Privacidade e consentimento no uso de IA com dados de pessoas

O quadro legal: LGPD, GDPR e regulação emergente de IA

Brasil possui Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) desde 2020, obrigatória para toda organização que coleta, processa ou armazena dados de pessoas localizadas no Brasil. LGPD estabelece que pessoa tem direito fundamental à privacidade, e qualquer processamento de dado pessoal exige base legal clara — das quais consentimento é uma, mas não a única.

A LGPD define dados pessoais como "informação relacionada a pessoa natural identificada ou identificável". Dados sensíveis (origem racial, etnia, convicção religiosa, posicionamento político, filiação sindical, dados de saúde, dado biométrico) têm proteção reforçada e, em geral, não podem ser processados sem consentimento explícito. Dados de performance, histórico de trabalho, salário são pessoais mas não necessariamente sensíveis — ainda assim, quando processados em IA para tomar decisão sobre pessoa, exigem cuidados.

Na Europa, GDPR (General Data Protection Regulation) é mais rígido ainda e se aplica a empresa brasileira se trata dados de pessoa localizada na EU. AI Act europeu (regulação emergente específica de IA) adiciona requerimento de transparência e explicabilidade quando IA é usada em decisão que afete pessoa — pessoa deve saber que IA foi usada e ter direito à explicação.

Estados Unidos não tem lei federal única, mas múltiplas regulações estaduais emergem (California, Colorado) e setor tem regulação própria (financeiro, saúde). Executive Order do governo US (2023) estabelece direcionamentos para uso responsável de IA em contexto de trabalho, inclusive transparência.

No Brasil, propostas de regulação específica de IA estão em discussão no Congresso. Enquanto não viram lei, LGPD é marco legal aplicável. Recomendação: estude LGPD com profundidade se operar em Brasil, estude GDPR se operar em EU, e adote práticas mais rigorosas quando em dúvida — porque regulação está evoluindo e práticas hoje defensáveis amanhã podem ser questionadas.

Conceitos-chave: dados pessoais, sensíveis, identificáveis e anonimizados

Entender distinções é crítico porque cada categoria tem requerimentos legais diferentes. Dado pessoal é qualquer informação relacionada a pessoa identificada ou identificável. "João da Silva, 30 anos, área de RH" é dado pessoal — identifica pessoa específica. Mesmo sem nome, "pessoa que trabalha em RH, age 30, 15 anos de experiência em tech" pode ser identificável se há contexto suficiente. Dado pessoal está sob proteção de LGPD.

Dado sensível é subconjunto de dado pessoal que revela características que merecem proteção especial: origem racial, etnia, opção religiosa, posicionamento político, filiação sindical, dados genéticos, biométricos, ou relacionados a saúde. "João tem origem africana" é dado sensível. Lei é clara: dados sensíveis em geral NÃO podem ser processados sem consentimento explícito, mesmo que em contexto legítimo. Exceção rara: se necessário para cumprir obrigação legal (ex: empresa precisa coletar dados de deficiência para garantir adequações — isso pode ser processado mesmo sem consentimento, desde que para finalidade legítima).

Dado identificável significa que pessoa pode ser identificada direta ou indiretamente. Direto: nome, CPF, email. Indireto: combinação de informações que permite identificar. "Engenheiro de software, 10 anos de experiência, trabalha em startup em São Paulo, mulher" — em contexto pequeno, pode ser identificável mesmo sem nome. A lei protege pessoa identificável, não só pessoa identificada.

Dado anonimizado é aquele do qual se removem todos os elementos que permitiriam identificação, de forma irreversível. "Em nossa análise de turnover, 32% dos colaboradores saíram no ano" — é anônimo, porque não permite identificar quem. Dado anonimizado não é protegido por LGPD (não há pessoa específica para proteger). Anonimização real é difícil: re-identificação é frequentemente possível. Mais comum é pseudonimização: substituir identificador direto (nome) por código, mantendo capacidade de rastreamento. "Colaborador ID-12345 recebeu nota de performance X" é pseudonimizado — não identifica pessoa pelo nome, mas pode ser re-identificado se tiver chave de códigos.

Para IA em RH, a prática recomendada é: use dados anonimizados quando possível (análise agregada, previsão de tendência) e pseudonimizados quando precisa rastreamento (cada pessoa tem modelo de risco de saída). Avoid dados pessoais identificáveis em IA, a menos que necessário e com consentimento claro.

Consentimento: informado vs. coercitivo

Lei exige consentimento informado. Significa: pessoa foi comunicada sobre exatamente qual dado será usado, para qual finalidade específica, com qual tecnologia, quem terá acesso e por quanto tempo — tudo em linguagem compreensível, não jargão jurídico. Pessoa deve ser capaz de compreender e fazer escolha genuína.

Consentimento NÃO é: "ao assinar contrato de trabalho, você autoriza uso de dados em IA". Isso é tentativa de forçar consentimento como condição de emprego — é coercitivo, não é válido. Pessoa não pode ser forçada a consentir com processamento de seus dados sob ameaça de demissão. A lei é clara nisso. Se IA é usada em processo crítico (seleção, promoção, demissão), consentimento deve ser informado, separado do contrato de trabalho, fácil de negar sem repercussão.

Prática recomendada: enviar email ou formulário separado — "estamos implementando IA de análise de performance que usará seus dados de histórico para sugerir desenvolvimento. Você consente? Sim / Não". Se pessoa clica "Não", isso não afeta emprego — apenas significa ela não participa daquele programa específico de IA. (Nota: em alguns contextos, empresa pode ter razão legítima para usar dados mesmo sem consentimento, baseado em interesse legítimo ou obrigação legal, mas nesses casos transparência é ainda mais crítica.)

Minimização de dados: coleta apenas o necessário

Princípio fundamental de LGPD é "minimização": coleta apenas dados necessários para o propósito específico. Muitas empresas coletam dados amplos "só para ter" — é prática perigosa que aumenta risco de vazamento e não é defensável legalmente.

Exemplo: se IA tem propósito de "sugerir treinamento de liderança", quais dados são realmente necessários? Histórico de promoções, feedback de 360, habilidades atuais — talvez. Email pessoal? Endereço? Família? Filiação sindical? Não. Comece definindo: qual é exatamente o propósito, quais dados e mínimos são necessários para esse propósito, quais dados podem ficar de fora. Isso reduz risco e respeita privacidade.

Outra prática: retenção limitada. Não guarde dados indefinidamente. Se coleta historicamente de carreiras para modelo de recomendação, defina: "guardamos dados de carreira dos últimos 5 anos; após isso, deletamos dados de pessoa que saiu da empresa; dados agregados para tendência geral mantemos indefinidamente". Política clara de retenção é defensável e não é violação.

Segurança: proteção de dados contra vazamento

Consentimento informado é metade do trabalho. Outra metade é garantir que dados consentidos estejam protegidos. Violação de privacidade acontece quando dados vazam, são acessados por quem não deveria, ou são usados para propósito diferente do consentido.

Recomendações mínimas: (1) acesso restringido — apenas pessoas que realmente precisam para seu trabalho têm acesso a dados pessoais em IA; (2) criptografia — dados em trânsito (entre sistemas) e em repouso (em banco de dados) devem estar criptografados; (3) auditoria — log de quem acessou qual dado quando; (4) segurança do fornecedor — se usa plataforma de IA de terceiro, exija documentação de segurança (ISO 27001, SOC 2) e cláusula contratual que obriga proteção de dados.

Grande risco: dados saem de você para fornecedor de IA (ex: plataforma de seleção com IA). Responsabilidade é compartilhada. Você é responsável por garantir que consentimento foi coletado e dado legitimamente; fornecedor é responsável por proteger dados. Contrato precisa deixar claro quem faz o quê.