Toda empresa que desenvolve ou opera sistemas de inteligência artificial no Brasil, e que processa dados de pessoas físicas, está sujeita à Lei Geral de Proteção de Dados Pessoais (Lei n° 13.709/2018). Isso inclui modelos de linguagem, sistemas de recomendação, ferramentas de análise preditiva, reconhecimento facial, triagem de crédito e qualquer outra aplicação que use dados de pessoas identificadas ou identificáveis.
A LGPD não foi criada especificamente para IA, mas seus princípios e obrigações se aplicam diretamente a como esses sistemas coletam, processam, armazenam e compartilham dados. A Autoridade Nacional de Proteção de Dados (ANPD) tem publicado orientações progressivas sobre o tema, sinalizando que a fiscalização vai se intensificar.
Este artigo explica o que a LGPD exige de sistemas de IA, quais são as obrigações práticas para founders, CTOs e gestores, e como estruturar a conformidade de forma funcional, sem paralisar o desenvolvimento do produto.
Contexto jurídico e regulatório
O que a LGPD exige de sistemas de IA
O artigo 5° da LGPD define dado pessoal como qualquer informação relacionada a pessoa natural identificada ou identificável. Na prática, isso inclui nomes, e-mails, endereços IP, comportamentos de navegação, vozes, imagens e padrões de comportamento usados para treinar ou alimentar modelos de IA.
Para que o tratamento seja lícito, a empresa precisa se enquadrar em uma das dez bases legais previstas no artigo 7°. As mais usadas em IA são: consentimento do titular, legítimo interesse do controlador e cumprimento de obrigação contratual. Cada base tem requisitos específicos. O consentimento, por exemplo, precisa ser livre, informado, inequívoco e revogável a qualquer momento (art. 8°).
O artigo 20 trata especificamente de decisões automatizadas. Ele garante ao titular o direito de solicitar revisão humana de decisões tomadas exclusivamente por sistemas automatizados que afetem seus interesses, como concessão de crédito, admissão em emprego ou classificação de risco. A empresa deve ser capaz de explicar os critérios e os procedimentos usados para tomar essas decisões, o que impõe requisitos técnicos diretos sobre a explicabilidade dos modelos.
Privacy by design e avaliação de impacto
O princípio da privacidade desde a concepção (privacy by design), previsto no artigo 46 da LGPD, exige que medidas técnicas e organizacionais de proteção de dados sejam incorporadas ao produto desde as fases de arquitetura e desenvolvimento. Não basta adicionar um aviso de privacidade depois que o sistema está no ar.
Para tratamentos de alto risco, a ANPD pode exigir a realização de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD), previsto no artigo 38. Sistemas de IA que processam dados sensíveis (saúde, biometria, origem racial, dados de crianças) ou que tomam decisões automatizadas com impacto significativo sobre titulares são candidatos naturais a esse requisito. A Resolução CD/ANPD n° 2/2022 estabelece critérios para identificar operações de alto risco.
O encarregado de dados (DPO) tem papel central nesse contexto. Empresas que tratam dados em larga escala ou de forma sistêmica devem designar formalmente esse profissional e publicar seus dados de contato, conforme o artigo 41. Em startups de IA com estrutura enxuta, é comum contratar um DPO externo, o que é admitido pela legislação.
Impacto prático
Para founders e CTOs, a conformidade com a LGPD afeta diretamente o ciclo de vida do produto. O mapeamento de dados (data mapping) precisa cobrir todas as etapas do pipeline: coleta, limpeza, rotulagem, treinamento, inferência e descarte. Cada etapa pode envolver um controlador ou operador diferente, com responsabilidades distintas.
Empresas que usam APIs de terceiros para treinamento ou inferência (como provedores de LLMs ou serviços de enriquecimento de dados) precisam formalizar contratos de operação de dados conforme o artigo 39 da LGPD. O controlador responde pelos atos do operador perante o titular e a ANPD. Isso significa que terceirizar o processamento não elimina a responsabilidade jurídica da empresa contratante.
As sanções previstas no artigo 52 incluem advertência, multa de até 2% da receita bruta no Brasil (limitada a R$ 50 milhões por infração), bloqueio ou eliminação dos dados e publicização da infração. Além do impacto financeiro, a publicidade negativa e a perda de confiança de clientes e investidores costumam ser os danos mais duradouros para empresas de tecnologia.
Considerações finais
A LGPD não é um obstáculo ao desenvolvimento de IA. É um conjunto de regras que, quando incorporado ao processo de engenharia desde o início, melhora a qualidade dos dados, reduz riscos técnicos e aumenta a confiança de clientes e parceiros. Empresas que tratam conformidade como requisito técnico, e não como tarefa jurídica de última hora, constroem produtos mais robustos e relações comerciais mais sólidas.
O ponto central para qualquer empresa de IA é este: se o sistema usa dados de pessoas físicas para qualquer finalidade, a LGPD se aplica. Mapear os dados, definir as bases legais, documentar as decisões e preparar os mecanismos de resposta ao titular são ações concretas que podem e devem ser implementadas em paralelo ao desenvolvimento do produto.