Dados de clientes numa IA: o que conferir antes, pela LGPD

Um projeto de IA quase sempre começa do mesmo jeito: alguém cola um e-mail de cliente, um contrato ou uma planilha num serviço de IA para ver o que acontece. Funciona, e é aí que mora o risco. O teste vira rotina, a rotina vira processo, e ninguém olhou para onde os dados foram.

Este texto não é parecer jurídico. É um roteiro do que a Lei Geral de Proteção de Dados (LGPD) diz sobre essa cena, com os artigos para quem quiser conferir, e do que vale verificar antes de levar dados de clientes para dentro de um projeto de IA. Para decisões concretas, vale ter alguém da área jurídica junto.

O que a lei enxerga nessa cena

A LGPD define dado pessoal como "informação relacionada a pessoa natural identificada ou identificável" (art. 5º, I). Nome, e-mail, CPF, telefone, endereço, histórico de compras, o texto de uma reclamação assinada: tudo isso entra.

Tratamento é "toda operação realizada com dados pessoais" (art. 5º, X). Enviar um texto a um serviço de IA, que o lê, processa e devolve uma resposta, é tratamento.

Os papéis também estão na lei:

• a sua empresa é a controladora, "a quem competem as decisões referentes ao tratamento" (art. 5º, VI). É ela quem responde pelos dados perante os clientes e a ANPD;

• o provedor do serviço de IA, ao processar os dados em nome dela, atua como operador (art. 5º, VII), e deve seguir as instruções da controladora (art. 39).

Na prática: contratar um serviço de IA não transfere a responsabilidade. Ela continua com a empresa que enviou os dados.

Os dados saem do Brasil

A maior parte dos serviços de IA processa os dados em servidores fora do país. Isso é transferência internacional, e a LGPD só a permite em casos específicos, listados no art. 33. Um deles, o mais usado no dia a dia das empresas, são as cláusulas-padrão contratuais (art. 33, II, "b").

Em 23 de agosto de 2024, a ANPD publicou a Resolução CD/ANPD nº 19/2024, que regulamenta as transferências internacionais e traz o texto oficial dessas cláusulas. As empresas tiveram 12 meses para se adaptar, prazo que terminou em 23 de agosto de 2025. Desde então, quem se apoia em contrato para transferir dados para fora precisa usar as cláusulas-padrão da ANPD, ou cláusulas específicas aprovadas por ela. Modelos estrangeiros, como as cláusulas da União Europeia, não bastam sozinhos.

A pergunta prática para o provedor de IA é direta: o contrato de vocês contempla as cláusulas-padrão da ANPD?

A ANPD já olhou para IA

Não é preocupação teórica. Em julho de 2024, a ANPD determinou, em medida preventiva, que a Meta suspendesse o uso de dados pessoais de usuários do Facebook e do Instagram para treinar seus modelos de IA, por risco de dano grave aos titulares.

A suspensão foi retirada em 30 de agosto de 2024, depois que a empresa assumiu um plano de conformidade aprovado pela ANPD: avisar os usuários por e-mail e no aplicativo antes de usar os dados, atualizar a política de privacidade para descrever o treinamento com mais precisão, oferecer um formulário simples para quem quisesse se opor e esperar 30 dias depois dos avisos para começar.

O caso envolve uma empresa grande e um uso específico, o treinamento de modelos, mas mostra o que a autoridade observa: transparência, finalidade e o direito do titular de saber e de se opor.

Sete conferências antes de ligar

1. Os dados entram no treinamento do modelo?

Muitos serviços diferenciam o plano gratuito ou pessoal do plano empresarial justamente nisso. Leia os termos do plano que a empresa vai de fato contratar, não os do teste que alguém fez com a conta pessoal. Se os dados de clientes podem ser usados para treinar o modelo do provedor, isso precisa estar claro, e quase nunca é o que a empresa quer.

2. Por quanto tempo o provedor guarda o que recebe, e onde?

Retenção, país de processamento e lista de subcontratados costumam estar num documento à parte, o adendo de proteção de dados, conhecido pela sigla em inglês DPA. Se o provedor não tem um, isso já é uma resposta.

3. O contrato cobre a transferência internacional?

É a pergunta da seção anterior: cláusulas-padrão da ANPD, ou outra das hipóteses do art. 33.

4. Precisa mesmo enviar o dado pessoal?

A LGPD tem um princípio para isso, o da necessidade: limitar o tratamento "ao mínimo necessário para a realização de suas finalidades" (art. 6º, III).

Para classificar um e-mail de pedido, a IA não precisa do CPF do cliente. Para resumir um contrato, não precisa dos dados bancários. Retirar ou mascarar o que não é necessário antes do envio é a medida que mais reduz o risco, e costuma reduzir também a conta, porque esses serviços cobram pelo volume de texto.

5. Qual é a finalidade, e ela combina com a original?

Pelo princípio da finalidade, o tratamento deve ter "propósitos legítimos, específicos, explícitos e informados ao titular" (art. 6º, I).

Os dados foram coletados para atender o cliente. Usá-los para atender melhor esse mesmo cliente é uma coisa; usá-los para traçar perfis e oferecer outro produto é outra, que pede outra justificativa. Escreva a finalidade antes de começar.

6. A IA vai tomar decisões sobre pessoas?

Classificar e-mails é uma coisa. Aprovar crédito, recusar um cadastro ou definir o preço para um cliente com base na análise de uma IA é outra. O art. 20 da LGPD dá ao titular o direito de pedir a revisão de decisões "tomadas unicamente com base em tratamento automatizado" que afetem seus interesses, inclusive as que definem o seu perfil de consumo e de crédito. Se a IA decide sobre pessoas, a empresa precisa conseguir explicar os critérios e revisar a decisão quando pedirem.

7. Está registrado e informado?

Controlador e operador devem manter registro das operações de tratamento (art. 37). E a política de privacidade precisa contar aos clientes que seus dados passam por um serviço de IA: que tipo de dado, para quê, e que há transferência internacional.

E a lei de IA?

O Brasil discute uma lei específica para inteligência artificial, o PL 2338/2023. Ele foi aprovado pelo Senado em dezembro de 2024 e enviado à Câmara dos Deputados em março de 2025, onde, até outubro de 2026, ainda não tinha sido votado.

Enquanto ele não vira lei, a regra que vale para dados pessoais em projetos de IA é a LGPD. E ela não é pouca coisa: entre as sanções previstas está multa de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração (art. 52, II).

O caminho mais seguro costuma ser o mais simples

Enviar menos dados, para um plano empresarial com contrato claro, dentro de um fluxo em que a empresa sabe o que sai e o que volta. Escrever a finalidade. Avisar os clientes. Nada disso exige um projeto jurídico de meses, e tudo isso é muito mais fácil de fazer antes de a IA virar rotina do que depois.

Fontes

• Lei nº 13.709/2018 (LGPD), arts. 5º, 6º, 20, 33, 37, 39 e 52.

• Resolução CD/ANPD nº 19/2024 (transferência internacional e cláusulas-padrão), conforme os comentários de Demarest e Lefosse.

• Medida preventiva da ANPD sobre a Meta e sua suspensão: Convergência Digital.

• PL 2338/2023 no Senado Federal. A situação na Câmara foi conferida em outubro de 2026.