Privacidade de dados na era da IA: LGPD e GDPR na prática

*Sexto artigo da série sobre IA corporativa, integração com legado e governança da informação.*

Resumo executivo

Não existe "regime especial de IA" que dispense as regras de proteção de dados: LGPD e GDPR continuam valendo integralmente, e a IA apenas amplia a escala e a velocidade do tratamento. O que muda na prática é a dificuldade de responder às perguntas de sempre — qual a finalidade, qual a base legal, quais dados são realmente necessários e como o titular exerce seus direitos — quando o dado circula por índices, prompts, históricos e fornecedores em cadeia.

As quatro perguntas que sustentam qualquer caso de uso

1. 1.Finalidade. Para que exatamente este sistema trata dados pessoais? "Melhorar a experiência" não é finalidade; "sugerir resposta ao chamado de suporte com base no histórico do cliente" é.
2. 2.Base legal. Execução de contrato, obrigação legal, legítimo interesse ou consentimento — e a base escolhida precisa sustentar também o uso pela IA, não apenas a coleta original.
3. 3.Minimização. Qual o menor conjunto de dados que produz o mesmo resultado? Enviar o registro inteiro quando bastam três campos é exposição gratuita.
4. 4.Direitos do titular. Se alguém pedir acesso, correção ou exclusão, a empresa consegue localizar o dado em índices, logs de prompt e históricos de fornecedor?

Anonimização, pseudonimização e o meio-termo honesto

Anonimizar de verdade é irreversível — e frequentemente destrói a utilidade do dado. Pseudonimizar (trocar identificadores por códigos) mantém utilidade e reduz risco, mas o dado continua pessoal e sob a lei.

O padrão prático que funciona: mascarar identificadores diretos na borda, antes do envio ao modelo, mantendo a chave de reidentificação dentro do perímetro da empresa. Isso reduz o dado pessoal em trânsito sem fingir que o problema desapareceu.

Quando fazer avaliação de impacto

Um DPIA (relatório de impacto) deixa de ser opcional quando o caso de uso combina algum destes fatores:

Fornecedores: o que precisa estar em contrato

• Papel de cada parte (controlador e operador) e finalidade autorizada.
• Vedação expressa ao uso do conteúdo para treinamento.
• Lista de subprocessadores, com aviso prévio de alteração.
• Região de processamento e mecanismo de transferência internacional.
• Prazo de retenção, exportação completa e exclusão certificada no encerramento.
• Obrigação de notificação de incidente em prazo compatível com o da empresa.

O detalhamento operacional desse percurso está em Onde vai parar o que seus funcionários escrevem na IA.

Decisão automatizada exige explicação

Quando um sistema apoia ou toma decisão que afeta pessoas, o titular pode pedir revisão e explicação. Isso tem consequência de arquitetura: é preciso guardar o que entrou, o que saiu, qual versão do modelo respondeu e quem revisou. Sem esse registro, a empresa não consegue cumprir a obrigação — assunto do próximo artigo da série, sobre trilha de auditoria.

O que fazer na segunda-feira

• Monte um inventário de casos de uso de IA com finalidade e base legal declaradas para cada um.
• Classifique-os por risco e defina quais exigem avaliação de impacto antes de seguir.
• Revise os contratos de IA já ativos contra a lista de cláusulas acima.
• Teste, de ponta a ponta, como a empresa atenderia hoje a um pedido de exclusão que envolva dados usados por IA.

Conclusão

Privacidade não é o freio do projeto de IA; é o que torna o projeto defensável. Empresas que declaram finalidade, minimizam dado e mantêm rastro conseguem escalar casos de uso com velocidade — porque não precisam parar tudo cada vez que alguém pergunta se aquilo era permitido.

Leitura complementar

Trilha engenharia:

• Detecção e mascaramento de PII em pipelines de IA — detalhamento técnico deste tema.