LGPD e IA generativa: guia de conformidade para empresas

LGPD e IA generativa se cruzam toda vez que um colaborador insere um dado pessoal — nome, CPF, e-mail, histórico de compra, currículo — em uma ferramenta como ChatGPT, Copilot ou Gemini: nesse instante, a empresa está tratando dado pessoal sob todas as regras da Lei Geral de Proteção de Dados, com ou sem saber disso. Não existe uma "LGPD da IA" separada — a lei de 2018 já se aplica integralmente a qualquer processamento de dado pessoal, generativo ou não. Este guia mostra o que muda na prática: os riscos jurídicos reais de usar IA generativa sem controle, as bases legais aplicáveis, o papel do encarregado de dados (DPO), o que exigir de fornecedores em contrato e por que treinar as equipes é a camada de compliance que a maioria das empresas brasileiras ainda não instalou.

O que a LGPD exige quando IA generativa processa dados pessoais

A LGPD não fala em "inteligência artificial" — fala em tratamento de dados pessoais, e qualquer sistema de IA que colete, analise, gere ou infira algo a partir de um dado pessoal está fazendo tratamento, sujeito a todos os princípios do art. 6º da lei: finalidade, adequação, necessidade, transparência e segurança, entre outros. Isso vale igualmente para o uso de um chatbot próprio da empresa e para o uso informal de uma ferramenta pública por um colaborador.

O ponto que a maioria das empresas ainda não processou: quando um colaborador cola dado pessoal de cliente ou funcionário em uma ferramenta pública de IA generativa, a empresa está compartilhando esse dado com um terceiro — o provedor da ferramenta — sem contrato de tratamento, sem base legal definida e, frequentemente, sem saber para onde esse dado vai nem se será usado para treinar o modelo do fornecedor. Não é uma zona cinzenta: é tratamento de dado pessoal por um operador não contratado, exatamente o tipo de situação que a lei foi desenhada para prevenir.

O Brasil está entre os cinco países que mais usam ChatGPT no mundo, segundo reportagem do Portal Information Management, o que amplia a superfície de exposição das empresas brasileiras. E o comportamento de risco é generalizado, não pontual: segundo o relatório Enterprise AI and SaaS Data Security Report 2025 da LayerX, citado na mesma reportagem, 45% dos colaboradores corporativos já usam ferramentas de IA generativa no trabalho, 77% desses usuários colam dados diretamente em prompts de chatbots, e 22% dessas operações de copiar e colar envolvem dado pessoal (PII) ou dado de cartão de pagamento (PCI).

Os riscos reais de colar dados em ChatGPT, Copilot e outras ferramentas

O risco não é hipotético nem exclusivo de empresas de tecnologia. O caso mais citado no mercado é o da Samsung, que em 2023 restringiu temporariamente o uso do ChatGPT por equipes internas depois que um colaborador inseriu código-fonte confidencial na ferramenta — episódio também relatado pela Portal Information Management. Com dado pessoal de cliente, o mesmo movimento tem uma camada jurídica adicional: além do vazamento de informação sensível, há potencial descumprimento direto da LGPD.

Os riscos concretos que a governança de IA generativa precisa endereçar:

1. Compartilhamento de dado pessoal sem base legal. Colar dado de cliente ou funcionário numa ferramenta pública configura transferência a um terceiro sem contrato de tratamento nem base legal declarada — a situação que o art. 7º da LGPD existe para regular.
2. Ausência de transparência com o titular. A LGPD exige que o titular do dado saiba como a informação dele é tratada; um uso informal de IA generativa, por definição, não passa por esse processo.
3. Decisões automatizadas sem possibilidade de revisão. Quando a IA participa de decisões que afetam pessoas — triagem de currículos, score de crédito, avaliação de desempenho — o art. 20 da LGPD garante ao titular o direito de solicitar revisão humana. A ANPD já vem consolidando orientações específicas sobre esse direito na sua agenda regulatória, segundo o Migalhas.
4. Exposição a sanções administrativas. A LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de sanções não pecuniárias como bloqueio e eliminação dos dados envolvidos, conforme o Migalhas. O histórico de fiscalização ainda é modesto, mas a tendência é de aperto: a ANPD elevou seu status a autarquia especial e incluiu IA como um dos quatro eixos prioritários do seu mapa de fiscalização para 2026–2027, com foco em transparência, mitigação de vieses e segurança da informação, segundo a Data Guide.

O denominador comum desses riscos não é má-fé — é ausência de regra clara e de treinamento. Um colaborador que cola um dado de cliente no ChatGPT quase sempre está tentando ganhar tempo, não burlar a lei. É exatamente por isso que a resposta eficaz combina política, base legal e capacitação — não apenas proibição, como detalhamos no guia irmão sobre uso seguro de IA no trabalho.

Bases legais da LGPD aplicáveis ao uso de IA generativa

Todo tratamento de dado pessoal — inclusive por IA generativa — precisa se apoiar em uma das hipóteses do art. 7º da LGPD. Na prática corporativa, três bases costumam aparecer com mais frequência, cada uma com implicações diferentes para o uso de IA, segundo análise da Cherokee:

Base legal	Quando se aplica ao uso de IA	Cuidado principal
Consentimento	Titular autoriza expressamente o uso do dado dele em um sistema de IA (ex.: personalização opt-in)	Precisa ser livre, informado e específico — não vale consentimento genérico "para melhorar nossos serviços"
Legítimo interesse	Empresa usa dado pessoal para uma finalidade legítima e previsível, sem depender de autorização prévia	Exige balanceamento documentado entre o interesse da empresa e os direitos do titular — não cobre uso exploratório sem finalidade definida
Execução de contrato	Dado é necessário para prestar o serviço contratado pelo titular	Só cobre o que é estritamente necessário à execução — não autoriza uso adicional do dado para treinar modelo

Nenhuma dessas bases legitima o uso informal e não documentado que caracteriza o shadow AI — colar dado de cliente numa ferramenta pública sem qualquer análise prévia de base legal. A base legal é decisão de governança, tomada antes do uso, não uma justificativa reconstruída depois de um incidente.

Anonimização e pseudonimização: reduzindo o risco antes do prompt

A forma mais direta de tirar um uso de IA generativa do escopo de risco da LGPD é garantir que o dado inserido não seja mais dado pessoal. A própria lei define os dois mecanismos no art. 5º, conforme o texto consolidado em LGPD Brasil:

• Anonimização — uso de meios técnicos razoáveis e disponíveis no momento do tratamento pelos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo. Dado efetivamente anonimizado deixa de ser dado pessoal e sai do escopo da LGPD (art. 12).
• Pseudonimização — substituição de identificadores diretos (nome, CPF) por códigos ou referências, mantendo a possibilidade de reidentificação sob controle do responsável. Dado pseudonimizado continua sendo dado pessoal para efeitos legais — reduz o risco, mas não elimina a obrigação de conformidade.

Na prática do dia a dia com IA generativa, isso se traduz em regras simples e aplicáveis antes de qualquer prompt:

1. Substituir nomes reais por identificadores genéricos ("Cliente A", "Colaborador X") sempre que o objetivo for analisar um padrão, não uma pessoa específica.
2. Remover CPF, e-mail, telefone e endereço antes de pedir uma análise ou resumo.
3. Verificar se a combinação de dados restantes (cargo + cidade + data + valor, por exemplo) ainda permite identificar alguém indiretamente — anonimização mal feita é o erro mais comum.
4. Tratar qualquer dúvida sobre se um dado está "anonimizado o suficiente" como sinal para escalar ao encarregado de dados, não para decidir sozinho.

Esse é o mesmo princípio de classificação de dados detalhado no guia política de uso de IA na empresa, aplicado especificamente ao vetor de risco da LGPD.

O papel do DPO (encarregado de dados) na governança de IA generativa

A LGPD já previa a figura do encarregado de dados (DPO) como canal entre a empresa, os titulares de dados e a ANPD. Com a adoção de IA generativa, esse papel se expande: segundo análise publicada na ConJur, o encarregado deixa de atuar só como ponto de contato regulatório e passa a participar ativamente da governança de modelos de IA, avaliando riscos, propondo medidas técnicas e administrativas e conduzindo avaliações de impacto quando o uso envolve dado sensível ou decisão automatizada relevante.

Na prática, o DPO (ou quem acumula esse papel, em empresas menores) precisa estar na mesa em três momentos do ciclo de vida da IA generativa na empresa:

1. Antes da adoção — avaliando qual base legal cobre cada caso de uso e quais ferramentas têm contrato de tratamento adequado.
2. Durante o uso — monitorando incidentes, dúvidas recorrentes de colaboradores e a necessidade de atualizar a política conforme novas ferramentas surgem.
3. Em decisões automatizadas — garantindo que o titular tenha, na prática, o direito de solicitar revisão humana previsto no art. 20 da LGPD, e não apenas no papel.

Isso conecta diretamente com a estrutura de papéis descrita no pilar governança de IA na prática: sem um dono claro para as decisões de LGPD aplicadas à IA, cada colaborador acaba decidindo sozinho o que pode ou não colar num prompt — o cenário que a lei e a governança corporativa existem para evitar.

Contratos com fornecedores de IA: o que exigir antes de assinar

A LGPD responsabiliza solidariamente controlador e operador pelo tratamento de dado pessoal (art. 42) — ou seja, contratar uma ferramenta de IA não transfere a responsabilidade jurídica da sua empresa para o fornecedor. Antes de aprovar qualquer ferramenta de IA generativa para uso com dado pessoal, o jurídico e o encarregado de dados precisam validar, conforme orientação da Confidata:

• Cláusula de tratamento de dados que defina claramente os papéis de controlador e operador e o escopo exato do que pode ser processado.
• Vedação ao uso do conteúdo para treinar o modelo do fornecedor, salvo autorização explícita e documentada.
• Notificação de incidente em prazo curto (a prática de mercado gira em torno de 24 a 48 horas), permitindo à empresa cumprir suas próprias obrigações de comunicação à ANPD e aos titulares afetados.
• Medidas técnicas de segurança exigíveis — criptografia, controle de acesso, auditoria — e o direito contratual de auditar o cumprimento.
• Localização e transferência internacional de dados — onde os dados são processados e armazenados, e se isso configura transferência internacional sujeita a salvaguardas adicionais da LGPD.

Ferramentas corporativas contratadas com essas cláusulas resolvem, de saída, boa parte do risco que o uso de contas pessoais e gratuitas cria — o mesmo contraste que detalhamos em uso seguro de IA no trabalho.

Treinamento de equipes: a camada de compliance que falta em quase toda empresa

Política escrita e contrato assinado não mudam o comportamento de quem está com o prompt aberto às 17h de uma sexta-feira tentando fechar uma entrega. É aqui que a maioria dos programas de compliance de IA falha: tratam LGPD e IA generativa como problema jurídico, quando também é um problema de capacitação — a pessoa precisa saber, no momento de usar a ferramenta, o que pode e o que não pode colar.

Na Jetpacks, endereçamos essa lacuna com o método Flight Plan, em quatro estágios de aproximadamente duas semanas cada por área da empresa: Launchpad mapeia onde dado pessoal já circula em ferramentas de IA, com ou sem controle; Flight Plan desenha a trilha de capacitação específica para cada time, já incorporando as regras de LGPD aplicáveis ao caso de uso da área; Booster capacita o time a usar IA generativa e a tratar dado pessoal corretamente no mesmo treinamento, não em módulos separados que ninguém conecta; e Mission Control acompanha se a adoção segura realmente aconteceu, não apenas se o treinamento foi concluído.

O programa Foundations — alfabetização em IA para todos os colaboradores — é onde a conformidade com a LGPD entra na rotina de quem nunca teve contato formal com o tema: o que é dado pessoal, por que colar em ferramenta pública é arriscado, e qual é a alternativa aprovada. O detalhamento completo dessa trilha está em capacitação em IA para colaboradores. Governança sem capacitação vira documento na intranet que ninguém leu; capacitação sem governança vira uso acelerado e sem controle. As duas juntas são o que de fato reduz o risco jurídico.

O que está mudando: PL 2338/2023 e a fiscalização da ANPD em IA (2026–2027)

A LGPD já cobre integralmente o uso de dado pessoal por IA generativa hoje — mas o cenário regulatório brasileiro está se movendo rápido e vale acompanhar:

• PL 2338/2023 (Marco Legal da IA) foi aprovado pelo plenário do Senado Federal em dezembro de 2024 e, em 2026, segue em tramitação na Câmara dos Deputados para votação final, segundo o CBRdoc. O texto propõe classificação de sistemas de IA por nível de risco, direitos de transparência e contestação para pessoas afetadas por decisões automatizadas, e multas que podem chegar a R$ 50 milhões por infração — ainda não é lei em vigor, mas sinaliza a direção regulatória.
• A ANPD já age hoje, com a LGPD que existe. A autoridade elevou seu status a autarquia especial e incluiu IA e tecnologias emergentes como um dos quatro eixos do seu Mapa de Fiscalização 2026–2027, com atenção declarada a transparência, mitigação de vieses e segurança da informação, conforme a Data Guide.

A leitura prática para quem decide: esperar o Marco Legal da IA virar lei para começar a tratar LGPD e IA generativa com seriedade é uma aposta ruim. A obrigação já existe hoje, a fiscalização está de olho no tema, e o custo de instalar a governança certa agora é ordens de grandeza menor do que o custo de corrigir depois de um incidente ou de uma autuação.

FAQ

A LGPD se aplica ao uso de ChatGPT e outras IAs generativas?

Sim, integralmente. A LGPD regula qualquer tratamento de dado pessoal, independentemente da tecnologia usada. Colar dado pessoal de cliente ou funcionário em uma ferramenta de IA generativa é tratamento de dado sujeito a todos os princípios e obrigações da lei.

Posso colar dados de clientes no ChatGPT ou Copilot?

Só em ferramentas corporativas contratadas com cláusulas de tratamento de dados adequadas, base legal definida e vedação ao uso do conteúdo para treinar o modelo do fornecedor. Em ferramentas públicas ou contas pessoais, colar dado pessoal de cliente configura compartilhamento com um terceiro sem base legal nem contrato — um dos riscos jurídicos mais comuns hoje.

Qual é a base legal para usar IA generativa com dados pessoais?

Depende do caso de uso: consentimento (quando o titular autoriza expressamente), legítimo interesse (com balanceamento documentado entre o interesse da empresa e os direitos do titular) ou execução de contrato (quando o dado é estritamente necessário ao serviço contratado). Nenhuma base legitima o uso informal e não documentado típico do shadow AI.

O que a empresa deve exigir de um fornecedor de IA em contrato?

No mínimo: cláusula clara de tratamento de dados definindo papéis de controlador e operador, vedação ao uso do conteúdo para treinar o modelo do fornecedor, notificação de incidente em prazo curto, medidas técnicas de segurança exigíveis e transparência sobre onde os dados são processados e armazenados.

Qual é o papel do DPO no uso de IA generativa pela empresa?

O encarregado de dados avalia riscos antes da adoção de cada ferramenta, monitora incidentes e dúvidas durante o uso, e garante que decisões automatizadas relevantes preservem o direito do titular a solicitar revisão humana, previsto no art. 20 da LGPD. Sem esse papel claramente atribuído, cada colaborador decide sozinho o que pode fazer com dado pessoal.

Anonimizar o dado antes de usar IA elimina o risco de LGPD?

Reduz bastante, mas só se o dado for efetivamente anonimizado — sem possibilidade de reidentificação direta ou indireta. Dado apenas pseudonimizado (nome trocado por código, por exemplo) continua sendo dado pessoal para a LGPD e mantém a obrigação de conformidade.

Quais são as multas da LGPD para uso indevido de IA com dados pessoais?

A LGPD prevê multa simples de até 2% do faturamento da empresa no Brasil, limitada a R$ 50 milhões por infração, além de sanções não pecuniárias como bloqueio ou eliminação dos dados envolvidos. A fiscalização vem se intensificando, com a ANPD priorizando IA em seu mapa de fiscalização para 2026–2027.

O Marco Legal da IA (PL 2338) já está em vigor?

Não. Foi aprovado pelo Senado em dezembro de 2024 e, em 2026, ainda tramita na Câmara dos Deputados para votação final. Enquanto isso, a LGPD já se aplica integralmente ao uso de dado pessoal por IA generativa — a conformidade não pode esperar o novo marco entrar em vigor.

Conclusão: conformidade com a LGPD é decisão de governança, não sorte

LGPD e IA generativa não são dois temas separados que a empresa vai precisar conciliar um dia — é a mesma obrigação legal de sempre, aplicada a uma ferramenta nova que os colaboradores já usam, com ou sem regra. A diferença entre uma empresa exposta e uma empresa protegida está em três decisões tomadas antes do incidente: base legal definida por caso de uso, contrato correto com o fornecedor e time capacitado a reconhecer dado pessoal antes de colar num prompt.

Se a sua empresa está adotando IA generativa e precisa fechar essa lacuna entre a política no papel e o comportamento real do time, o diagnóstico gratuito da Jetpacks mapeia onde dado pessoal já circula em ferramentas de IA na sua empresa e desenha, com o método Flight Plan, a trilha que instala a conformidade com a LGPD junto com a capacitação — não depois dela. Para levar o tema à diretoria com os números certos, o business case de adoção com governança ajuda a justificar o investimento em compliance como o que ele é: mais barato que o custo de um incidente.