Toda vez que um colaborador usa ChatGPT, Claude ou Gemini com dado pessoal de cliente ou funcionário, a empresa provavelmente está realizando uma transferência internacional de dados — e sujeita às regras do Capítulo V da LGPD (Artigos 33 a 36), não a uma zona cinzenta. A maior parte das empresas brasileiras trata isso como detalhe de rodapé do contrato com o fornecedor de IA. A ANPD já não trata assim: incluiu sistemas de inteligência artificial como um dos quatro eixos prioritários de fiscalização para 2026-2027, com 20 ações previstas sobre o tema.
Este artigo cobre o que muda de fato quando o fornecedor de IA processa dado fora do Brasil, o que a Resolução ANPD nº 19/2024 exige, o que a nova decisão de adequação Brasil-União Europeia simplifica — e o que continua exigindo diligência mesmo depois dela.
Por que usar IA generativa quase sempre é transferência internacional
A maioria dos grandes provedores de modelos de linguagem — OpenAI, Anthropic, Google — processa e hospeda dado fora do Brasil. Quando um sistema de IA de terceiro trata dado pessoal nesses servidores, isso configura transferência internacional de dados pessoais e exige conformidade com a Resolução CD/ANPD nº 19/2024, independentemente de a empresa "ter pensado nisso como transferência" ou não.
O risco não é hipotético. Com o aumento do uso de APIs de modelos de linguagem hospedados no exterior, a ANPD já intensificou a fiscalização sobre transferências internacionais de dado pessoal sem as garantias exigidas pelo Capítulo V da LGPD — uma das três frentes onde a autoridade aplicou sanções relevantes em 2026 (Mind Group). O mesmo levantamento aponta que 67% das empresas brasileiras que usam IA não têm documentação formal sobre origem e tratamento dos dados que alimentam essas ferramentas — o tipo de lacuna que uma fiscalização expõe rápido.
Os dois mecanismos que legitimam a transferência
A LGPD não proíbe a transferência internacional — exige que ela se apoie em um mecanismo específico. Depois da Resolução ANPD nº 19/2024, que regulamentou os Artigos 33 a 36, duas rotas cobrem a maior parte dos casos de uso de IA corporativa:
| Mecanismo | Quando se aplica | O que exige |
|---|---|---|
| Decisão de adequação (Art. 34) | Destino reconhecido pela ANPD como tendo nível de proteção equivalente à LGPD | Nenhuma cláusula adicional — a decisão de adequação já autoriza |
| Cláusulas-padrão contratuais (Art. 35) | Destino sem decisão de adequação (a maioria dos provedores de IA hoje) | Cláusula-padrão aprovada pela ANPD, incorporada ao contrato com o fornecedor |
A Resolução ANPD nº 32/2026, publicada em janeiro de 2026, foi a primeira decisão de adequação do Brasil: reconheceu a União Europeia e os países do EEE (Islândia, Liechtenstein e Noruega) como tendo nível de proteção adequado, permitindo aplicar diretamente o Artigo 33, inciso I, sem cláusula-padrão ou aprovação adicional (Confidata; Angare e Anghér Advogados). A decisão será reavaliada em até quatro anos e não cobre transferência para fins de segurança pública, defesa nacional ou investigação criminal.
Na prática, isso reduz custo real: empresas com fornecedor de nuvem ou de IA sediado na UE deixam de precisar de cláusulas-padrão, aditivos contratuais anuais e memorando de transferência para cada novo uso — trabalho jurídico que antes se repetia a cada renovação de contrato (Angare e Anghér Advogados).
O que a adequação Brasil-UE não resolve
A decisão de adequação cobre só os destinos expressamente listados. A maioria dos provedores de IA generativa mais usados no Brasil — incluindo operações da OpenAI e da Anthropic sediadas nos Estados Unidos — não está automaticamente coberta pela Resolução 32/2026. Para esses casos, a cláusula-padrão contratual (Art. 35, Resolução 19/2024) continua sendo o mecanismo aplicável, e a empresa contratante — não só o fornecedor — responde por garantir que ela existe e está incorporada ao contrato.
O que isso muda no dia a dia de quem já usa IA generativa
Este cluster aprofunda um ponto que LGPD e IA generativa já cobre em nível de checklist geral: o mecanismo específico de transferência internacional, a decisão de adequação de 2026 e o fato concreto de que a maioria dos provedores de IA generativa processa dado fora do Brasil. Quatro passos práticos:
- Mapeie onde cada ferramenta de IA em uso realmente processa o dado. Nem todo contrato deixa isso claro; peça a localização de processamento e armazenamento por escrito ao fornecedor.
- Confirme o mecanismo de transferência em contrato — não assuma. Se o destino não está na lista de adequação (hoje, só UE/EEE), a cláusula-padrão da Resolução 19/2024 precisa estar formalmente incorporada ao contrato, não apenas mencionada em termos de uso genéricos.
- Documente a base legal em um RIPD (Relatório de Impacto à Proteção de Dados) para os fluxos de dado pessoal que alimentam ferramentas de IA — é exatamente a lacuna que hoje atinge 67% das empresas que usam IA sem documentação formal.
- Trate isso como item de due diligence de fornecedor, não só de jurídico. A avaliação de mecanismo de transferência internacional deve entrar no mesmo processo descrito em gestão de risco de fornecedores de IA, lado a lado com certificação de segurança e cláusula de não-treinamento do modelo com dado do cliente.
O que verificar em contrato com fornecedor de IA generativa
A cláusula-padrão contratual da Resolução ANPD nº 19/2024 é o item central, mas raramente vem sozinho no contrato de um fornecedor de IA. Uma revisão completa de transferência internacional, aplicada a fornecedor de IA, cobre pelo menos seis pontos:
| Item | O que verificar |
|---|---|
| Localização de processamento e armazenamento | Onde o dado é tratado, não só onde a empresa contratante está sediada |
| Mecanismo de transferência | Decisão de adequação (se o destino for UE/EEE) ou cláusula-padrão ANPD (demais destinos) |
| Cláusula de não-treinamento | O provedor usa o dado do cliente para treinar ou ajustar o modelo? Precisa de opt-out explícito e verificável |
| Certificação de segurança | SOC 2, ISO 27001, ISO 27701 — evidência de terceiro, não autodeclaração do fornecedor |
| Sub-processadores | Se o fornecedor usa infraestrutura de terceiros (ex.: nuvem de outro provedor), a cadeia de transferência se estende a eles também |
| Prazo e forma de exclusão do dado | O que acontece com o dado pessoal ao encerrar o contrato, e em quanto tempo |
Nenhum desses pontos, isoladamente, substitui os outros — a certificação de segurança do fornecedor não dispensa a cláusula-padrão de transferência, e vice-versa. É um conjunto de garantias complementares, cada uma cobrindo um risco diferente.
Por que isso não é só um problema jurídico
Tratar transferência internacional como pauta exclusiva do jurídico é o erro mais comum. A decisão de qual ferramenta de IA a equipe de vendas, marketing ou atendimento vai usar no dia a dia normalmente nasce na própria área de negócio — muitas vezes sem que o jurídico saiba que aquela ferramenta específica entrou em produção. O RIPD e a cláusula contratual só funcionam se existir, antes deles, um processo de homologação de ferramenta de IA que passe pelo jurídico antes da adoção acontecer, não depois — o mesmo princípio por trás da política de uso de IA descrita em governança de IA na prática.
Onde isso se encaixa na governança de IA como um todo
Transferência internacional é uma peça específica de um programa de governança de IA na prática mais amplo — não substitui política de uso, classificação de risco por caso de uso nem o framework de governança de IA que organiza tudo isso. E é distinta da discussão sobre regulação doméstica de IA em si: o Marco Legal da IA no Brasil (PL 2338) trata de como sistemas de IA são classificados e regulados por risco; transferência internacional trata de onde o dado pessoal que alimenta esses sistemas pode legalmente estar.
Nota técnica da ANPD sobre IA e dado pessoal
A Nota Técnica nº 12/2025 da ANPD já sinalizava a direção regulatória que resultou nesse cenário: uso de IA como um dos temas centrais de atenção da autoridade para os anos seguintes, ao lado de dado sensível e decisão automatizada. Ela não tem força de resolução vinculante, mas funciona como aviso prévio do que a fiscalização prioriza — e a inclusão de sistemas de IA entre os quatro eixos do Mapa de Temas Prioritários 2026-2027 confirma que não era só sinalização. Para quem só reage depois que a fiscalização chega, esse é o tipo de documento que compensa ler com um ano de antecedência.
FAQ
Usar ChatGPT ou Claude com dado de cliente é transferência internacional pela LGPD?
Na maioria dos casos, sim. Se o dado pessoal processado pela ferramenta é hospedado ou tratado em servidor fora do Brasil — o padrão dos grandes provedores de modelos de linguagem —, isso configura transferência internacional e exige um dos mecanismos do Capítulo V da LGPD: decisão de adequação ou cláusula-padrão contratual.
A decisão de adequação Brasil-União Europeia dispensa a empresa de qualquer cuidado extra?
Não totalmente. Ela dispensa cláusula-padrão e aprovação adicional só para transferências a destinos cobertos (UE e países do EEE). Para provedores sediados fora dessa lista — a maioria dos serviços de IA generativa mais usados hoje —, a cláusula-padrão da Resolução ANPD nº 19/2024 continua sendo exigida.
Quem responde se o fornecedor de IA não tiver cláusula de transferência adequada?
A empresa contratante, como controladora do dado, responde perante a ANPD por garantir que a transferência tem base legal — não pode transferir a responsabilidade integralmente ao fornecedor só porque ele processa o dado.
Transferência internacional de dados é prioridade de fiscalização da ANPD em 2026?
Sim. A ANPD incluiu sistemas de inteligência artificial como um dos quatro eixos prioritários do biênio 2026-2027, com 20 ações de fiscalização previstas, e já aplicou sanções relacionadas a transferência internacional de dado pessoal sem garantia adequada em casos envolvendo IA.
Qual a diferença entre este tema e o guia geral de LGPD e IA generativa do blog?
O guia geral de LGPD e IA generativa cobre bases legais, risco de colar dado em ferramentas de IA e o papel do DPO de forma ampla. Este artigo aprofunda especificamente o mecanismo de transferência internacional — decisão de adequação, cláusula-padrão e o fato de que a maioria dos provedores de IA generativa processa dado fora do Brasil.
Conclusão
A pergunta certa não é "minha empresa faz transferência internacional de dado com IA?" — quase toda empresa que usa ferramenta de IA generativa de ponta faz. A pergunta é se existe, documentado, o mecanismo legal que sustenta essa transferência: decisão de adequação onde ela existir, cláusula-padrão contratual onde não existir. Com a IA entre os quatro eixos prioritários de fiscalização da ANPD para 2026-2027, essa é uma lacuna cara de deixar para depois.
A Jetpacks ajuda empresas a fechar essa lacuna como parte de um programa de governança de IA aplicado — não um checklist genérico, mas um diagnóstico do que sua operação de IA realmente usa, onde os dados trafegam e o que falta no contrato de cada fornecedor. Agende um diagnóstico gratuito para mapear a exposição real da sua empresa.
Descubra onde a IA gera mais resultado na sua empresa.
Comece com um diagnóstico gratuito: mapa de impacto por área e o desenho de um primeiro piloto medível, sem compromisso.