Antes de qualquer coisa: este artigo não é parecer jurídico. Para as decisões formais, envolva seu jurídico ou DPO. O que ofereço aqui é o mapa das decisões que vejo travarem (ou destravarem) a adoção de IA nas empresas brasileiras. Porque na prática, a conversa sobre LGPD e IA generativa quase sempre para nos mesmos quatro pontos.
1. Dados pessoais em prompts
É o ponto mais frequente e o mais mal compreendido. Regra prática: dado pessoal só entra em ferramenta de IA quando há necessidade real, base legal e contrato corporativo com a ferramenta. Na dúvida, anonimize: troque nomes, CPFs e identificadores antes de pedir qualquer análise. “O estagiário colou a base de clientes no chat para fazer um resumo” é o tipo de frase que nenhum DPO merece ouvir.
2. O fornecedor da ferramenta
Quando sua empresa usa uma ferramenta de IA, alguém está processando dados por você. As perguntas que precisam de resposta formal:
- os dados enviados são usados para treinar modelos? (nas contas corporativas, em geral dá para desativar);
- onde ficam armazenados e por quanto tempo?
- existe contrato de tratamento de dados (DPA) assinado?
Ferramenta gratuita sem contrato não é “sem custo”: é com custo transferido para o risco.
3. Decisões automatizadas sobre pessoas
A LGPD, art. 20, dá às pessoas o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Um detalhe que quase todo mundo erra: a lei não exige que essa revisão seja feita por um humano. A expressão “por pessoa natural” estava no texto de 2018 e saiu na Lei nº 13.853/2019, que também teve vetado o parágrafo que garantiria revisão humana. Ou seja: o direito é de pedir revisão, não de ser avaliado por uma pessoa.
Tradução para o dia a dia, e aqui já é recomendação minha e não texto de lei: deixe a IA apoiar a análise e mantenha a decisão sobre candidato, funcionário ou cliente com uma pessoa, com critério registrado. Não é obrigação literal da LGPD, mas é o que você vai querer ter documentado quando alguém questionar. “A IA reprovou” não é defesa: é confissão.
4. Transparência
Se um cliente conversa com um assistente de IA, ele deve saber. Se uma análise foi produzida com IA, quem recebe deve poder questionar. Transparência não é burocracia: é o que sustenta a confiança quando algo dá errado, e um dia algo dá errado.
O checklist de decisões antes de liberar o uso
- classificação de dados: o que nunca entra em ferramenta de IA (vale o modelo de política de uso seguro);
- contas corporativas com treinamento de dados desativado;
- registro das ferramentas aprovadas e dos contratos de cada uma;
- encarregado (DPO) no fluxo de aprovação de novos usos com dados pessoais;
- regra de revisão humana para decisões sobre pessoas;
- aviso de uso de IA onde o cliente interage com ela.
E lembre: a pior decisão de LGPD é fingir que o uso não existe. Se a empresa não der um caminho oficial, o time já está usando no escuro: o problema do shadow AI, que detalhei em outro artigo.
Revisão desta análise: agosto de 2026. Este artigo não é parecer jurídico. O texto da LGPD (Lei nº 13.709/2018) e as orientações da ANPD mudam: confira as fontes oficiais antes de decidir e envolva seu jurídico ou DPO.
Perguntas frequentes
Posso colocar dados de clientes no ChatGPT?
Não em conta pessoal ou gratuita. Em conta corporativa, com treinamento de dados desativado e contrato assinado, depende da necessidade e da base legal, e mesmo assim, anonimizar antes é a prática mais segura.
A IA pode decidir sozinha sobre candidatos?
Não deve. A LGPD garante às pessoas o direito de pedir revisão de decisões unicamente automatizadas que afetem seus interesses — vale notar que a lei não especifica que essa revisão seja humana, porque a expressão “por pessoa natural” foi retirada do art. 20 em 2019. Use a IA para organizar e apoiar. Ainda assim, manter a decisão final humana e explicável é a prática que reduz risco de verdade.
A empresa precisa avisar que usa IA?
Quando a pessoa interage diretamente com um sistema de IA (atendimento, por exemplo), a transparência é a prática esperada, e reforça a confiança. Em usos internos de apoio, o dever é de governança e registro.
Próximo passo
Se você quer destravar a conversa entre jurídico e operação, com política clara, casos de uso e treinamento, fale comigo em ativos de enablement ou pelos canais de contato.