LGPD e inteligência artificial: o que a lei pede.

Quando a LGPD entra

Sempre que a IA lida com dado pessoal: qualquer informação ligada a uma pessoa identificada ou identificável. Nome, telefone, e-mail, CPF, a imagem de alguém numa câmera, a localização de um motorista, a placa associada a um dono. Dados de empresas (CNPJ, razão social) em regra não são dados pessoais, salvo quando identificam uma pessoa (MEI, empresário individual); o nome e o telefone do contato da empresa são.

Os princípios que mais pesam

• Finalidade: usar o dado só para o que foi informado.
• Necessidade: só o mínimo para a tarefa. A IA que confere comprovantes não precisa do histórico médico de ninguém.
• Transparência: a pessoa sabe que o tratamento existe e como pedir informação.
• Segurança e prevenção: controle de acesso, registro, cópias, contrato com quem processa.

Base legal

Todo tratamento precisa de uma das bases do art. 7º, como cumprimento de contrato, obrigação legal ou legítimo interesse. Consentimento é só uma delas, e nem sempre a mais adequada. Dados sensíveis (saúde, biometria, origem racial, entre outros) têm regras mais estritas, no art. 11. Reconhecimento facial, por exemplo, trata dado biométrico.

Decisões automatizadas (art. 20)

Quando uma decisão que afeta os interesses de alguém é tomada unicamente com base em tratamento automatizado (aprovar ou negar crédito, classificar um candidato, definir um perfil), a pessoa tem direito de pedir a revisão e de receber informações claras sobre os critérios usados, respeitados os segredos comercial e industrial. Na prática: mantenha uma pessoa responsável na decisão e registre como o sistema chegou ao resultado.

Controlador e operador

A empresa que decide usar a IA com os dados dos seus clientes é a controladora. O fornecedor que processa os dados em nome dela é o operador e deve seguir as instruções do controlador (arts. 37 a 39). O contrato entre os dois precisa dizer o que pode ser feito com os dados, onde ficam, por quanto tempo e como são devolvidos ou apagados.

Transferência internacional

Usar um serviço de IA hospedado fora do Brasil com dados pessoais é transferência internacional (art. 33). Desde 23 de agosto de 2025, quem usa cláusulas contratuais como mecanismo precisa adotar as cláusulas-padrão aprovadas pela ANPD na Resolução CD/ANPD nº 19/2024. Em janeiro de 2026, a ANPD reconheceu a União Europeia como destino com proteção adequada (Resolução CD/ANPD nº 32/2026).

Incidentes e relatório de impacto

Um vazamento ou acesso indevido que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares; o regulamento da ANPD (Resolução CD/ANPD nº 15/2024) fixa o prazo de três dias úteis. Para tratamentos de alto risco, como os que envolvem dados sensíveis em larga escala, o relatório de impacto à proteção de dados (RIPD) organiza riscos e medidas.

E o marco legal da IA?

O PL 2.338/2023 propõe regras por nível de risco e um sistema de fiscalização coordenado pela ANPD. Foi aprovado pelo Senado em 10 de dezembro de 2024 e, em novembro de 2026, segue em análise na Câmara dos Deputados; se o texto mudar, volta ao Senado. Quem já organiza o uso de IA pela LGPD (finalidade, registro, responsável humano, avaliação de risco) estará bem adiantado quando a lei vier.

Fontes e atualizações

1. Lei nº 13.709/2018, Lei Geral de Proteção de Dados (LGPD), Planalto: www.planalto.gov.br
2. Agência Nacional de Proteção de Dados (ANPD): resoluções e guias: www.gov.br
3. ANPD: transferência internacional de dados (Resolução CD/ANPD nº 19/2024 e Resolução nº 32/2026): www.gov.br
4. PL nº 2.338/2023, marco legal da inteligência artificial: tramitação, Congresso Nacional: www.congressonacional.leg.br

Fontes consultadas em 7 de novembro de 2026. Atualizações: 7 de novembro de 2026, primeira versão. Texto da equipe Kuca | Tech; não substitui parecer jurídico, contábil ou técnico para o seu caso.