A MIT Technology Review Brasil publicou uma análise relevante: enquanto a maioria das empresas ainda usa IA para acelerar tarefas isoladas, as organizações mais avançadas estão transformando o marketing inteiro em um sistema operacional de decisões rápidas. Segmentação, personalização, alocação de verbas e disparo de campanhas passam a ser definidos por algoritmos, não por equipes humanas.
Esse salto operacional tem uma consequência direta que poucos founders estão avaliando com seriedade: quanto mais autônomo e centralizado o sistema de IA, maior o volume de dados pessoais processados, e maior a exposição regulatória sob a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
Este artigo explora o que essa transformação significa do ponto de vista jurídico e prático para startups de IA, diretores de marketing e tecnologia, e os profissionais que os assessoram.
Contexto jurídico e regulatório
O que a LGPD exige quando a IA assume o marketing
A LGPD não foi criada pensando em IA, mas ela se aplica integralmente a qualquer operação de tratamento de dados pessoais, incluindo aquelas conduzidas por algoritmos. O artigo 5º, inciso X, define "tratamento" de forma ampla: coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento e eliminação. Um sistema de IA de marketing faz tudo isso simultaneamente.
O ponto crítico está no artigo 20 da LGPD, que garante ao titular o direito de solicitar revisão humana de decisões tomadas exclusivamente por meios automatizados que afetem seus interesses. Quando a IA define quem recebe uma oferta de crédito, qual produto é exibido primeiro ou qual usuário é excluído de uma campanha, a empresa precisa ter mecanismos para explicar e revisar essas decisões. Isso impõe uma obrigação técnica e jurídica simultânea.
A base legal para o tratamento de dados em contexto de marketing digital é outro ponto sensível. O consentimento (art. 7º, inciso I) é a opção mais comum, mas a ANPD, em seu Guia Orientativo sobre Bases Legais, já sinalizou que consentimento obtido de forma genérica em termos de uso extensos pode ser considerado inválido. O legítimo interesse (art. 7º, inciso IX) é uma alternativa, mas exige documentação de um teste de balanceamento formal, demonstrando que o interesse do controlador não viola direitos fundamentais do titular.
Para sistemas de IA que processam dados em larga escala ou que utilizam dados sensíveis, como saúde, localização precisa ou comportamento financeiro, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) pode se tornar obrigatório por determinação da ANPD, conforme o artigo 38 da lei. A Resolução CD/ANPD nº 2/2022 já estabelece o regime simplificado para agentes de pequeno porte, mas startups em crescimento rápido frequentemente saem desse regime sem perceber.
Impacto prático
Para CTOs e founders que estão construindo ou adquirindo sistemas de IA para marketing, o primeiro impacto prático é a necessidade de um mapeamento de dados (data mapping) atualizado. Sem saber exatamente quais dados pessoais entram no modelo, onde são armazenados, por quanto tempo e com quem são compartilhados, a empresa não consegue nem iniciar uma defesa regulatória consistente. Ferramentas como OneTrust, Privacidade.com.br ou planilhas estruturadas internas são o ponto de partida mínimo.
O segundo impacto é contratual. Quando a startup usa plataformas de terceiros como CRMs, DSPs ou ferramentas de automação integradas à IA, ela está compartilhando dados pessoais com operadores. O artigo 37 da LGPD exige que o controlador mantenha registro das atividades de tratamento, e o artigo 26 exige cláusulas contratuais específicas com operadores. Contratos de SaaS genéricos, muitas vezes em inglês, raramente atendem a esses requisitos sem aditivos.
Do ponto de vista contábil, as empresas precisam considerar o custo de conformidade como investimento recorrente, não como projeto pontual. Isso inclui DPO (Encarregado de Proteção de Dados), que pode ser interno ou terceirizado; auditorias periódicas de sistemas de IA; e provisionamento contábil para passivos regulatórios. Uma sanção da ANPD de 2% do faturamento bruto do último exercício pode representar um valor significativo para uma startup em fase de crescimento, e precisa estar no radar do CFO e dos investidores.
Considerações finais
A transformação do marketing em sistema operacional de IA é inevitável para empresas que querem competir. O que não é opcional é tratar a conformidade com a LGPD como parte da arquitetura do sistema, não como uma camada adicionada depois. Privacy by design, previsto no artigo 46 da LGPD, deixou de ser recomendação técnica para se tornar critério de avaliação regulatória.
Founders, CTOs e os advogados e contadores que os assessoram precisam atuar de forma integrada. A pergunta não é mais "o jurídico aprovou?", mas sim "o sistema foi construído para ser auditável, explicável e reversível desde o início?" Quem responder essa pergunta cedo ganha vantagem competitiva. Quem responder depois de uma notificação da ANPD paga muito mais, em dinheiro e em reputação.