LGPD e IA: o que sua empresa precisa garantir antes de adotar

Existe um mito paralisante nas empresas: "IA e LGPD não combinam". A realidade é mais simples e mais tranquila: a LGPD não proíbe IA; ela exige critério, o mesmo critério que já se aplica a qualquer sistema que trate dado pessoal. Este guia mostra o que verificar, sem terrorismo e sem ingenuidade.

Onde IA encontra a LGPD

Toda vez que uma ferramenta de IA recebe nome, telefone, e-mail, histórico de compra ou qualquer dado que identifique uma pessoa, há tratamento de dado pessoal, e a LGPD se aplica. Os pontos de atenção práticos são três: para onde o dado vai, para que ele é usado e por quanto tempo fica.

1. Para onde o dado vai: a escolha da ferramenta

A pergunta decisiva para qualquer ferramenta de IA: ela usa os seus dados para treinar os modelos dela?

• Contas gratuitas e pessoais frequentemente usam, e por isso dado identificável de cliente não deve passar por elas;
• Planos corporativos sérios oferecem garantia contratual de não-treinamento e confidencialidade. É isso que você deve exigir e guardar por escrito.

Verifique também onde os dados são processados (transferência internacional pede salvaguardas) e se a ferramenta permite excluir dados sob demanda, porque os titulares têm esse direito.

2. Para que o dado é usado: finalidade

Dado coletado para uma finalidade não pode ser reutilizado livremente para outra. O cadastro que o cliente fez para receber um serviço não autoriza, sozinho, alimentar qualquer sistema com qualquer objetivo. Na prática: use na IA o mínimo necessário para a tarefa. Um agente que agenda consultas precisa do nome e do horário; não precisa do histórico completo do cliente.

3. Transparência no atendimento automatizado

Cliente que conversa com um agente de IA deve saber que conversa com um sistema, com caminho claro para alcançar um humano. Além de boa prática legal, é bom atendimento: a frustração de descobrir "que era um robô" custa mais que a transparência.

4. Anonimização: a ferramenta subestimada

Boa parte dos usos de IA dispensa identificação: para resumir um contrato, analisar um padrão de reclamações ou redigir uma proposta, os nomes podem ser removidos ou trocados por marcadores. Dado anonimizado de verdade sai do escopo da LGPD, e anonimizar antes de processar é das práticas de melhor custo-benefício que existem.

5. Setores sensíveis: régua mais alta

Saúde, jurídico e financeiro tratam dados sensíveis ou sigilosos por natureza, e somam à LGPD os deveres da própria profissão (sigilo médico, sigilo advocatício). Nesses setores, a escolha de ferramenta e o desenho do fluxo precisam nascer com privacidade embutida, como detalhamos no artigo sobre IA para advogados.

O checklist mínimo antes de adotar

1. A ferramenta tem plano corporativo com garantia de não-treinamento? Está contratado?
2. O uso do dado está dentro da finalidade original da coleta?
3. O atendimento automatizado se apresenta como tal?
4. Há retenção mínima e caminho para exclusão de dados?
5. Existe política interna de uso de IA escrita e treinada?

Com esses cinco itens, uma PME cobre a maior parte do risco com esforço modesto, e ganha um argumento comercial: "usamos IA com privacidade garantida" fecha porta de objeção em qualquer venda B2B.

Perguntas frequentes

Posso colocar dados de clientes no ChatGPT ou no Claude?

Em planos corporativos com garantias contratuais, pode ser adequado; em contas gratuitas ou pessoais, não coloque dados identificáveis. A diferença está no contrato.

Usar IA no atendimento exige consentimento?

Em geral vale a base legal do próprio atendimento, mas o cliente deve ser informado de que fala com um sistema, e o uso deve respeitar a finalidade original.

Qual o mínimo viável para uma PME?

Ferramentas corporativas com não-treinamento garantido, política interna escrita, transparência no atendimento e retenção mínima.