Muita empresa já usa IA para resumir reuniões, responder clientes ou triar currículos. Quase sempre, alguém cola dados pessoais na ferramenta sem pensar duas vezes, e é aí que IA e LGPD se encontram.
O Brasil ainda não tem lei própria de IA. Mesmo assim, o uso já tem regra: a LGPD (Lei 13.709/2018) vale para qualquer tratamento de dados pessoais feito pela empresa, com ou sem IA.
O marco legal da IA ainda é projeto
O PL 2.338/2023 foi aprovado pelo Senado em dezembro de 2024 e está na Câmara dos Deputados, numa comissão especial. Em outubro de 2026, aguardava o parecer do relator nessa comissão e não tinha sido votado pelo Plenário da Câmara. Até virar lei, nenhuma obrigação dele vale.
O que a LGPD exige no uso de IA?
A LGPD pede que cada uso de dados tenha finalidade definida e se limite ao mínimo necessário para ela (art. 6º). Na prática: se a tarefa é revisar a redação de uma proposta, o CPF e o endereço do cliente não precisam ir junto.
Cada uso também precisa de uma base legal, como a execução de um contrato com o titular ou o interesse legítimo da empresa (art. 7º). Para dados sensíveis, como saúde e biometria, as hipóteses são mais estreitas (art. 11).
O fornecedor de IA é parte do tratamento
Quem fornece a ferramenta e processa dados por conta da empresa atua como operador e deve seguir as instruções dela (art. 39). Isso precisa estar no contrato: para que os dados são usados, se servem para treinar o modelo, por quanto tempo ficam guardados e onde. O artigo sobre vazamento de dados em fornecedores trata dessas cláusulas, e o texto sobre responsabilidade por falha no serviço mostra como negociar o teto de indenização.
Se os servidores ficam fora do Brasil, há transferência internacional (art. 33). Quem usa cláusulas contratuais para isso deve adotar as cláusulas-padrão da ANPD na íntegra (Resolução CD/ANPD nº 19/2024). O prazo de 12 meses para essa adaptação, contado da publicação em agosto de 2024, não foi prorrogado e já terminou.
E quando a IA decide sozinha?
Se a ferramenta decide sozinha algo que afeta uma pessoa, como recusar um candidato, o titular pode pedir revisão dessa decisão e as informações sobre os critérios usados (art. 20). A lei hoje não exige que a revisão seja feita por uma pessoa, mas manter alguém responsável pela palavra final é uma boa prática.
O uso de IA também pesa no porte. Microempresas e empresas de pequeno porte costumam ser dispensadas de indicar encarregado, mas a dispensa pode cair quando o tratamento é de alto risco, e tecnologia inovadora e decisão automatizada contam nesse critério (Resolução CD/ANPD nº 2/2022).
Política interna curta
Uma página resolve muito: quais ferramentas estão liberadas, que dados nunca entram nelas e quem aprova uma ferramenta nova, regra que cabe na tabela de alçadas da empresa. Ela também entra no checklist jurídico do início da empresa. Se houver incidente com risco relevante, o controlador tem três dias úteis para comunicar a ANPD e os titulares (Resolução CD/ANPD nº 15/2024).