O papel do DPO na governança de IA é ser o elo entre o uso de dados pessoais pela IA, os titulares e a ANPD: ele orienta, aponta riscos e conduz a avaliação de impacto, mas não deve ser o dono da governança de IA inteira. O encarregado cuida da parte de proteção de dados; a decisão sobre usar, comprar ou desligar um sistema de IA é da liderança e da empresa, que responde pelos efeitos. Este artigo é para C-levels, jurídico, compliance e quem acumula a função de DPO: explica o que a lei e a regulamentação atribuem ao encarregado, o que costuma ser empurrado para ele sem base e como desenhar a divisão de responsabilidades.
O que a LGPD atribui ao encarregado
O art. 41 da LGPD (Lei nº 13.709/2018) define o encarregado como o canal de comunicação entre o controlador, os titulares dos dados e a ANPD. É o que a lei diz de forma expressa. Em linhas gerais, cabe a ele aceitar reclamações e comunicações dos titulares, receber comunicações da ANPD, orientar funcionários e contratados sobre as práticas de proteção de dados e executar as demais atribuições definidas pelo controlador.
A lei não menciona inteligência artificial nessa função. A conexão com IA vem do fato de que quase todo sistema de IA corporativo trata dados pessoais: prompts com nomes de clientes, bases de RH, gravações de atendimento, currículos. Onde há dado pessoal, há trabalho para o encarregado.
O que mudou com a regulamentação da ANPD
A Resolução CD/ANPD nº 18/2024 detalhou o papel do encarregado. Segundo análise publicada pela Baguete (um artigo de opinião, não o texto oficial, então confira a resolução no site da ANPD), os pontos práticos são:
- agentes de tratamento de pequeno porte, em regra, estão dispensados de nomear encarregado;
- a dispensa não vale se a atividade for de alto risco, o que inclui uso intensivo de dados, tratamento que afete direitos fundamentais ou tecnologias emergentes ou inovadoras, como a IA;
- a nomeação deve ser formal, por documento escrito, datado e assinado;
- a identidade e o contato do encarregado devem ser divulgados, preferencialmente no site;
- a empresa deve evitar conflito de interesses na escolha da pessoa.
Na prática: mesmo uma empresa pequena que opere IA em escala pode precisar de um encarregado. A dúvida sobre se o seu caso se enquadra deve ser respondida com apoio jurídico especializado.
Onde o DPO entra em projetos de IA
O DPO tem papel direto em cinco momentos do ciclo de vida de um sistema de IA. Em cada um deles, a função é orientar e documentar, não aprovar sozinho.
| Momento | Contribuição do DPO | Base |
|---|---|---|
| Antes da compra ou do piloto | Verificar base legal, finalidade e que dados entram na ferramenta | Art. 6º e art. 7º da LGPD |
| Avaliação de risco | Conduzir ou apoiar o relatório de impacto (RIPD) | Art. 38 da LGPD |
| Contrato com fornecedor | Revisar tratamento de dados, subprocessadores e transferência internacional | Art. 33 e seguintes |
| Operação | Atender titulares e pedidos de revisão de decisões automatizadas | Art. 18 e art. 20 |
| Incidente | Apoiar a comunicação à ANPD e aos titulares | Art. 48 |
Artigos jurídicos, como este da Legale, descrevem o encarregado também como responsável por identificar riscos do uso de IA e propor medidas técnicas e administrativas, e como figura que ajuda a demonstrar diligência. É uma leitura razoável, mas é interpretação de autores, não texto de lei: o que a LGPD fixa é o canal de comunicação, e o resto é atribuição que a empresa define.
RIPD de sistemas de IA
O relatório de impacto à proteção de dados pessoais descreve o tratamento, os riscos e as medidas de mitigação. A ANPD pode solicitá-lo ao controlador (art. 38). Para IA, vale incluir: quais dados treinam ou alimentam o sistema, se há decisão automatizada com efeito relevante, risco de viés, retenção de dados e fornecedor envolvido. O RIPD é um insumo para a avaliação de impacto algorítmico, que é mais ampla.
Decisões automatizadas e o art. 20
O titular tem direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como análise de crédito ou de perfil (art. 20). O encarregado costuma ser o ponto de entrada desses pedidos. A operação por trás, no entanto, é de negócio: alguém precisa saber explicar e rever a decisão. Detalhamos o tema em LGPD art. 20 e a revisão de decisões automatizadas por IA.
O que não cabe ao DPO
O DPO não é dono do risco, nem da política, nem do produto. Quando a empresa trata o encarregado como "o responsável por IA", cria três problemas.
- Responsabilidade mal alocada. A empresa, e não o DPO, responde por multas ou indenizações decorrentes de falhas no tratamento de dados, como lembra a mesma análise da Baguete. Concentrar tudo no encarregado dá falsa sensação de cobertura.
- Conflito de interesses. Quem aprova um sistema de IA e depois fiscaliza a própria aprovação perde independência. A regulamentação recomenda evitar conflitos.
- Escopo que não cabe na função. Governança de IA inclui segurança, ética, propriedade intelectual, vieses, continuidade e uso de ferramentas. Proteção de dados é só uma parte.
O que precisa de dono fora do DPO: inventário de sistemas, aprovação de casos de uso, critérios de risco, monitoramento e desligamento. É para isso que existem estruturas como o modelo de três linhas, um comitê de ética de IA e, em empresas maiores, um Chief AI Officer.
Como dividir a função: um desenho simples
Um desenho funcional separa quem decide, quem opera, quem orienta e quem audita. Adaptamos o raciocínio das três linhas para o caso do encarregado.
- Dono do caso de uso (área de negócio): propõe o uso, responde pelo resultado e pela operação.
- Tecnologia e segurança: avalia arquitetura, acesso e fornecedores. Veja gestão de risco de fornecedores de IA.
- DPO/encarregado e jurídico: orienta sobre dados pessoais, conduz o RIPD, atende titulares e ANPD.
- Comitê de governança: decide casos de risco médio e alto, com dados do inventário.
- Auditoria interna: verifica se o processo é seguido. Veja auditoria de IA.
O artefato central que conecta todos eles é o inventário de sistemas de IA. Sem inventário, o DPO não sabe quais sistemas tratam dados pessoais e a governança vira reação a notícias.
Qual formação o DPO precisa para atuar com IA
Conhecimento jurídico de proteção de dados é necessário, mas não suficiente. O encarregado precisa entender o suficiente de como a IA generativa trata dados (o que vai ao fornecedor, o que é retido, o que treina modelo) para fazer as perguntas certas. Isso se resolve com capacitação em IA direcionada: casos reais do jurídico e de privacidade, sem foco em programação. A Jetpacks conduz esse tipo de trilha por área dentro do Flight Plan, e os programas incluem formações para líderes e para áreas específicas.
Boas práticas para o encarregado em IA
- Entre cedo. Peça para ser consultado antes da contratação, não depois do go-live.
- Exija o inventário. Sem lista de sistemas, não há governança.
- Padronize o RIPD para IA. Um modelo com as perguntas específicas (dados de treino, decisão automatizada, retenção, subprocessadores) economiza semanas.
- Documente as decisões. O que foi aprovado, por quem e com que ressalvas. Documentação é a base para demonstrar diligência, inclusive em fiscalização pela ANPD.
- Alinhe com o futuro marco legal. O PL 2338 não cria uma figura igual ao encarregado, segundo comentaristas jurídicos, mas as atribuições se sobrepõem. Acompanhe o texto vigente antes de redesenhar a função.
FAQ
O DPO é obrigado a participar de projetos de IA?
A lei não prevê participação em cada projeto, mas projetos de IA que tratam dados pessoais criam obrigações (base legal, transparência, RIPD quando exigido) em que o encarregado é naturalmente o apoio. Boas práticas indicam envolvê-lo desde o desenho.
O DPO é responsável por erros de IA?
Segundo a análise da Baguete sobre a regulamentação, quem responde por multas e indenizações por falhas no tratamento de dados é a empresa, não o DPO como pessoa. A responsabilidade pessoal do encarregado depende do caso e do contrato; consulte seu jurídico.
Toda empresa que usa IA precisa nomear um encarregado?
Não necessariamente. A regra geral é nomear; agentes de tratamento de pequeno porte podem ser dispensados, mas não se a atividade for de alto risco, o que pode incluir o uso de IA. A avaliação deve ser feita com apoio jurídico.
O DPO pode ser o responsável pela governança de IA?
Pode ocupar um papel, mas concentrar tudo nele cria risco de conflito e sobrecarga. O mais comum é dividir: o encarregado cuida de dados pessoais e a governança de IA tem um comitê ou líder próprio.
O que é RIPD e quando fazê-lo em projetos de IA?
É o relatório de impacto à proteção de dados pessoais (art. 38 da LGPD). Faz sentido para sistemas de IA com tratamento de dados sensíveis, decisões automatizadas relevantes ou grande escala. A ANPD pode pedir o relatório.
Quem atende o titular que questiona uma decisão tomada por IA?
O encarregado costuma ser o canal de entrada, mas a revisão da decisão envolve a área de negócio responsável pelo sistema. Defina o fluxo antes de o primeiro pedido chegar.
Conclusão: o DPO como parte da estrutura, não como a estrutura
O encarregado é peça-chave da governança de IA porque quase toda IA corporativa mexe com dados pessoais. O erro é transformá-lo em dono de tudo. Dê a ele o inventário, o acesso cedo aos projetos e uma estrutura ao redor, que decide e responde pelo risco. Se você quer ver como sua empresa está nesse desenho, o diagnóstico gratuito da Jetpacks mapeia o uso atual de IA e as lacunas de governança em uma conversa de 30 a 45 minutos. Para a visão completa do tema, comece pelo artigo sobre governança de IA na prática.
Leia também: governança de IA em universidades, com o papel do DPO em instituições de ensino.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.