LGPD e IA generativa: cuidados com dados ao contratar um projeto

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) se aplica a projetos de IA generativa sempre que houver tratamento de dados pessoais, seja no treinamento, nas instruções enviadas ao modelo ou nos registros de conversa. Os cuidados essenciais ao contratar são mapear quais dados entram no sistema e para quê, reduzir ao mínimo necessário, entender onde e por quem os dados são processados e formalizar essas regras no contrato. Este texto traz orientações gerais; o enquadramento de cada caso deve ser feito com o advogado ou o encarregado de dados (DPO) da empresa.

Por que IA generativa exige atenção especial com dados?

IA generativa é o tipo de inteligência artificial que produz conteúdo novo, como textos, resumos e respostas, a partir de instruções. Ela costuma ser construída sobre um LLM (modelo de linguagem de grande porte), muitas vezes oferecido por um provedor externo.

Isso cria situações que não existiam em sistemas tradicionais:

• Dados circulam por mais empresas: o fornecedor que desenvolve o projeto, o provedor do modelo e o provedor de infraestrutura podem ter acesso a partes da informação.
• Texto livre carrega dados inesperados: um e-mail, um chamado ou um contrato pode conter nomes, documentos, informações de saúde ou financeiras sem que ninguém tenha planejado isso.
• Registros de conversa viram base de dados: perguntas e respostas ficam armazenadas e também são dados pessoais quando identificam alguém.
• Saídas podem expor informação: o modelo pode reproduzir em uma resposta algo que leu em um documento ao qual o usuário não deveria ter acesso.

Quais princípios da LGPD pesam mais em projetos de IA?

A LGPD lista princípios que orientam qualquer tratamento de dados. Em projetos de IA, alguns ganham peso prático.

Além disso, a lei prevê o direito do titular de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Se a IA participar de decisões sobre pessoas, como crédito, contratação ou acesso a serviços, esse ponto precisa ser analisado com o jurídico.

O que mapear antes de contratar o projeto?

Antes de enviar a primeira amostra de dados ao fornecedor, faça um inventário simples. Responda:

1. Quais dados entram no sistema? Documentos, bases de clientes, conversas, registros de atendimento.
2. Há dados pessoais? E dados sensíveis? A LGPD trata com mais rigor dados de saúde, origem racial ou étnica, convicção religiosa, opinião política, biometria, entre outros.
3. Qual a finalidade? Escreva em uma frase para que cada conjunto de dados será usado.
4. Qual a base legal? O jurídico ou o DPO deve indicar a hipótese da LGPD que autoriza o tratamento.
5. Quem terá acesso? Liste fornecedor, provedor do modelo, provedor de nuvem e equipes internas.
6. Por quanto tempo os dados ficam guardados? Inclua registros de conversa e cópias de teste.

Esse mapeamento também é a base para um eventual relatório de impacto à proteção de dados, documento que descreve os riscos do tratamento e as medidas para reduzi-los.

Como reduzir o risco já no desenho técnico?

Boa parte da proteção vem de decisões de arquitetura, não de cláusulas. Pergunte ao fornecedor se o projeto adota:

• Minimização: remover campos desnecessários antes de enviar dados ao modelo.
• Anonimização ou pseudonimização: substituir nomes e documentos por códigos quando a identificação não for necessária para a tarefa.
• Controle de acesso por perfil: garantir que o sistema só recupere documentos que o usuário poderia abrir.
• Retenção limitada: apagar registros de conversa após um prazo definido.
• Registro de operações: guardar quem consultou o quê e quando, para auditoria.
• Configuração do provedor do modelo: confirmar que os dados enviados não são usados para treinar modelos do provedor.

Em projetos com RAG (técnica em que o modelo consulta documentos da empresa antes de responder), o controle de permissões merece atenção redobrada, porque o sistema tem acesso a muitos documentos ao mesmo tempo.

O que o contrato com o fornecedor precisa prever?

O contrato deve refletir os papéis de cada parte. Em geral, a empresa contratante é a controladora, que decide sobre o tratamento, e o fornecedor atua como operador, que trata dados em nome dela. A definição exata depende do caso e deve ser confirmada pelo jurídico.

Itens que costumam aparecer em contratos de projetos de IA:

• finalidade e limites do tratamento pelo fornecedor;
• proibição de uso dos dados para treinar modelos próprios ou de terceiros sem autorização;
• lista de suboperadores, como provedores de modelo e de nuvem, e regras para trocá-los;
• local de processamento e regras para transferência internacional de dados;
• medidas de segurança mínimas;
• prazo e forma de comunicação de incidentes;
• devolução e exclusão dos dados ao fim do contrato;
• apoio ao atendimento de pedidos de titulares.

Que perguntas fazer ao fornecedor sobre dados?

Leve estas perguntas para a reunião e peça as respostas por escrito: em que país os dados são processados? O provedor do modelo retém as informações enviadas? Por quanto tempo? Quem na equipe do fornecedor tem acesso aos dados de produção? Como um incidente seria detectado e comunicado? Existe certificação ou prática alinhada a normas como a ISO 27001, de segurança da informação, ou a ISO 42001, de sistemas de gestão de IA?

Respostas evasivas ou genéricas são sinal de que o fornecedor ainda não amadureceu essa parte do serviço.

Próximo passo

Ao montar a lista de fornecedores, compare empresas de inteligência artificial verificadas e, se o projeto envolve dados críticos, avalie também especialistas em cibersegurança. Pela Citeo, você conversa diretamente com as empresas que reivindicaram o perfil e recebe os avisos por e-mail.