LGPD art. 20: revisão de decisões automatizadas por IA

O artigo 20 da LGPD dá ao titular o direito de pedir a revisão de decisões tomadas "unicamente com base em tratamento automatizado de dados pessoais" que afetem seus interesses — inclusive as que definem seu perfil pessoal, profissional, de consumo e de crédito. Se a sua empresa usa IA para triar currículos, aprovar crédito, precificar ou priorizar atendimento, esse artigo já vale hoje, sem esperar nenhuma lei nova de inteligência artificial. Este guia é para diretoria, jurídico, compliance e encarregado (DPO): o que o texto diz, o que a ANPD já sinalizou sobre a regulamentação, o que ainda está em aberto e como montar, antes da norma final, um processo de revisão que resista a uma reclamação de titular ou a uma fiscalização.

O que diz o art. 20 da LGPD sobre decisões automatizadas

O texto tem três camadas, e cada uma vira uma obrigação operacional:

1. Direito de revisão (caput). O titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. O texto cita expressamente decisões que definem perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade.
2. Dever de informar (§ 1º). O controlador deve fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e os procedimentos usados na decisão automatizada, observados os segredos comercial e industrial.
3. Auditoria como consequência (§ 2º). Se o controlador negar a informação sob o argumento de segredo comercial ou industrial, a ANPD pode realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado.

Você pode conferir o texto integral na Lei nº 13.709/2018. Dois detalhes pesam mais do que parecem. Primeiro, o gatilho é a decisão unicamente automatizada: se um humano decide de fato com apoio de um score, a discussão muda — mas só se esse humano tiver autonomia real para divergir (veremos adiante). Segundo, o § 1º cria um dever de explicar critérios e procedimentos, não o código-fonte nem o modelo inteiro.

O art. 20 vale para IA generativa e para machine learning?

Vale para qualquer tratamento automatizado de dados pessoais que produza uma decisão sobre uma pessoa, seja regra fixa, modelo estatístico de crédito, algoritmo de recomendação ou sistema de IA. O texto da LGPD é neutro quanto à tecnologia. O que importa é o efeito: a decisão afeta interesses do titular (acesso a crédito, vaga, benefício, preço, atendimento)?

Isso inclui usos comuns em grandes empresas brasileiras:

• triagem e ranqueamento de candidatos em recrutamento;
• análise e limite de crédito com scoring;
• precificação e oferta personalizadas;
• detecção de fraude que bloqueia conta ou transação;
• priorização automática de atendimento e de cobrança;
• avaliação de desempenho e alocação de tarefas com apoio de IA, tema que aprofundamos em governança de IA nas relações de trabalho.

Um chatbot que responde dúvidas, sozinho, não configura decisão sobre o titular. O mesmo modelo, plugado a um fluxo que nega um reembolso sem intervenção humana, configura. A fronteira está no processo, não na ferramenta — por isso o inventário de sistemas é o primeiro passo (abaixo).

O que a ANPD já sinalizou: a tomada de subsídios sobre IA

A ANPD abriu, entre novembro de 2024 e janeiro de 2025, uma tomada de subsídios sobre inteligência artificial e tratamento de dados pessoais, com foco no direito à revisão de decisões automatizadas do art. 20. Segundo o resumo publicado pela Compliasset sobre a Nota Técnica nº 12/2025, foram recebidas 124 contribuições, das quais 56% vieram de agentes de tratamento de dados. O tema integra o item 7 da Agenda Regulatória 2025-2026 da Autoridade.

O que apareceu como convergência entre as contribuições:

• necessidade de salvaguardas, como anonimização, privacy by design e relatórios de impacto;
• transparência e acessibilidade das informações ao titular;
• canais efetivos para o exercício dos direitos;
• definição clara das finalidades do tratamento.

E onde houve divergência: a aplicação do princípio da necessidade, o caráter obrigatório de certas salvaguardas, as bases legais (consentimento e legítimo interesse) em contextos de IA e a operacionalização de eliminação e correção de dados em modelos já treinados. A Confidata e o Convergência Digital também acompanham o tema.

Ressalva importante: a nota técnica é análise preliminar, não posicionamento final da ANPD. Ela indica a direção, não fixa prazos nem formatos. Trate-a como sinal para dimensionar o esforço, não como norma.

Revisão precisa ser humana? O ponto em aberto

Esta é a pergunta que mais aparece em contribuições e em consultas de jurídico: a revisão do art. 20 tem de ser feita por uma pessoa? O texto hoje em vigor não exige expressamente revisão por pessoa natural — e a própria tomada de subsídios registrou a exigência ou não de revisão humana obrigatória para todas as decisões automatizadas como um dos pontos de dissenso.

Na prática, para o comitê de risco da sua empresa, a distinção entre "a lei exige" e "o regulador vai esperar" importa mais do que a leitura literal. Três motivos para desenhar a revisão com participação humana qualificada desde já:

• Credibilidade da revisão. Reprocessar o mesmo modelo com os mesmos dados e devolver o mesmo resultado dificilmente será visto como revisão real.
• Direção da discussão. O debate regulatório e a jurisprudência sobre responsabilidade por decisões de IA, que abordamos em responsabilidade civil por decisões de IA, caminham para valorizar supervisão humana significativa.
• Custo de errar. As sanções da LGPD incluem multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52), além de publicização da infração.

Uma ressalva de honestidade: isso é leitura de governança, não parecer jurídico. Para a interpretação vinculante do texto, envolva o jurídico e o encarregado.

Como montar o processo de revisão de decisões automatizadas, passo a passo

Um processo defensável tem sete peças. Nenhuma depende de a norma final sair.

1. Inventário de decisões automatizadas. Liste os sistemas que decidem ou recomendam algo sobre pessoas: quem é o dono, quais dados usa, se há humano no circuito, qual é o efeito para o titular. Sem isso não há como responder a um pedido em prazo razoável. O framework de governança de IA traz a estrutura de inventário e classificação por risco.
2. Classificação por impacto. Decisão que nega crédito, emprego ou benefício pede mais rigor do que uma recomendação de conteúdo. Priorize por impacto no titular.
3. Canal de solicitação. Um ponto de entrada claro (portal, e-mail do encarregado, canal de atendimento) e um protocolo. O canal precisa ser tão fácil quanto o canal de contratação.
4. Explicação padronizada. Modelos de resposta que descrevem, em linguagem simples, os critérios e procedimentos (o § 1º), sem expor o segredo comercial mas sem se esconder atrás dele. Se a resposta for "é segredo", o § 2º aponta a auditoria como consequência.
5. Revisor com autonomia. Quem revisa precisa ter acesso ao caso, tempo, competência e poder de reverter a decisão. Revisor que só carimba não é revisão.
6. Registro e evidência. Guarde o pedido, a decisão original, a revisão, quem revisou e o resultado. É a sua defesa, e é insumo para auditoria de IA interna.
7. Ciclo de aprendizado. Padrões de pedidos e de reversões indicam problemas no modelo, como viés ou dados ruins. Realimente a equipe técnica e o comitê de governança.

Se o volume de pedidos for baixo hoje, comece simples: uma planilha bem mantida e um fluxo com responsáveis nomeados vencem um sistema sofisticado que ninguém opera.

Erros comuns que fragilizam a defesa da empresa

• Tratar o humano no circuito como escudo. Se o operador aprova 99% das sugestões do sistema sem examinar, o regulador pode entender a decisão como automatizada de fato.
• Confundir explicabilidade técnica com resposta ao titular. Um gráfico SHAP não é uma explicação para uma pessoa que teve o crédito negado. A resposta precisa de linguagem acessível.
• Ignorar fornecedores. Se o sistema é de terceiro, a empresa segue como controladora da decisão. Cláusulas de acesso a critérios, logs e cooperação em revisões devem estar no contrato.
• Deixar a política de uso de IA silenciosa sobre decisões. A política de uso de IA na empresa deve dizer quais usos são proibidos sem revisão humana e quem responde por eles.
• Esperar a regulamentação. O direito existe desde a LGPD. O que falta é detalhar procedimento, não criar o direito.

Como isso conecta com a fiscalização de IA em 2026-2027

A ANPD definiu IA como um dos eixos do seu mapa de fiscalização. Nosso artigo sobre fiscalização de IA pela ANPD detalha o calendário. Para o art. 20, o que costuma ser pedido numa fiscalização é evidência: inventário, critérios documentados, canal funcionando, registros de revisões. Quem consegue mostrar essas quatro coisas está muito à frente. Também vale cruzar com o que já expusemos em LGPD e IA generativa, que cobre bases legais, dados sensíveis e RIPD.

Um caso prático de decisão automatizada sobre pessoas é o monitoramento de funcionários com IA e os limites da LGPD.

FAQ

O que é uma decisão automatizada na LGPD?

É uma decisão tomada unicamente com base em tratamento automatizado de dados pessoais, sem intervenção humana relevante, que afeta interesses do titular, como negar crédito ou descartar um candidato.

O titular tem direito a uma explicação sobre a decisão da IA?

O § 1º do art. 20 obriga o controlador a fornecer, quando solicitado, informações claras e adequadas sobre os critérios e procedimentos da decisão automatizada, respeitados os segredos comercial e industrial.

A revisão de decisão automatizada precisa ser feita por uma pessoa?

O texto em vigor não exige expressamente revisão por pessoa natural, e a ANPD registrou o tema como ponto de divergência na tomada de subsídios. Como boa prática de governança, prefira revisão com participação humana qualificada.

O que acontece se a empresa negar informações alegando segredo comercial?

Segundo o § 2º do art. 20, a ANPD pode realizar auditoria para verificar aspectos discriminatórios no tratamento automatizado.

A ANPD já regulamentou o art. 20?

Ainda não. A tomada de subsídios recebeu 124 contribuições e integra a Agenda Regulatória 2025-2026, mas a nota técnica é preliminar. O direito, porém, já está em vigor desde a LGPD.

Quem é responsável quando o sistema é de um fornecedor?

O controlador continua responsável perante o titular e a ANPD. Por isso o contrato com o fornecedor deve garantir acesso a critérios, logs e cooperação em pedidos de revisão.

Conclusão

O art. 20 é uma obrigação viva, com regulamentação ainda por vir. As empresas que vão chegar bem à norma final são as que já sabem quais decisões automatizam, conseguem explicar seus critérios em linguagem acessível e têm um revisor com autonomia real. Nada disso é tecnologia nova; é governança aplicada. Para entender onde a sua empresa está, o diagnóstico gratuito da Jetpacks mapeia em 30 a 45 minutos os usos de IA por área e o que precisa de revisão. Para conectar o tema ao restante do programa, comece pelo pilar do hub, o guia de governança de IA na prática.