LGPD e IA: usar sem expor os dados da empresa

Como usar inteligência artificial na empresa sem violar a LGPD nem expor dados sensíveis: classificação, contratos, política de uso e checklist prático.

Eric Grassi·01 de setembro de 2026

Existe uma conversa que quase toda diretoria já teve e quase nenhuma resolveu: a equipe está usando IA, ninguém sabe exatamente com quais dados, e a resposta oficial oscila entre proibir tudo e fingir que não vê. Nenhuma das duas funciona. Proibir empurra o uso para a sombra, e ignorar cria exposição real diante de uma autoridade que colocou o tema como prioridade de fiscalização. Este texto mostra o caminho do meio, que é o único que funciona: uso controlado com regra escrita.

O que a LGPD exige quando há IA no meio

A Lei Geral de Proteção de Dados não tem um capítulo de inteligência artificial. Ela não precisa ter: se o sistema processa dado pessoal, a lei se aplica integralmente, independentemente de a tecnologia se chamar planilha ou modelo de linguagem.

Na prática, isso significa quatro obrigações que não mudam:

Base legal para tratar aquele dado.
Finalidade específica e informada, não "para melhorar processos".
Minimização: só o dado necessário para aquela finalidade.
Segurança compatível com o risco.

Some-se a isso o artigo 20, que garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado, e a Resolução CD/ANPD nº 14/2025, que exige explicação clara, acessível e não técnica sobre os critérios usados nessas decisões.

Em dezembro de 2025, a ANPD publicou seu Mapa de Temas Prioritários para 2026 e 2027, colocando inteligência artificial como um dos quatro eixos centrais de fiscalização do período.

A pergunta que a autoridade faz não é "vocês usam IA?". É "vocês sabem qual dado entrou, para quê, e conseguem explicar como o sistema decidiu?".

O risco maior não é o que você contratou

Na maioria das empresas, o problema não está na ferramenta corporativa aprovada pela diretoria. Está no uso paralelo: a conta pessoal de um aplicativo gratuito onde alguém cola um contrato para "resumir rápido", a extensão de navegador instalada sem avaliação, o assistente que alguém conectou ao e-mail da empresa.

Esse fenômeno tem nome e já tratamos dele em Shadow AI é um risco real. O ponto central: ninguém faz isso por má-fé. Fazem porque a ferramenta ajuda e não existe alternativa aprovada nem regra clara.

O framework de três camadas

A forma prática de resolver não é jurídica, é de classificação. Divida a informação da empresa em três faixas e defina uma regra para cada uma.

Camada	Exemplos	Regra
Verde: pode	Texto público, material de marketing, conteúdo já divulgado, exercício sem dado real	Uso livre em ferramenta aprovada
Amarela: com cuidado	Documento interno sem dado pessoal, processo, política, dado agregado	Só em ferramenta corporativa com contrato adequado
Vermelha: não entra	Dado pessoal de cliente ou funcionário, dado de saúde, informação sob sigilo contratual, credencial, dado financeiro identificável	Não entra em ferramenta externa. Se precisar, exige avaliação específica e infraestrutura controlada

Essa tabela cabe em uma página, é entendida em cinco minutos e resolve 90% das dúvidas do dia a dia. É incomparavelmente mais eficaz que um manual de trinta páginas que ninguém lê.

O que verificar no contrato da ferramenta

Antes de aprovar qualquer ferramenta de IA para uso corporativo, três perguntas objetivas:

O dado enviado é usado para treinar modelos? Em planos gratuitos e de consumidor, frequentemente sim. Em planos corporativos, normalmente não, mas isso precisa estar escrito.

Onde o dado é processado e por quanto tempo fica retido? Importa para transferência internacional e para responder a um pedido de exclusão.

Existe controle de acesso e registro? Saber quem usou o quê é requisito de governança, não luxo.

Para dados que não podem sair em nenhuma hipótese, a alternativa é processar em infraestrutura controlada, com modelos que rodam dentro do ambiente da empresa. Deixou de ser exótico com a disponibilidade de modelos abertos de alta capacidade, mas continua exigindo estrutura e não deve ser o ponto de partida da maioria das empresas.

A política de uso que funciona

Uma página, escrita em linguagem de gente, com cinco blocos:

Quais ferramentas são aprovadas e como pedir acesso.
A tabela das três camadas de informação.
O que sempre exige revisão humana antes de sair da empresa.
O que nunca é decidido só pela IA, especialmente o que afeta direito de pessoa.
Para quem perguntar quando houver dúvida.

Política longa demais produz o pior resultado possível: ninguém lê, ninguém segue, e a empresa tem o documento para se defender sem ter a prática para se proteger.

Checklist de conformidade em IA

Use como autodiagnóstico. Cada "não" é uma frente de trabalho.

Existe uma lista do que usa IA na empresa hoje, incluindo o que foi contratado por área?
Para cada uso, sabemos se entra dado pessoal?
Existe base legal definida para os usos que envolvem dado pessoal?
Existe alguma decisão automatizada que afeta pessoas sem revisão humana?
Se afetada, uma pessoa consegue receber explicação clara de como a decisão foi tomada?
As ferramentas aprovadas têm contrato que impede uso dos dados para treinamento?
Existe política de uso escrita e comunicada?
Existe alguém nomeado como responsável pelo tema?
Há registro do que as automações fazem?

As quatro últimas perguntas se sobrepõem ao que chamamos de governança de IA, e não por acaso: conformidade e governança são o mesmo trabalho visto de dois ângulos.

Os primeiros 30 dias

Se a lista acima produziu muitos "não", este é o roteiro para sair do lugar sem parar a operação.

Semana 1: enxergar

Levante o que existe. A forma mais eficaz não é auditoria formal, é uma pergunta aberta e sem punição: "que ferramentas de IA você usa hoje para trabalhar?". Feita sem ameaça, ela devolve um retrato surpreendentemente honesto. Feita com tom de fiscalização, devolve silêncio e o problema continua invisível.

Semana 2: classificar

Monte a tabela das três camadas com exemplos reais da sua empresa, não genéricos. "Contrato de cliente" comunica mais que "documento confidencial". Valide com quem lida com esses documentos todo dia.

Semana 3: decidir e contratar

Escolha uma ou duas ferramentas aprovadas, com plano corporativo e contrato adequado, e libere o acesso. Este passo é o que converte proibição em política funcional. Sem alternativa aprovada, a regra é ignorada em duas semanas.

Semana 4: comunicar

Publique a política de uma página, faça uma conversa de trinta minutos com cada área e nomeie o responsável pelo tema. Comunicação por e-mail sozinha não muda comportamento.

Ao fim de um mês você não estará em conformidade plena, e tudo bem. Estará com visibilidade, regra escrita e alternativa aprovada, que é infinitamente melhor que a situação inicial e é o que qualquer auditoria espera ver como ponto de partida.

Os três erros que anulam o trabalho

Proibir sem oferecer alternativa. Produz uso clandestino, que é exatamente o cenário de maior exposição, porque agora ninguém registra nada.

Escrever política longa demais. Documento de trinta páginas cumpre função jurídica e falha na função prática. Ninguém consulta, ninguém segue.

Tratar como projeto de TI. Quem decide o que é confidencial é quem conhece o negócio, não quem administra o sistema. A TI implementa a decisão; ela não deveria tomá-la sozinha.

Conformidade em IA não se resolve com ferramenta. Resolve-se com uma tabela de uma página que todo mundo entende e um responsável com nome.

Perguntas frequentes

Posso usar ChatGPT ou Claude com dados da minha empresa?

Depende do plano e do tipo de dado. Planos corporativos costumam ter cláusula de não uso dos dados para treinamento, o que viabiliza documentos internos. Dado pessoal sensível exige análise específica de base legal, finalidade e segurança, e nunca deveria trafegar por conta pessoal gratuita.

A LGPD proíbe o uso de inteligência artificial?

Não. A LGPD regula o tratamento de dado pessoal, independentemente da tecnologia. IA é permitida desde que haja base legal, finalidade específica, minimização e segurança adequada.

O que é uma decisão automatizada segundo a LGPD?

É a decisão tomada unicamente com base em tratamento automatizado que afeta os interesses do titular, como triagem de currículo, análise de crédito ou definição de perfil. O artigo 20 garante o direito de solicitar revisão, e a Resolução CD/ANPD nº 14/2025 exige explicação clara e não técnica dos critérios.

Minha empresa é pequena, isso vale para mim?

Vale. A LGPD não isenta empresas por porte. O que muda é a proporcionalidade das medidas exigidas, não a obrigação de cumprir a lei.

Conclusão

Usar IA sem expor dados não é uma questão de coragem nem de proibição. É uma questão de classificação: saber qual informação pode ir para onde, escrever isso em uma página e escolher ferramentas cujo contrato sustente a escolha.

Empresa que faz esse trabalho consegue acelerar o uso de IA com tranquilidade. Empresa que não faz vive alternando entre paralisia e risco, e paga os dois preços. Se a dúvida é como estruturar isso sem travar o que já funciona, é exatamente o tipo de conversa que começa por um diagnóstico.

Fontes

Aplicar

Quer aplicar isso no seu negócio?

Uma conversa gratuita pra entender o seu contexto e decidir, juntos, se faz sentido seguir.

Agendar diagnóstico

Continuar lendo · Gestão

Ver todos os artigos de Gestão