IA e LGPD: como usar modelos de linguagem sem expor dados pessoais

Modelos de linguagem são ótimos para resumir, classificar e redigir. Para isso, recebem textos, e textos de trabalho costumam carregar nomes, CPFs, endereços, dados de saúde e informações financeiras. Cada prompt com esse conteúdo é uma operação de tratamento de dados pessoais nos termos da LGPD (Lei 13.709/2018).

A lei não proíbe usar IA. Ela exige que o uso tenha finalidade legítima, base legal, segurança e transparência, como qualquer outro tratamento. O desafio é aplicar esses princípios a uma tecnologia que envolve o dado de entrada, o fornecedor do modelo e a resposta gerada.

O risco é real e já foi medido

Pesquisas com profissionais de privacidade e segurança mostram que colar informações internas em ferramentas de IA é prática comum, e que a preocupação com isso não diminuiu.

Como a LGPD se aplica a cada etapa

Entrada: o que você envia ao modelo

Os princípios de finalidade e necessidade (art. 6º) pedem que só se trate o dado indispensável. Na prática: se a tarefa é resumir uma reclamação, o modelo não precisa do CPF nem do telefone de quem reclamou. Para dados sensíveis, como saúde, biometria ou origem racial, as hipóteses de tratamento são mais restritas (art. 11).

Processamento: quem é o fornecedor e onde ele está

Ao usar um modelo de terceiro, a organização continua controladora, e o fornecedor costuma atuar como operador, que deve seguir as instruções recebidas (art. 39). O contrato precisa dizer o que o fornecedor pode fazer com os dados, por quanto tempo os guarda e se os usa para treinar modelos. Se o processamento ocorrer fora do Brasil, há transferência internacional (arts. 33 a 36), regulamentada pela Resolução CD/ANPD nº 19/2024, que aprovou cláusulas-padrão contratuais.

Atenção aos planos: versões gratuitas ou de uso pessoal de assistentes de IA costumam ter termos diferentes das versões corporativas, inclusive quanto ao uso do conteúdo para aprimorar os modelos. Antes de autorizar uma ferramenta, leia os termos do plano contratado e registre a avaliação.

Saída: o que o modelo devolve

A resposta pode conter dados pessoais, às vezes incorretos. O princípio da qualidade dos dados exige exatidão, e uma informação inventada sobre uma pessoa pode causar dano real. Revise antes de usar e não trate a saída do modelo como fonte de verdade.

Decisões automatizadas

Quando o resultado da IA define algo sobre alguém, como crédito, benefício, seleção ou classificação de risco, o titular tem direito a pedir revisão de decisões tomadas unicamente com base em tratamento automatizado (art. 20) e a receber informações claras sobre os critérios usados.

No setor público, essa lógica se soma ao dever de motivação dos atos administrativos: a resposta do modelo pode subsidiar a análise, mas não substitui a fundamentação feita por quem decide.

Técnicas para reduzir a exposição

Nenhuma medida isolada resolve. A proteção vem da soma de camadas técnicas e contratuais.

Atenção ao limite da anonimização: se o dado puder ser reidentificado com esforço razoável, ele continua sendo pessoal. Textos livres são especialmente traiçoeiros, porque a combinação de cargo, cidade e data pode bastar para identificar alguém.

Documentação e governança

A conformidade precisa estar registrada. Três documentos fazem a diferença:

• Registro das operações (art. 37): cada uso de IA com dados pessoais deve constar no inventário, com finalidade, base legal, categorias de dados e fornecedores.
• Relatório de impacto à proteção de dados (art. 38): recomendado para usos de maior risco, como dados sensíveis, grande volume ou decisões sobre pessoas.
• Política de uso de IA: regras simples sobre o que pode ser inserido em cada ferramenta, ligadas à política de segurança da informação.

Se houver incidente envolvendo a ferramenta de IA, valem as regras de comunicação da Resolução CD/ANPD nº 15/2024. Eventuais sanções seguem a dosimetria da Resolução CD/ANPD nº 4/2023, e a própria LGPD (art. 52) considera, entre os critérios, a adoção de boas práticas e de mecanismos para minimizar danos.

Próximos passos

Mapeie onde a IA já trata dados pessoais na sua organização, inclusive em ferramentas que os colaboradores adotaram por conta própria. Priorize os usos com dados sensíveis ou em grande volume, revise contratos e implante o mascaramento onde for possível.

A Midnal atua desde 2013 com tecnologia, governança e educação para órgãos públicos, empresas e terceiro setor, e pode apoiar o mapeamento de tratamentos, a revisão de contratos e a capacitação das equipes em proteção de dados. Conheça a frente de governança, LGPD e compliance.