# LGPD e IA generativa: cuidados com dados ao contratar um projeto — Citeo > Ao contratar um projeto de IA generativa, mapeie quais dados pessoais serão usados e com que finalidade, minimize e anonimize o que puder, confirme onde os... Fonte: https://mail.citeo.com.br/artigo/lgpd-e-ia-generativa-cuidados-com-dados · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [IA na prática](https://mail.citeo.com.br/blog/ia) IA na prática# LGPD e IA generativa: cuidados com dados ao contratar um projeto **Redação Citeo** Publicado em 16/10/2026 Revisado em 16/10/2026 5 min de leitura Resposta rápidaAo contratar um projeto de IA generativa, mapeie quais dados pessoais serão usados e com que finalidade, minimize e anonimize o que puder, confirme onde os dados são processados e se podem treinar modelos de terceiros, e formalize tudo em contrato com apoio do jurídico ou do DPO. A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) se aplica a projetos de IA generativa sempre que houver tratamento de dados pessoais, seja no treinamento, nas instruções enviadas ao modelo ou nos registros de conversa. Os cuidados essenciais ao contratar são mapear quais dados entram no sistema e para quê, reduzir ao mínimo necessário, entender onde e por quem os dados são processados e formalizar essas regras no contrato. Este texto traz orientações gerais; o enquadramento de cada caso deve ser feito com o advogado ou o encarregado de dados (DPO) da empresa. ## Por que IA generativa exige atenção especial com dados? IA generativa é o tipo de inteligência artificial que produz conteúdo novo, como textos, resumos e respostas, a partir de instruções. Ela costuma ser construída sobre um LLM (modelo de linguagem de grande porte), muitas vezes oferecido por um provedor externo. Isso cria situações que não existiam em sistemas tradicionais: - **Dados circulam por mais empresas**: o fornecedor que desenvolve o projeto, o provedor do modelo e o provedor de infraestrutura podem ter acesso a partes da informação. - **Texto livre carrega dados inesperados**: um e-mail, um chamado ou um contrato pode conter nomes, documentos, informações de saúde ou financeiras sem que ninguém tenha planejado isso. - **Registros de conversa viram base de dados**: perguntas e respostas ficam armazenadas e também são dados pessoais quando identificam alguém. - **Saídas podem expor informação**: o modelo pode reproduzir em uma resposta algo que leu em um documento ao qual o usuário não deveria ter acesso. ## Quais princípios da LGPD pesam mais em projetos de IA? A LGPD lista princípios que orientam qualquer tratamento de dados. Em projetos de IA, alguns ganham peso prático. Princípio da LGPDO que significa na prática do projetoFinalidadeDefinir para que os dados serão usados e não reaproveitá-los para outro fim sem base legalNecessidadeEnviar ao sistema apenas os dados indispensáveis para a tarefaTransparênciaInformar aos titulares, de forma clara, que há uso de IA no tratamentoSegurançaAdotar controles de acesso, criptografia e registro de operaçõesPrevençãoAvaliar riscos antes de colocar o sistema em operaçãoResponsabilizaçãoConseguir demonstrar quais medidas foram adotadas Além disso, a lei prevê o direito do titular de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Se a IA participar de decisões sobre pessoas, como crédito, contratação ou acesso a serviços, esse ponto precisa ser analisado com o jurídico. ## O que mapear antes de contratar o projeto? Antes de enviar a primeira amostra de dados ao fornecedor, faça um inventário simples. Responda: 1. **Quais dados entram no sistema?** Documentos, bases de clientes, conversas, registros de atendimento. 2. **Há dados pessoais? E dados sensíveis?** A LGPD trata com mais rigor dados de saúde, origem racial ou étnica, convicção religiosa, opinião política, biometria, entre outros. 3. **Qual a finalidade?** Escreva em uma frase para que cada conjunto de dados será usado. 4. **Qual a base legal?** O jurídico ou o DPO deve indicar a hipótese da LGPD que autoriza o tratamento. 5. **Quem terá acesso?** Liste fornecedor, provedor do modelo, provedor de nuvem e equipes internas. 6. **Por quanto tempo os dados ficam guardados?** Inclua registros de conversa e cópias de teste. Esse mapeamento também é a base para um eventual relatório de impacto à proteção de dados, documento que descreve os riscos do tratamento e as medidas para reduzi-los. ## Como reduzir o risco já no desenho técnico? Boa parte da proteção vem de decisões de arquitetura, não de cláusulas. Pergunte ao fornecedor se o projeto adota: - **Minimização**: remover campos desnecessários antes de enviar dados ao modelo. - **Anonimização ou pseudonimização**: substituir nomes e documentos por códigos quando a identificação não for necessária para a tarefa. - **Controle de acesso por perfil**: garantir que o sistema só recupere documentos que o usuário poderia abrir. - **Retenção limitada**: apagar registros de conversa após um prazo definido. - **Registro de operações**: guardar quem consultou o quê e quando, para auditoria. - **Configuração do provedor do modelo**: confirmar que os dados enviados não são usados para treinar modelos do provedor. Em projetos com RAG (técnica em que o modelo consulta documentos da empresa antes de responder), o controle de permissões merece atenção redobrada, porque o sistema tem acesso a muitos documentos ao mesmo tempo. ## O que o contrato com o fornecedor precisa prever? O contrato deve refletir os papéis de cada parte. Em geral, a empresa contratante é a controladora, que decide sobre o tratamento, e o fornecedor atua como operador, que trata dados em nome dela. A definição exata depende do caso e deve ser confirmada pelo jurídico. Itens que costumam aparecer em contratos de projetos de IA: - finalidade e limites do tratamento pelo fornecedor; - proibição de uso dos dados para treinar modelos próprios ou de terceiros sem autorização; - lista de suboperadores, como provedores de modelo e de nuvem, e regras para trocá-los; - local de processamento e regras para transferência internacional de dados; - medidas de segurança mínimas; - prazo e forma de comunicação de incidentes; - devolução e exclusão dos dados ao fim do contrato; - apoio ao atendimento de pedidos de titulares. ## Que perguntas fazer ao fornecedor sobre dados? Leve estas perguntas para a reunião e peça as respostas por escrito: em que país os dados são processados? O provedor do modelo retém as informações enviadas? Por quanto tempo? Quem na equipe do fornecedor tem acesso aos dados de produção? Como um incidente seria detectado e comunicado? Existe certificação ou prática alinhada a normas como a ISO 27001, de segurança da informação, ou a ISO 42001, de sistemas de gestão de IA? Respostas evasivas ou genéricas são sinal de que o fornecedor ainda não amadureceu essa parte do serviço. ## Próximo passo Ao montar a lista de fornecedores, compare [empresas de inteligência artificial verificadas](/empresas/ia) e, se o projeto envolve dados críticos, avalie também especialistas em [cibersegurança](/empresas/cyber). Pela Citeo, você conversa diretamente com as empresas que reivindicaram o perfil e recebe os avisos por e-mail. **Encontre inteligência artificial verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/ia) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### Posso enviar dados de clientes para uma ferramenta de IA generativa? Depende da finalidade, da base legal, da configuração da ferramenta e do contrato com o provedor. Em muitos casos, é possível reduzir o risco com minimização e anonimização antes do envio. A avaliação do caso concreto deve ser feita com o jurídico ou o encarregado de dados da empresa. ### O fornecedor de IA é controlador ou operador dos dados? Na maioria dos projetos sob encomenda, o fornecedor atua como operador, tratando dados conforme as instruções da empresa contratante. Mas há situações em que ele decide sobre o tratamento e pode assumir outro papel. Por isso, os papéis devem ser analisados caso a caso e registrados no contrato. ### Registros de conversa com um chatbot são dados pessoais? Podem ser, sempre que permitirem identificar uma pessoa, seja pelo nome, por um documento ou pelo contexto da conversa. Nesse caso, valem as regras da LGPD sobre finalidade, segurança e retenção. Definir um prazo de guarda e restringir o acesso a esses registros é uma boa prática. ### Preciso de um relatório de impacto à proteção de dados para um projeto de IA? Nem todo projeto exige formalmente, mas o documento é recomendável quando há dados sensíveis, grande volume de dados pessoais ou decisões automatizadas que afetam pessoas. Ele ajuda a identificar riscos cedo e a demonstrar responsabilidade. O jurídico ou o DPO pode indicar quando ele é necessário no seu caso. ## Leia também [](https://mail.citeo.com.br/artigo/adocao-de-ia-nas-empresas-brasileiras-pesquisas) IA na prática### [Adoção de IA nas empresas brasileiras: o que mostram as pesquisas públicas](https://mail.citeo.com.br/artigo/adocao-de-ia-nas-empresas-brasileiras-pesquisas) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/busca-semantica-e-embeddings-para-gestores) IA na prática### [Busca semântica e embeddings explicados para gestores](https://mail.citeo.com.br/artigo/busca-semantica-e-embeddings-para-gestores) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/chatgpt-gemini-claude-perplexity-diferencas) IA na prática### [ChatGPT, Gemini, Claude e Perplexity: diferenças que importam para empresas](https://mail.citeo.com.br/artigo/chatgpt-gemini-claude-perplexity-diferencas) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/ia-no-desenvolvimento-de-software-produtividade) IA na prática### [IA no desenvolvimento de software: o que dizem os estudos sobre produtividade](https://mail.citeo.com.br/artigo/ia-no-desenvolvimento-de-software-produtividade) 18 de out · 6 min de leitura