do hábito mais comum: colar o documento inteiro no prompt porque é mais rápido do que selecionar o trecho relevante. Anonimizar, pseudonimizar ou recortar antes do envio costuma ser a medida de maior efeito e menor custo.
Transparência
O titular precisa conseguir saber que os dados dele podem passar por ferramentas de inteligência artificial e com qual finalidade. Isso normalmente significa revisar o aviso de privacidade — que na maioria das empresas foi escrito antes de a IA entrar na operação.
Operadores e subcontratados
O provedor de IA que processa dado pessoal a mando da empresa atua como operador. Isso puxa uma sequência conhecida: previsão contratual adequada, avaliação do fornecedor, atenção a transferência internacional e clareza sobre o que o contrato diz a respeito de retenção e de uso do conteúdo enviado. Vale checar em qual plano a empresa está — os termos da versão de consumidor e os da versão corporativa costumam ser diferentes justamente nesse ponto.
Direitos do titular
Se um titular pedir confirmação, acesso ou eliminação, a empresa precisa conseguir responder — inclusive sobre o que foi enviado a modelos. Sem registro do que saiu, essa resposta é impossível de dar com honestidade.
O ponto cego: decisão automatizada
A LGPD assegura ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Conforme a IA passa de "sugere um texto" para "classifica, prioriza ou recomenda decisão sobre pessoas" — crédito, seleção, atendimento, precificação —, esse dispositivo deixa de ser teórico.
A consequência prática é de desenho, não de jurídico: para poder revisar, é preciso saber o que entrou, o que saiu e sob qual critério. Sem registro, não há revisão possível.
O que costuma faltar na prática
- Aviso de privacidade desatualizado, sem mencionar o uso de IA.
- Ausência de registro do que foi enviado ao modelo, o que inviabiliza responder a titular e a auditoria.
- Contratos herdados da fase de experimentação, feitos em plano de consumidor.
- Nenhuma medida técnica impedindo o envio de dado sensível — só orientação verbal.
- Relatório de impacto ausente em casos que claramente o pedem, como tratamento em escala ou decisão sobre pessoas.
O que vem pela frente
O Brasil discute uma regulação específica de IA no PL 2338/2023, com abordagem baseada em risco e obrigações proporcionais ao grau de impacto — na linha do que já existe internacionalmente no EU AI Act e em referências técnicas como a ISO/IEC 42001 e o NIST AI Risk Management Framework. Como o texto e o estágio de tramitação mudam, vale confirmar a situação atual antes de tomar decisão baseada nele.
A boa notícia é que quase tudo que essas referências pedem — inventário de uso, classificação por risco, política aplicada, registro e revisão humana — é exatamente o que a LGPD já torna necessário hoje. Quem organizar agora não estará começando do zero depois.
Do princípio ao controle
Traduzir esses princípios em mecanismo é o trabalho concreto: impedir tecnicamente que dado pessoal saia dentro de um prompt, manter registro do que foi enviado e do que voltou, e conseguir demonstrar qual regra estava valendo em cada momento.
É o que o NOBUG STUDIO faz no pré-envio e na trilha de auditoria, e o que a implantação de IA estrutura junto com a política. Se a sua empresa ainda está no diagnóstico, o guia prático de LGPD cobre a base do programa.
