LGPD e IA: Guia de Compliance para Empresas Brasileiras em 2026

Projetos de IA tocam quase sempre em dados pessoais: registros de clientes, transcrições de atendimento, currículos, históricos médicos. A LGPD não proíbe IA, mas exige que cada decisão arquitetural tenha base legal, finalidade clara e governança auditável. Este guia consolida o que diretores jurídicos e tech leads precisam alinhar antes de subir um modelo para produção.

Bases legais aplicáveis

Para tratamento via IA, as bases mais usadas são execução de contrato, legítimo interesse, consentimento e cumprimento de obrigação legal. Treinamento de modelos com dados de clientes raramente se sustenta em "execução de contrato" puro; o caminho seguro é legítimo interesse com teste de balanceamento documentado, ou consentimento granular.

DPIA: quando é obrigatório

O Relatório de Impacto à Proteção de Dados (DPIA) é exigido sempre que o tratamento gerar risco elevado, o que inclui decisões automatizadas com efeitos significativos, perfilamento em larga escala e uso de dados sensíveis. Em IA, isso cobre crédito, RH, saúde, seguros e moderação de conteúdo. O DPIA precisa ser elaborado antes do go-live, não depois.

Anonimização vs pseudonimização

Dados anonimizados saem do escopo da LGPD; pseudonimizados continuam dentro. Para datasets de treino, prefira anonimização irreversível com técnicas como k-anonimato, supressão de identificadores diretos e generalização. Tokens reversíveis em chaves separadas configuram pseudonimização e exigem todas as obrigações da lei.

Contratos com provedores de LLM

Ao usar APIs de OpenAI, Google, Anthropic ou similares, o cliente é controlador e o provedor é operador. Exija no contrato: vedação de uso dos dados para treino, localização de processamento, prazo de retenção zero ou mínimo, sub-operadores listados e cláusulas de auditoria. Provedores sérios oferecem essas garantias em planos enterprise.

Direitos do titular em sistemas de IA

• Acesso e explicação: o titular pode pedir explicação sobre decisões automatizadas. Tenha trilha de auditoria por inferência.
• Revisão humana: decisões com impacto significativo precisam de canal de revisão por pessoa.
• Eliminação: prevê-se a remoção dos dados. Em modelos fine-tuned, isso é tecnicamente complexo; prefira RAG para facilitar exclusão.

Governança recomendada

Empresas maduras instituem um comitê de IA responsável com jurídico, segurança, produto e engenharia. Cada modelo em produção tem ficha técnica (model card), métricas de viés monitoradas, plano de rollback e revisão periódica. Logs de prompts e respostas são retidos pelo prazo mínimo necessário e protegidos como dados pessoais.

Erros comuns

• Subir POCs com dados reais sem DPIA nem anonimização.
• Usar consentimento como base universal e depois não conseguir comprovar coleta válida.
• Ignorar que prompts inseridos por usuários podem conter dados pessoais de terceiros.

Próximos passos

A WSS conduz consultoria em IA com checkpoints de compliance integrados ao roadmap. Para visão geral do framework, veja a página de padrões e governança.