A inteligência artificial opera, na maioria dos casos, com dados. Dados de clientes, dados de comportamento, dados de saúde, dados financeiros. Quando esses dados identificam ou podem identificar uma pessoa natural, a LGPD entra em cena, independentemente de o tratamento ser feito por um humano ou por um algoritmo.
Essa é uma distinção que ainda causa confusão no mercado. Muitos founders e CTOs entendem a LGPD como uma lei para formulários de cadastro e e-mails de marketing. Na prática, ela regula qualquer operação de tratamento de dados pessoais, o que inclui treinamento de modelos, inferência, personalização de produtos e tomada de decisão automatizada.
Este artigo explica como a LGPD se aplica a sistemas de IA, quais são as obrigações concretas das empresas e onde estão os maiores riscos regulatórios para quem desenvolve ou usa inteligência artificial no Brasil.
Contexto jurídico e regulatório
O que a LGPD diz sobre IA
A LGPD (Lei nº 13.709/2018) não menciona inteligência artificial de forma explícita. Mas seu artigo 20 trata diretamente de decisões automatizadas: o titular de dados tem direito a solicitar revisão humana de decisões tomadas exclusivamente por meios automatizados que afetem seus interesses, como avaliação de crédito, seleção em processos seletivos ou análise de perfil de consumo.
Esse dispositivo é central para qualquer empresa que usa IA para tomar ou influenciar decisões sobre pessoas. A empresa precisa ser capaz de explicar os critérios utilizados pelo modelo e, quando solicitado, oferecer revisão humana. Isso exige documentação técnica do sistema, algo que muitos times de engenharia ainda não produzem de forma sistemática.
Além do artigo 20, as bases legais do artigo 7º precisam ser observadas em cada etapa do ciclo de vida do dado. Treinar um modelo com dados de clientes exige uma base legal válida, como consentimento, legítimo interesse ou execução de contrato. Usar esses dados para finalidades diferentes das originalmente informadas ao titular configura desvio de finalidade, proibido pelo artigo 6º, inciso I.
A Autoridade Nacional de Proteção de Dados (ANPD), criada pelo Decreto nº 8.771/2016 e estruturada pela Lei nº 13.853/2019, já sinalizou em seu Plano Estratégico 2023-2026 que a regulação de IA é uma prioridade. A autarquia tem competência para fiscalizar, aplicar sanções e editar normas complementares, o que inclui futuros regulamentos específicos para sistemas automatizados de decisão.
Impacto prático
Para uma startup de IA, a conformidade com a LGPD começa na fase de design do produto, não depois do lançamento. O princípio da privacidade desde a concepção (privacy by design), previsto no artigo 46, parágrafo 2º, obriga as empresas a adotar medidas técnicas e administrativas antes de iniciar o tratamento de dados. Isso significa mapear quais dados o modelo vai consumir, com qual finalidade e com qual base legal, antes de escrever a primeira linha de código do pipeline de dados.
Na prática operacional, três pontos concentram os maiores riscos: (1) uso de dados pessoais para treinar modelos sem base legal adequada, especialmente quando os dados foram coletados por terceiros; (2) ausência de mecanismo de revisão humana para decisões automatizadas que afetam os titulares; e (3) falta de registro das operações de tratamento, exigido pelo artigo 37 para controladores e operadores. A multa por infração pode chegar a 2% do faturamento do grupo no Brasil no último exercício, limitada a R$ 50 milhões por infração, conforme o artigo 52.
Para CTOs e times de engenharia, a implicação é concreta: é necessário implementar um sistema de gestão de dados que registre quais datasets foram usados no treinamento, qual a origem de cada dado, qual a base legal aplicável e por quanto tempo os dados serão retidos. Ferramentas de MLOps que incluem rastreabilidade de dados (data lineage) não são apenas boas práticas de engenharia, são requisitos regulatórios.
Considerações finais
A LGPD não é um obstáculo ao desenvolvimento de IA no Brasil. É um conjunto de regras que, quando incorporadas desde o início do produto, geram vantagem competitiva real: redução de risco regulatório, maior confiança de clientes corporativos (especialmente no mercado B2B, onde compliance é critério de fornecedor) e melhor posicionamento para expansão internacional, já que as exigências da LGPD são compatíveis com o GDPR europeu.
Founders e gestores que tratam conformidade como etapa do roadmap, e não como custo burocrático, constroem produtos mais resilientes e empresas com menor exposição a sanções que podem comprometer rodadas de investimento e contratos estratégicos. O momento de agir é na concepção do produto, não na véspera de uma fiscalização.