IA e LGPD: o risco não está na automação que você vai contratar

Quando eu apresento um projeto de automação para uma empresa de porte médio ou grande, a pergunta que trava tudo quase sempre é a mesma: “e a segurança dos nossos dados?”

É uma boa pergunta feita na hora errada. Porque na esmagadora maioria dessas empresas a inteligência artificial já está sendo usada há meses, com dados reais de cliente, sem política, sem contrato e sem ninguém sabendo. O projeto formal é o único pedaço que teria controle.

O que já é lei e o que ainda não é

Existe confusão aqui, então vamos separar.

A LGPD já vale, e já se aplica a IA. Não existe brecha porque a ferramenta é nova. Se você trata dado pessoal de cliente, funcionário ou candidato, as obrigações de base legal, finalidade, minimização e segurança valem igual, independentemente de o tratamento acontecer numa planilha ou num modelo de linguagem.

O marco legal específico da IA ainda não é lei. O PL 2338/2023 foi aprovado por unanimidade no plenário do Senado em dezembro de 2024 e segue em tramitação na Câmara dos Deputados, com votação final sucessivamente adiada e agora projetada para 2026, em meio ao calendário eleitoral. O texto se inspira no modelo europeu: classifica sistemas por nível de risco, cria direitos de transparência, explicação e contestação para as pessoas afetadas, e prevê sanções que chegam a R$ 50 milhões. Há ainda um complicador apontado pelo próprio Executivo, de vício de iniciativa na atribuição de competências à ANPD.

Traduzindo para a sua decisão: você não precisa esperar o marco legal para agir, porque a LGPD já te obriga hoje. E não precisa se paralisar por causa dele, porque ainda não está valendo e vai chegar com prazo de adaptação.

O risco que ninguém está olhando

Enquanto a diretoria discute se pode contratar IA, isto já está acontecendo no andar de baixo:

• Alguém do comercial colou a planilha com nome, CPF e telefone de trezentos clientes numa ferramenta gratuita para pedir um resumo.
• Alguém do RH subiu quarenta currículos com dados pessoais para pedir uma triagem.
• Alguém do jurídico colou um contrato inteiro, com cláusulas confidenciais e valores, para pedir uma revisão.
• Alguém do financeiro subiu o relatório de inadimplência para montar uma régua de cobrança.

Nenhuma dessas pessoas teve má intenção. Todas estavam tentando trabalhar melhor. E todas criaram exposição de dado pessoal sem base legal documentada, sem contrato de tratamento e sem qualquer registro de que aquilo aconteceu.

Esse fenômeno tem nome, uso informal e não autorizado de IA dentro da empresa, e é hoje a maior fonte de risco de dados na maioria das operações. Não é a automação contratada. É o uso solto.

Gratuito e corporativo não são a mesma coisa

Essa distinção resolve metade do problema e quase ninguém explica.

Em contas gratuitas e pessoais, os termos costumam permitir uso do conteúdo para melhoria dos serviços, com controles limitados de retenção e nenhum instrumento contratual que coloque o fornecedor na posição de operador de dados.

Em planos corporativos, o padrão de mercado é o oposto: uso do conteúdo para treinamento desativado por padrão, controle de retenção, registro de acesso e disponibilidade de contrato de tratamento de dados, que é o documento que a LGPD espera que exista entre você e quem processa dados em seu nome.

Ou seja, o mesmo texto colado no mesmo modelo tem consequência jurídica completamente diferente dependendo de qual porta ele entrou. Migrar a equipe de contas pessoais para uma conta corporativa é, isoladamente, a medida de maior impacto e menor esforço que existe.

O que nunca deve entrar em uma IA sem cuidado específico

Regra simples para a equipe inteira entender:

1. Dado de saúde, biometria, origem racial, opinião política, religião e vida sexual, que a LGPD trata como sensível e exige cuidado reforçado.
2. Documento de identificação completo, CPF, RG, CNH, cartão.
3. Base de clientes inteira, em qualquer formato.
4. Contrato com cláusula de confidencialidade.
5. Código-fonte proprietário e credencial de acesso.
6. Informação de processo judicial em segredo de justiça.

Para quase tudo isso existe alternativa: anonimizar antes, trabalhar com amostra fictícia, ou usar ambiente contratado onde o dado não sai do seu controle. O problema nunca é a tecnologia, é usar a porta errada.

A política de uma página

Você não precisa de um manual de quarenta páginas que ninguém lê. Precisa de uma página que responda quatro coisas:

Quais ferramentas são autorizadas. Liste nominalmente. Tudo que não está na lista não é permitido para dado da empresa.

O que nunca pode ser colado. A lista acima, em linguagem direta.

O que precisa de revisão humana antes de sair. Qualquer coisa que vá para cliente, órgão público ou documento oficial.

Para quem perguntar em caso de dúvida. Uma pessoa, com nome. Sem isso, na dúvida a equipe faz escondido.

Publicada e explicada em uma reunião de trinta minutos, essa página elimina a maior parte do risco real. É mais eficaz que qualquer ferramenta de bloqueio, porque bloqueio a equipe contorna pelo celular.

Sete perguntas para fazer a qualquer fornecedor

1. Onde os dados ficam armazenados e por quanto tempo?
2. Meus dados são usados para treinar modelos? Consigo isso por escrito?
3. Quais subprocessadores estão envolvidos na cadeia?
4. Vocês assinam contrato de tratamento de dados como operador?
5. Como funciona o registro de acesso, e eu consigo auditar?
6. Se o titular pedir exclusão dos dados dele, qual é o procedimento e o prazo?
7. Em caso de incidente, qual é o fluxo e o prazo de comunicação para mim?

Fornecedor sério responde as sete sem hesitar. Fornecedor que responde “fique tranquilo que é seguro” está te entregando o passivo junto com o serviço.

O ponto contraintuitivo

Aqui está a inversão que muda a conversa na diretoria.

Automação bem contratada não aumenta o risco de dados. Ela reduz.

Hoje, sem projeto formal, o dado da sua empresa circula em contas pessoais, em prints de tela, em conversas de WhatsApp e em ferramentas que ninguém cadastrou. Não existe registro, não existe contrato, não existe limite de retenção e não existe como responder a um pedido de titular ou a uma fiscalização.

Com um projeto formal, o fluxo passa a ser definido, o acesso passa a ser registrado, existe contrato com quem processa e existe alguém responsável. Você troca uso invisível por uso governado.

Adiar o projeto não é a opção conservadora. É a opção que mantém o risco onde ele está, só que sem visibilidade.

Por onde começar

Três coisas, nesta ordem, e as duas primeiras você faz nesta semana sem contratar ninguém: descubra quais ferramentas a sua equipe já usa, perguntando sem clima de punição, porque com medo ninguém conta; migre quem usa para uma conta corporativa; publique a política de uma página.

Depois disso, sim, vale estruturar o que deve ser automatizado de verdade. Escrevi o método de escolha no texto sobre como reduzir o operacional da empresa com IA, e as faixas de investimento estão no guia sobre quanto custa automatizar com IA.

Se você quer fazer esse diagnóstico com apoio, incluindo o mapeamento do que já está sendo usado sem controle e o desenho do fluxo formal, fale comigo. Trabalho com automação para empresas e essa costuma ser a primeira conversa.

O risco nunca foi a IA que você vai contratar. É a que já está rodando na sua empresa sem que ninguém tenha assinado nada.