A inteligência artificial entrou no dia a dia das empresas pela porta mais simples: alguém da equipe abre o ChatGPT para resumir uma reunião, um robô passa a responder no WhatsApp, o marketing usa IA para separar leads. Em quase todos esses usos circulam dados de pessoas: nome, telefone, histórico de compra, às vezes informação de saúde. E sempre que há dado pessoal, a Lei Geral de Proteção de Dados (Lei 13.709/2018) está valendo.
Não existe uma "LGPD da IA" separada. A lei de 2018 já cobre o tratamento de dados feito com qualquer tecnologia, e a Autoridade Nacional de Proteção de Dados (ANPD) colocou a inteligência artificial entre seus temas prioritários de fiscalização. As seções abaixo mostram como a LGPD se aplica aos usos mais comuns de IA numa empresa de serviço, o que a ANPD já fez e sinalizou, os cuidados com dados sensíveis e um checklist para colocar a casa em ordem. É um conteúdo informativo e não substitui a orientação de um advogado especializado em proteção de dados.
LGPD e IA: a lei se aplica ao uso de inteligência artificial
A LGPD se aplica a qualquer operação com dados pessoais: coletar, armazenar, consultar, analisar, compartilhar, apagar. Quando a empresa usa uma ferramenta de IA com dados de clientes, pacientes, funcionários ou leads, ela está tratando dados pessoais, e todas as regras da lei valem, do mesmo jeito que valeriam numa planilha ou num sistema de gestão.
O ponto que muitas empresas não percebem é que a responsabilidade continua sendo delas. Se a clínica cola o relato de um paciente no chat de uma IA, quem decidiu fazer isso foi a clínica, que é a controladora daquele dado. O fornecedor da ferramenta entra como operador ou como terceiro, conforme o contrato e o plano usado, mas isso não tira da empresa o dever de cumprir a lei.
| Uso de IA na empresa | Há dado pessoal | O que a LGPD exige |
|---|---|---|
| Resumir reunião interna com nomes de clientes | Sim | Base legal, ferramenta adequada, mínimo de dados |
| Robô que responde no WhatsApp | Sim | Transparência, segurança, finalidade clara |
| IA que classifica leads por chance de fechar | Sim | Base legal, informação ao titular, cuidado com decisão automatizada |
| IA que escreve um post de blog genérico | Em geral, não | Atenção apenas se usar casos reais identificáveis |
| Transcrição de consulta ou atendimento | Sim, muitas vezes sensível | Base legal específica, segurança reforçada, sigilo profissional |
Os princípios que mais pesam com IA
Entre os princípios do artigo 6º da LGPD, três aparecem em quase toda conversa sobre IA. Finalidade: o dado foi coletado para um propósito e não pode ser usado para outro incompatível. Necessidade: usar só o mínimo de dados para a tarefa. Transparência: a pessoa tem direito a saber como seus dados são tratados. Um robô de atendimento, por exemplo, pode cumprir os três: usa os dados da conversa só para responder, não pede mais do que precisa e se apresenta como atendimento automatizado.
LGPD e IA generativa: bases legais para usar dados pessoais
Todo tratamento de dados pessoais precisa se apoiar em uma das bases legais do artigo 7º da LGPD. Com IA, a escolha da base costuma ser o primeiro ponto de dúvida, porque o mesmo dado pode ter sido coletado para uma coisa e ser usado em outra.
| Base legal | Quando costuma servir no uso de IA | Cuidado |
|---|---|---|
| Execução de contrato | IA usada para prestar o serviço contratado, como organizar a agenda do cliente | Só vale para o que é necessário ao contrato |
| Legítimo interesse | Análises internas, melhoria de atendimento, segmentação simples de marketing | Exige avaliação documentada e não vale para dados sensíveis |
| Consentimento | Usos que a pessoa não esperaria, como gravar e transcrever conversas para treinar um robô | Precisa ser livre, informado e específico, e pode ser revogado |
| Cumprimento de obrigação legal | Registros exigidos por lei, como prontuário | Não autoriza usos além da obrigação |
| Tutela da saúde | Procedimentos feitos por profissionais de saúde | Restrita a profissionais, serviços de saúde ou autoridade sanitária |
Legítimo interesse não é carta branca
A ANPD publicou em 2024 um guia orientativo sobre legítimo interesse. A mensagem prática é que a empresa precisa registrar por que aquele uso é legítimo, se ele é esperado pelo titular e quais salvaguardas foram adotadas. Para IA no marketing, isso significa conseguir explicar, por escrito, por que usar o histórico de um lead para priorizar o atendimento é algo que essa pessoa razoavelmente esperaria.
Exemplo: lead que pediu orçamento
Um escritório de contabilidade recebe pelo site o pedido de orçamento de uma empresa. Usar uma IA para resumir o pedido e sugerir a proposta está dentro do que o lead espera: ele pediu um orçamento. Usar o mesmo dado para incluir a pessoa numa lista de anúncios de outro serviço, sem informar, já é outra finalidade e pede outra base, em geral o consentimento.
Dados sensíveis e IA: saúde, biometria e o cuidado redobrado
A LGPD trata como sensíveis os dados sobre saúde, vida sexual, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados genéticos e biométricos. Para esses dados, as bases legais são mais restritas (artigo 11) e o legítimo interesse não pode ser usado. Clínicas, consultórios, laboratórios, psicólogos, dentistas e escritórios de direito de família lidam com esse tipo de informação todos os dias.
- Não cole dado de paciente em IA de uso geral. Nome, CPF, diagnóstico, exame ou relato clínico não devem ir para um chat comum. Se a IA for usada, o caminho é uma ferramenta contratada para uso profissional, com contrato, configuração que impeça o uso dos dados para treinamento e, de preferência, com o dado anonimizado.
- Anonimização de verdade. Trocar o nome por "paciente X" não basta se a idade, a cidade e o histórico permitem identificar a pessoa. Dado anonimizado, para a LGPD, é aquele que não permite identificar o titular com meios razoáveis.
- Sigilo profissional soma-se à LGPD. Os códigos de ética de medicina, odontologia, psicologia e advocacia já impõem sigilo. A LGPD não substitui essas regras; as duas valem ao mesmo tempo.
- Biometria. Reconhecimento facial para controle de acesso ou de ponto é dado sensível. A ANPD já suspendeu a coleta de íris de um projeto de identidade digital no Brasil, o que mostra que o tema está no radar.
Erro comum
Achar que "a IA não guarda nada". Algumas ferramentas guardam o histórico das conversas, outras usam os dados para melhorar o modelo, conforme o plano e a configuração. A empresa precisa saber exatamente qual é o caso da ferramenta que usa. Os detalhes de cada plano estão em é seguro colocar dados da empresa no ChatGPT.
O que a ANPD já fez e sinalizou sobre inteligência artificial
A ANPD ainda não publicou uma regra específica só para IA, mas já agiu e deixou claro onde vai olhar. Para uma empresa, isso ajuda a entender o que a autoridade considera importante.
| Quando | O que aconteceu | O que sinaliza |
|---|---|---|
| Julho de 2024 | Medida preventiva que suspendeu a política da Meta de usar dados publicados por brasileiros no Facebook e no Instagram para treinar IA, com multa diária de R$ 50 mil em caso de descumprimento | Usar dados de usuários para treinar IA exige base legal e transparência |
| Novembro de 2024 | Terceiro volume da série Radar Tecnológico, dedicado à IA generativa, analisando coleta de dados na web, conteúdo sintético e compartilhamento de dados | A autoridade estuda os riscos da IA generativa à luz da LGPD |
| Novembro de 2024 a maio de 2025 | Consulta pública (tomada de subsídios) sobre IA e decisões automatizadas para regulamentar o artigo 20 da LGPD, com resultado divulgado em maio de 2025 | Regras sobre decisões automatizadas estão a caminho |
| 2025 a 2026 | Sandbox regulatório de IA e proteção de dados, com foco em transparência algorítmica, projetos selecionados em outubro de 2025 e testes a partir de fevereiro de 2026 | Transparência sobre como a IA decide é o eixo central |
| Dezembro de 2025 | Mapa de temas prioritários de fiscalização para 2026 e 2027, com IA e tecnologias emergentes entre os eixos | A fiscalização de IA deixou de ser hipótese |
Há ainda o projeto de lei que cria um marco legal para a inteligência artificial, que pode dar à ANPD um papel de coordenação. Ele ainda não virou lei; o estágio está explicado em lei da IA no Brasil.
Como ler esses sinais
A autoridade está mais preocupada com três coisas: uso de dados para treinar IA sem base legal, falta de transparência sobre decisões automatizadas e tratamento de dados sensíveis e de crianças. Uma empresa de serviço que usa IA para atender, resumir e organizar dificilmente está no centro do alvo, mas precisa conseguir mostrar que fez as escolhas certas.
Decisões automatizadas: o artigo 20 da LGPD na prática
O artigo 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo decisões que definem perfil pessoal, profissional, de consumo e de crédito. O controlador também deve fornecer, quando solicitado, informações claras sobre os critérios usados, respeitados os segredos comercial e industrial.
- Quando o tema aparece numa empresa de serviço: uma IA que aprova ou recusa um pedido, define o preço de forma automática, decide quem é atendido primeiro ou descarta currículos sem revisão humana.
- Quando em geral não aparece: uma IA que sugere uma resposta que alguém da equipe revisa, ou um robô que agenda a consulta escolhida pelo próprio paciente.
Modelo: frase de transparência para o site
"Usamos ferramentas de inteligência artificial para organizar pedidos e agilizar o atendimento. Nenhuma decisão sobre o seu atendimento é tomada apenas de forma automática: um profissional da equipe revisa cada caso. Você pode pedir informações sobre esse processo pelo e-mail do encarregado de dados."
Erro comum
Colocar um filtro automático que descarta leads "fracos" sem que ninguém revise. Além do risco perante a LGPD, a empresa perde clientes por um critério que talvez nem saiba explicar.
LGPD no chatbot e no WhatsApp com IA
O atendimento automatizado é o uso de IA mais comum em empresas de serviço, e também o que mais coleta dados: nome, telefone, motivo do contato, às vezes sintomas ou detalhes de um processo. Fazer isso dentro da lei não é complicado, mas exige algumas decisões conscientes.
- Diga que é um atendimento automatizado. A transparência é princípio da LGPD, e o regulamento europeu de IA já exige, desde agosto de 2026, que as pessoas saibam quando estão falando com uma IA. No Brasil, é a melhor prática e tende a virar regra.
- Peça só o necessário. Para agendar, nome e telefone bastam. Detalhes clínicos ou jurídicos podem ficar para o atendimento humano.
- Tenha link para a política de privacidade na primeira mensagem ou no menu.
- Ofereça saída para o humano em qualquer momento da conversa.
- Defina por quanto tempo as conversas ficam guardadas e apague o que não precisa.
- Revise o contrato do fornecedor: onde os dados ficam, se são usados para treinar modelos, quem tem acesso, o que acontece se houver incidente.
Modelo: primeira mensagem do robô
"Olá! Este é o atendimento automatizado da Clínica Exemplo. Vou registrar seu nome e o melhor horário para que nossa equipe confirme a consulta. Se preferir falar com uma pessoa, digite 0. Como tratamos seus dados: link da política de privacidade."
Transferência internacional
Muitas ferramentas de IA processam dados fora do Brasil. A LGPD permite isso em situações específicas, e a ANPD publicou em 2024 o regulamento de transferência internacional, com cláusulas-padrão contratuais. Na prática, a empresa deve preferir fornecedores que ofereçam essas garantias em contrato e informar a transferência na política de privacidade.
IA no marketing e LGPD: leads, anúncios e segmentação
O marketing é a área em que a IA mais cresce dentro das empresas: classificar leads, escrever mensagens personalizadas, prever quem tem mais chance de fechar, segmentar anúncios. Todos esses usos podem ser feitos dentro da LGPD, desde que a empresa respeite a expectativa de quem deixou os dados.
| Uso | Em geral aceitável | Onde mora o risco |
|---|---|---|
| Resumir o pedido do lead e sugerir proposta | Sim, é o que o lead pediu | Colar dados em ferramenta sem contrato |
| Priorizar leads por urgência declarada | Sim, com revisão humana | Descarte automático sem revisão |
| Enviar conteúdo relacionado ao serviço pedido | Sim, com opção de sair | Mensagens em massa sem base legal |
| Cruzar dados do lead com bases compradas | Raramente | Origem duvidosa da base e falta de transparência |
| Inferir condição de saúde para segmentar anúncio | Não | Dado sensível inferido sem base legal |
Exemplo: clínica de dermatologia
Uma clínica usa IA para resumir as mensagens recebidas pelo formulário do site e encaminhar ao setor certo. Isso é razoável. Usar a mesma IA para deduzir, a partir das mensagens, quais pacientes "provavelmente têm acne" e montar públicos de anúncio com essa informação seria tratar dado de saúde inferido para publicidade, algo que a LGPD e as regras do conselho de medicina tornam muito arriscado.
Como medir se está tudo em ordem
Um bom termômetro é o número de pedidos de titulares (acesso, correção, exclusão) e o tempo de resposta. Se a empresa não sabe quantos recebeu nem quanto demorou para responder, o processo ainda não existe.
IA, LGPD e compliance: checklist para a empresa
A lista abaixo resume o que uma empresa de serviço pode fazer para usar IA dentro da LGPD. Nenhum item exige grande investimento; a maior parte é organização.
| Item | O que fazer | Prioridade |
|---|---|---|
| Inventário de usos de IA | Listar ferramentas, quem usa, para quê e com quais dados | Alta |
| Política interna de uso de IA | Definir o que pode e o que nunca pode ser colado em ferramentas de IA | Alta |
| Ferramentas contratadas | Preferir planos empresariais com contrato e sem uso dos dados para treinamento | Alta |
| Base legal por uso | Registrar a base de cada uso que envolve dados pessoais | Alta |
| Política de privacidade | Informar o uso de IA, transferências e direitos do titular | Média |
| Revisão humana | Garantir que decisões importantes passem por uma pessoa | Média |
| Encarregado de dados | Ter um canal ativo para pedidos de titulares | Média |
| Relatório de impacto | Fazer para usos de alto risco, como dados de saúde em escala | Conforme o caso |
| Treinamento da equipe | Explicar a política com exemplos do dia a dia | Contínua |
Modelo: três regras para a política interna
- Nunca cole em ferramentas de IA dados que identifiquem clientes, pacientes ou funcionários, a menos que a ferramenta seja a contratada pela empresa para isso.
- Todo texto gerado por IA que vá para um cliente passa pela revisão de uma pessoa.
- Dúvidas sobre o uso de dados vão para o encarregado antes de virar prática.
Quanto custa não fazer
A LGPD prevê advertência, publicização da infração, bloqueio ou eliminação de dados e multa de até 2% do faturamento, limitada a R$ 50 milhões por infração. Para a maioria das empresas de serviço, porém, o custo mais provável é outro: perder a confiança de um cliente que descobre que seus dados foram parar numa ferramenta sem cuidado.
LGPD e IA por setor: saúde, direito, contabilidade e educação
O tamanho do cuidado depende do tipo de dado que a empresa trata. Alguns setores lidam com informações sensíveis ou com dados de crianças e precisam de regras mais firmes.
- Clínicas, consultórios e psicólogos: dados de saúde são sensíveis e cobertos por sigilo profissional. IA só em ferramentas contratadas, com dados minimizados, e nunca com prontuário em chat de uso geral.
- Escritórios de advocacia: além da LGPD, o sigilo profissional. Peças e relatos de clientes não devem ir para ferramentas sem contrato e sem garantia de confidencialidade.
- Escritórios de contabilidade: dados financeiros e fiscais de clientes, CPF e folha de pagamento de funcionários. Planilhas inteiras coladas em IA são o erro mais comum.
- Escolas: dados de crianças e adolescentes exigem tratamento no melhor interesse do menor (artigo 14 da LGPD). Fotos e informações de alunos não devem alimentar ferramentas de IA sem análise cuidadosa.
- Construtoras, engenharia e logística: dados de clientes e de funcionários (inclusive de saúde ocupacional) e, cada vez mais, imagens de câmeras e rastreamento.
Como medir
Revisar o inventário de IA a cada seis meses e conferir se algum uso novo apareceu sem passar pela política. Em empresas pequenas, uma conversa trimestral de 30 minutos com a equipe já revela a maior parte dos usos "escondidos".
Perguntas sobre LGPD e IA
A LGPD se aplica ao uso de ChatGPT na empresa
Sim. Sempre que dados pessoais de clientes, pacientes ou funcionários são colocados numa ferramenta de IA, há tratamento de dados e a LGPD vale.
Existe uma lei específica de IA no Brasil
Ainda não. O marco legal da IA foi aprovado no Senado em dezembro de 2024 e segue em análise na Câmara. Até lá, a LGPD é a principal regra para dados pessoais em sistemas de IA.
Posso usar legítimo interesse para usar IA com dados de clientes
Pode, em usos que o cliente razoavelmente esperaria, com avaliação documentada e salvaguardas. O legítimo interesse não vale para dados sensíveis, como os de saúde.
Clínica pode usar IA para transcrever consultas
Pode, com ferramenta contratada para uso profissional, base legal adequada, segurança reforçada e respeito ao sigilo médico. Ferramentas de uso geral não são indicadas para isso.
Preciso avisar que o atendimento no WhatsApp é feito por IA
É a prática recomendada pela transparência da LGPD e tende a se tornar obrigatória. Avisar também evita frustração e reclamações.
O que é decisão automatizada na LGPD
É a decisão tomada unicamente por sistema, sem revisão humana, que afeta os interesses da pessoa. O titular pode pedir revisão e informações sobre os critérios usados.
A ANPD já puniu alguém por uso de IA
Em julho de 2024 a ANPD suspendeu, por medida preventiva, a política da Meta de usar dados de brasileiros para treinar IA. A IA está entre os temas prioritários de fiscalização para 2026 e 2027.
Qual o primeiro passo para adequar o uso de IA à LGPD
Fazer o inventário: listar quais ferramentas de IA a equipe usa, para quê e com quais dados. A partir dele se definem a política interna e as ferramentas aprovadas.
Resumo · LGPD e IA
- Regra geral: a LGPD vale para qualquer uso de IA com dados pessoais.
- Responsabilidade: a empresa que decide usar a IA responde pelos dados que coloca nela.
- Base legal: cada uso precisa de uma; legítimo interesse não vale para dados sensíveis.
- Dados de saúde: nunca em ferramentas de uso geral; só com contrato e dados minimizados.
- Decisão automatizada: decisões importantes com revisão humana e critérios explicáveis.
- Atendimento com IA: avisar que é robô, pedir o mínimo e oferecer saída para o humano.
- ANPD: IA é tema prioritário de fiscalização em 2026 e 2027.
- Checklist: inventário, política interna, ferramentas contratadas, política de privacidade.
- Setores sensíveis: saúde, direito, contabilidade e escolas pedem regras mais firmes.
Usar IA dentro da LGPD é, acima de tudo, uma questão de organização: saber o que se usa, com quais dados e para quê. O Grupo KOP aplica esses cuidados nos sites e atendimentos que cria, e o trabalho para a sua empresa aparecer nas respostas das IAs está em agência de GEO. O próximo passo da série é entender o estágio da lei da IA no Brasil.
