Uso de IA e LGPD: o que muda quando o dado sai da empresa

Antes de discutir qual ferramenta usar, a pergunta é: com base em qual hipótese do art. 7º esse dado será tratado? O caput não deixa margem — o tratamento “somente poderá ser realizado” nas hipóteses listadas. Em projetos corporativos, as mais usadas são execução de contrato, obrigação legal e legítimo interesse.

E aqui está a armadilha mais comum. Dado sensível não segue o art. 7º. Ele segue o art. 11, que é uma lista fechada e mais curta — e que não inclui legítimo interesse. Dado de saúde, biométrico, de origem racial, de convicção religiosa ou de filiação sindical não pode ser tratado sob a justificativa de interesse legítimo da empresa.

Na prática, é isto que trava projeto de IA em operadora de saúde, em RH e em atendimento: a base legal que sustentaria o projeto simplesmente não existe para aquela categoria de dado. Descobrir isso depois de a arquitetura estar pronta é caro.

O art. 20 dá ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses — incluídas as que definem perfil pessoal, profissional, de consumo e de crédito. E obriga o controlador a fornecer, quando solicitado, informações claras sobre os critérios e procedimentos usados, observados os segredos comercial e industrial.

Uma correção que precisa ser feita, porque circula errado em quase todo conteúdo de mercado: a LGPD não garante revisão por um ser humano. A redação original previa revisor humano, e ela foi alterada pela Lei 13.853/2019. O que existe hoje é direito à revisão — a lei não diz por quem.

Isso não torna o gate humano dispensável; torna-o uma decisão de governança da empresa, não uma obrigação legal. E, na nossa leitura, continua sendo a decisão certa: um processo em que a máquina decide sozinha sobre crédito, contratação ou atendimento é um processo que a empresa não consegue explicar quando for questionada.

Vale registrar que a própria ANPD reconhece a zona cinzenta. Ao consolidar a tomada de subsídios sobre o tema, com 124 participantes, a autoridade registrou que “não há consenso sobre a aplicação do artigo 20 da LGPD sobre as decisões de modelos de IA generativa”. Quem afirmar com certeza como esse artigo se aplica a IA generativa está indo além do que a autoridade brasileira afirmou.

Discussão sobre LGPD e IA costuma ficar no hipotético. Não precisa: há decisões concretas.

Treinamento de IA com dados de usuários. Em 1º de julho de 2024 a ANPD impôs medida preventiva suspendendo no Brasil a política de privacidade de uma grande plataforma, especificamente na parte relativa ao uso de dados pessoais para treinamento de sistemas de IA generativa, sob pena de multa diária de R$ 50 mil. A autoridade não esperou o marco legal da IA para agir — usou a LGPD que já existe.

Sanção aplicada. Em agosto de 2026, a ANPD aplicou multa de R$ 153,7 milhões a uma controladora de rede social por falhas na proteção de dados de crianças e adolescentes, correspondente a cinco violações aos artigos 6º e 7º.

Fiscalização de sistema de IA integrado a plataforma. Em janeiro de 2026 a ANPD produziu nota técnica propondo instaurar processo de fiscalização sobre a integração de um sistema de IA à rede social que o hospeda.

O teto de sanção do art. 52 é de 2% do faturamento no Brasil, limitado a R$ 50 milhões por infração — e há ainda bloqueio, eliminação dos dados e suspensão da atividade de tratamento por até seis meses, prorrogável. Para muitos negócios, a suspensão da atividade dói mais que a multa.

Boa parte da complexidade acima existe porque o dado sai. Transferência internacional, cláusulas contratuais, política de retenção do fornecedor, uso do dado para treinamento — nada disso se aplica ao que não atravessa o perímetro.

Não é um argumento para nunca usar ferramenta de terceiro; é um critério de triagem. A pergunta é: este caso de uso específico precisa que o dado saia? Muita coisa não precisa. Quando não precisa, manter o processamento dentro da infraestrutura da empresa elimina uma classe inteira de obrigação, em vez de administrá-la.

Quando precisa — e às vezes precisa —, aí valem as perguntas do contrato: em qual hipótese do art. 33 essa transferência se apoia; qual é a política de retenção declarada; e se o plano contratado é aquele em que o fornecedor declara não usar o conteúdo para treinar. Vale conferir esse último ponto: em pelo menos um fornecedor grande, a regra de uso do dado é diferente entre o plano gratuito e o pago da mesma API.