IA e LGPD: como usar IA sem violar dados pessoais

O que a LGPD diz sobre IA e dados pessoais

LGPD art. 7º diz que você precisa de base legal para processar dado pessoal. As 3 bases mais práticas são: (1) consentimento do titular (cliente autoriza explicitamente), (2) contrato (você usa IA para cumprir contrato com cliente), (3) interesse legítimo (bem documentado e comunicado).

LGPD art. 9º diz que dado sensível (saúde, financeiro, biometria) é ainda mais protegido. Você precisa de consentimento explícito (não vale interesse legítimo).

LGPD art. 32 diz que você deve proteger dado com criptografia e medidas de segurança. Se você coloca CPF de cliente em ChatGPT free (que treina em seus prompts), você violou art. 32 (dado exposto sem proteção adequada).

Resolução ANPD sobre IA (2024) recomenda: usar IA responsável, documentar decisões de IA, auditar outputs de IA antes de publicar.

Quando é SEGURO colocar dados em IA generativa

SEGURO: Dados anonimizados (você tirou CPF, email, qualquer identificador). Exemplo: "Cliente quer mudar de fornecedor, argumentos são X, Y, Z — como respondo?" (nenhum dado pessoal). "Resuma esse contrato de venda de equipamento" (nenhuma informação de cliente específico).

NÃO SEGURO: Dados com identificador. Exemplo: "Meu cliente João Silva (CPF 123.456.789-00) quer desconto — o que ofereço?" (você expôs CPF + nome). "Email do cliente é [email protected] — como faço campanha?" (você expôs email).

Regra simples: antes de colocar em IA, pergunte "esse dado precisa estar pessoalmente identificável?". Se não, tire identificador. Se sim, não coloque em IA free.

DPA (Data Processing Agreement): quando você precisa?

DPA é contrato entre você (controlador de dados) e fornecedor de IA (processador de dados). Ele diz: você (OpenAI, Anthropic) não vai treinar em meus dados, não vai compartilhar, vai deletar depois de 30 dias, etc.

Para PME pequena: não é obrigatório (informalmente, você pode usar IA com cuidado). Para PME pequena-média: recomendado em escrito. Para média: obrigatório (ANPD espera em auditorias).

Fornecedores principais: OpenAI oferece Business plan (DPA incluso, não treina em seus dados). Anthropic não treina em dados de usuários (política padrão). Google Workspace com IA (depende do plano).

Se você usa ChatGPT free ou Plus, seu dados podem ser usados para treinar (ler ToS). Business plan não.

Anonimização vs Pseudonimização: qual é melhor?

Anonimização real: Você remove todos os identificadores de forma irreversível. Exemplo: "123 clientes compraram produto X" (você não sabe quem são). Dessa forma, LGPD não se aplica (não é mais dado pessoal). IA pode processar sem restrição.

Pseudonimização: Você substitui identificador por código (João ? Cliente001). Mas código pode ser revertido (você tem tabela: Cliente001 = João). LGPD se aplica ainda (é reversível). IA não pode processar sem DPA.

Na prática: anonimização real é rara (você precisa de código para depois rastrear resultado). Pseudonimização é comum (você coloca "Cliente X" em vez de "João", mas lembr que ainda é protegido).

Enterprise SaaS de IA sem treinamento em seus dados

OpenAI Business plan (US$ acima de certo threshold): Não treina em seus prompts. Dados são deletados após 30 dias. Ideal se você processa dados de cliente.

Anthropic (Claude): Política padrão: não treina em dados de usuários (nem free, nem pago). Ideal se você quer garantia.

Microsoft Copilot (depende do plano): Enterprise plans não treinam em seus dados. Planos pessoais/básicos podem.

Se você usa IA free (ChatGPT free, Google Gemini free), sua dados podem ser usados para treinar. Leia ToS antes de colocar algo sensível.

Política interna: template de dados permitidos e proibidos em IA

Crie documento interno simples: "Dados Permitidos em IA" e "Dados Proibidos".

PERMITIDO: Documentos internos sem informação de cliente (processo, template, ideia), feedback genérico ("como melhorar campanha de email?"), análise sem dado pessoal.

PROIBIDO: CPF, email, telefone, endereço, informação bancária, dado de saúde, qualquer coisa que identifique cliente. Se você tem dúvida, não coloque.

Treinar equipe em 1 reunião (15 min) é suficiente. Depois, auditoria ocasional: você vê o que time está colocando em IA (checar logs se plataforma tem).